Passwort allein reicht nicht: So sicherst du deine Konten wirklich

Kennst du das Gefühl, wenn wieder eine Meldung über ein Datenleck kommt und du dich fragst, ob dein Passwort dabei war? Die Sorge ist berechtigt. Milliarden Zugangsdaten kursieren aus alten Lecks, und moderne Phishing-Seiten fischen Passwörter in Echtzeit ab. Ein starkes Passwort ist wichtig, aber es ist eben nur eine einzige Hürde. Fällt sie, steht dein Konto offen. Die gute Nachricht: Mit einem zweiten Faktor, und noch besser mit einem Passkey, machst du deine Konten in wenigen Minuten deutlich sicherer. Das BSI empfiehlt genau das.

Warum das Passwort allein nicht mehr reicht

Passwörter haben drei Schwachstellen, gegen die auch das komplizierteste Kennwort nichts ausrichtet. Erstens Lecks: Wird ein Dienst gehackt, landen Millionen Zugangsdaten im Umlauf, und wer dasselbe Passwort mehrfach nutzt, verliert gleich mehrere Konten. Zweitens Phishing: Eine täuschend echte Login-Seite fragt dein Passwort ab, und du tippst es freiwillig ein. Drittens SIM-Swapping: Betrüger übernehmen deine Handynummer und fangen damit sogar SMS-Codes ab. Laut FBI entstand allein 2024 ein Schaden von rund 26 Millionen Dollar, und SIM-Swapping zählt weiter zu den häufigsten gemeldeten Angriffsarten. Die Zwei-Faktor-Authentisierung setzt eine zweite Hürde davor, die ein Angreifer nicht so leicht mitnimmt.

Die Methoden im Überblick, von SMS bis Passkey

Zweiter Faktor ist nicht gleich zweiter Faktor. Der Code per SMS oder E-Mail ist die bekannteste Variante und besser als nichts, aber die schwächste. Eine Authenticator-App auf dem Handy erzeugt alle 30 Sekunden einen neuen Code, den sogenannten TOTP, lokal auf dem Gerät und ohne Umweg über das Mobilfunknetz. Das macht sie immun gegen SIM-Swapping. Passkeys gehen einen Schritt weiter: Statt eines Codes hinterlegst du einen kryptografischen Schlüssel auf deinem Gerät, entsperrt per Fingerabdruck, Gesicht oder PIN. Der private Teil verlässt dein Gerät nie, wie die FIDO Alliance beschreibt. Ein Hardware-Key wie ein YubiKey ist ein kleiner USB- oder NFC-Stick, der dasselbe Prinzip in Hardware gießt. Und in Deutschland gibt es mit chipTAN und dem Personalausweis zwei weitere sehr sichere Verfahren, vor allem fürs Banking und für Behörden.

Was wirklich schützt, die Rangfolge nach BSI

Warum ist der eine zweite Faktor sicherer als der andere? Das BSI hat die gängigen Verfahren technisch bewertet, und der entscheidende Unterschied ist der Schutz vor Phishing in Echtzeit. Bei SMS und E-Mail kann ein Angreifer den Code über einen Zwischenserver einfach weiterleiten, während du ahnungslos auf seiner Fake-Seite tippst. Auch Authenticator-Apps schützen laut BSI nicht zuverlässig vor solchen Echtzeit-Angriffen und vor Lecks. Passkeys und Hardware-Keys sind dagegen an die echte Adresse der Webseite gebunden. Auf einer gefälschten Seite funktionieren sie schlicht nicht, der Phishing-Versuch läuft ins Leere. chipTAN und Personalausweis sind laut BSI sogar gegen alle betrachteten Angriffe resistent. Eine Grundannahme macht das BSI dabei: ein starkes Passwort als Basis und zwei getrennte Geräte.

Passkeys in wenigen Minuten einrichten

Passkeys sind der einfachste Weg zu hoher Sicherheit, weil du sie meist mit dem entsperrst, was du sowieso nutzt, deinem Fingerabdruck oder Gesicht. Sie laufen auf iPhones ab iOS 16, auf Android-Geräten ab Version 9 und unter Windows 10 und 11, in allen aktuellen Browsern. Unterstützt werden sie unter anderem von Google, Apple, Microsoft, Amazon, PayPal und GitHub, und die Liste wächst schnell. Laut der FIDO Alliance sind 2026 weltweit rund fünf Milliarden Passkeys aktiv, die Bekanntheit liegt inzwischen bei 90 Prozent.

So richtest du sie ein: Bei Google gehst du auf g.co/passkeys, bei Apple auf appleid.apple.com, bei Microsoft auf account.microsoft.com und legst dort mit wenigen Klicks einen Passkey an. Danach bestätigst du Logins per Fingerabdruck oder Gesicht, das Passwort tippst du nicht mehr ein. Auf einem gemeinsam genutzten Rechner ist die Authenticator-App die gute Alternative: eine App wie Google Authenticator, Microsoft Authenticator oder das quelloffene Aegis installieren, beim Dienst unter Sicherheit den angezeigten QR-Code scannen, fertig. Nur eben eine App statt des SMS-Codes.

Hardware-Key für dein sensibelstes Konto

Wer sein wichtigstes Konto maximal absichern will, etwa das E-Mail-Postfach, an dem alle Passwort-Resets hängen, greift zum Hardware-Key. Das sind FIDO2-Sticks wie der YubiKey (hier bei Amazon erhältlich) oder Googles Titan Key, die du beim Login kurz einsteckst oder per NFC ans Handy hältst. Sie sind so phishing-resistent wie Passkeys, nur eben als eigenes Gerät, das niemand aus der Ferne kopieren kann.

Eine Einordnung, weil es 2024 durch die Presse ging: Forscher zeigten mit dem EUCLEAK-Angriff, dass sich bestimmte YubiKeys der 5er-Serie mit Firmware vor 5.7 klonen lassen. Das klingt dramatisch, ist für normale Nutzer aber kaum relevant. Der Angriff braucht physischen Zugriff auf den Stick und teures Speziallabor-Equipment, es ist kein Fernangriff. Yubico hat die Lücke mit Firmware 5.7 geschlossen. Praktisch heißt das nur: beim Kauf auf ein aktuelles Modell achten. Ein guter Tipp obendrein, leg dir zwei Keys zu, einen als Ersatz.

Recovery nicht vergessen, und die Empfehlung für wen was

Die häufigste Lücke ist nicht der zweite Faktor selbst, sondern die Wiederherstellung. Wenn ein Dienst dich bei Verlust des Handys per einfacher E-Mail wieder hineinlässt, ist die ganze Zwei-Faktor-Sicherheit ausgehebelt. Das BSI rät deshalb zu einem zweistufigen Recovery. Bewahre die Backup-Codes, die dir jeder Dienst bei der Einrichtung anbietet, an einem sicheren Ort auf, offline oder im Passwort-Manager. Bei Hardware-Keys ist der zweite Key genau diese Reserve.

Für wen also was? Für die meisten Konten ist ein Passkey die beste Mischung aus Sicherheit und Bequemlichkeit, und das Passwort fällt oft ganz weg. Wo es noch keine Passkeys gibt, nimm eine Authenticator-App statt SMS. Und dein sensibelstes Konto sicherst du mit einem Hardware-Key ab. Der Aufwand ist klein, der Unterschied groß.