Zwei-Faktor-Authentifizierung und Passkeys

SMS-Code, TOTP-App, Sicherheitsschlüssel oder Passkey: Wie die Verfahren funktionieren, wogegen sie schützen und in welcher Reihenfolge sie sinnvoll sind.

Herausgegeben von Chiron Services GmbHVeröffentlicht: 19. August 2026Fachlich geprüft: 19. August 2026

Wogegen ein zweiter Faktor schützt

Ein Passwort ist ein Wissensfaktor: Wer es kennt, kommt hinein – egal wie. Ein zweiter Faktor ergänzt einen Besitzfaktor: ein Gerät, einen Sicherheitsschlüssel, einen kryptografischen Schlüssel im Telefon. Damit reicht ein gestohlenes Passwort allein nicht mehr aus. Das ist besonders wirksam gegen Credential Stuffing nach einem Datenleck, weil dort massenhaft bekannte Passwörter ausprobiert werden.

Nicht jeder zweite Faktor schützt jedoch gegen jeden Angriff. Der wichtigste Unterschied ist, ob ein Verfahren phishing-resistent ist, also ob es auch dann standhält, wenn Sie sich auf einer täuschend echten Kopie der Login-Seite anmelden.

Verfahren im Vergleich

Zweite Faktoren und ihre Eigenschaften
Verfahren	Phishing-resistent	Typische Schwäche	Einordnung
SMS-Code	nein	SIM-Tausch, Weiterleitung, Abfangen des Codes	besser als nichts, aber schwächste Option
E-Mail-Code	nein	hängt an der Sicherheit des Postfachs	nur als Übergangslösung
TOTP-App (6-stelliger Code)	nein	Code kann auf einer Phishing-Seite mitgeschrieben werden	guter Standard für die meisten Konten
Push-Bestätigung	nein	Bestätigungsmüdigkeit bei wiederholten Anfragen	brauchbar, idealerweise mit Nummernabgleich
Sicherheitsschlüssel (FIDO2/WebAuthn)	ja	Gerät kann verloren gehen, Ersatzschlüssel nötig	höchster Schutz
Passkey	ja	Wiederherstellung hängt an Plattform oder Passwortmanager	empfohlen, wo verfügbar

Was Passkeys anders machen

Ein Passkey ist ein Schlüsselpaar nach dem WebAuthn-Standard der FIDO Alliance. Der private Schlüssel verlässt Ihr Gerät nicht; beim Login wird lediglich eine Signatur erzeugt. Weil die Signatur an die Domain gebunden ist, funktioniert sie auf einer gefälschten Seite nicht – der klassische Phishing-Angriff läuft ins Leere. Ausserdem gibt es serverseitig kein Geheimnis mehr, das bei einem Datenleck gestohlen werden könnte: Der Anbieter speichert nur den öffentlichen Schlüssel.

Realistische Erwartung

Passkeys ersetzen das Passwort dort, wo ein Dienst sie vollständig unterstützt. Viele Dienste bieten sie zusätzlich zum Passwort an – dann bleibt das Passwort als Rückfallweg bestehen und muss weiterhin stark und einzigartig sein. Prüfen Sie auch den Wiederherstellungsweg: Wenn dieser auf einen SMS-Code hinausläuft, ist er das schwächste Glied.

In welcher Reihenfolge vorgehen

Entscheidungsbaum: welchen Faktor aktivieren?

Bietet der Dienst Passkeys an?
├─ Ja  -> Passkey einrichten (+ zweites Gerät oder Sicherheitsschlüssel als Ersatz)
└─ Nein -> Bietet er FIDO2-Sicherheitsschlüssel an?
           ├─ Ja  -> Sicherheitsschlüssel, immer zwei registrieren
           └─ Nein -> Bietet er TOTP an?
                      ├─ Ja  -> TOTP-App verwenden, Backup-Codes offline sichern
                      └─ Nein -> SMS aktivieren und Anbieter nach besseren Verfahren fragen

Mit dem E-Mail-Postfach beginnen – es ist der Wiederherstellungsweg für fast alle anderen Konten.
Danach Passwortmanager, Banking, Cloud-Speicher, Social Media, Shops.
Immer einen zweiten Weg registrieren: zweiter Sicherheitsschlüssel, zweites Gerät oder ausgedruckte Backup-Codes.
Backup-Codes offline aufbewahren, nicht im selben Tresor wie das Passwort des Kontos.
Alte, ungenutzte Faktoren in den Kontoeinstellungen entfernen.

Wie Angreifer gestohlene Zugangsdaten überhaupt verwerten, beschreibt Brute Force und Credential Stuffing.

Quellen

Die Auswahlkriterien für Quellen sind auf der Seite Redaktionelle Richtlinien & Quellen dokumentiert.