Sicherer anmelden: Was neben dem Passwort noch schützt
Fast jeder von uns hat inzwischen ein Dutzend Zugänge im Internet: E-Mail, Online-Banking, der Einkauf bei Amazon, das Foto-Album, vielleicht noch das Kundenkonto beim Stromanbieter. Und fast überall steht dieselbe Frage am Anfang: Benutzername und Passwort. Genau das ist inzwischen die schwächste Stelle. Denn ein Passwort ist nur ein Geheimnis – und Geheimnisse können verloren gehen, ohne dass Sie etwas falsch gemacht haben.
Die gute Nachricht: Es gibt heute mehrere Verfahren, mit denen Sie Ihre Zugänge zusätzlich absichern können – und manche machen das Anmelden sogar bequemer als vorher. In diesem Beitrag stelle ich Ihnen die wichtigsten davon vor, sage Ihnen ehrlich, welche wirklich etwas taugen, und zeige am Ende, in welcher Reihenfolge Sie am besten vorgehen.
Warum das Passwort allein nicht mehr genügt
Es gibt vier typische Wege, auf denen ein Passwort in fremde Hände gerät – und bei dreien davon nützt es wenig, dass Sie ein besonders langes gewählt haben:
- Datenlecks beim Anbieter: Wird ein Online-Shop oder ein Forum gehackt, sind auf einen Schlag Millionen Zugangsdaten unterwegs. Darauf haben Sie überhaupt keinen Einfluss.
- Gefälschte E-Mails (Phishing): Eine Nachricht, die aussieht wie von Ihrer Bank, führt auf eine täuschend echte Seite. Was Sie dort eintippen, landet direkt beim Betrüger.
- Mehrfach verwendete Passwörter: Ist ein Passwort einmal bekannt, wird es automatisch bei hunderten anderen Diensten ausprobiert.
- Schadprogramme auf dem Gerät: Manche Programme lesen im Hintergrund mit, was getippt oder im Browser gespeichert ist.
Ein Passwort ist wie der Haustürschlüssel. Ein zweiter Nachweis ist das zusätzliche Schloss: Wer den Schlüssel findet, steht damit trotzdem noch draußen.
Die drei Arten von Nachweisen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet drei Kategorien, aus denen ein Nachweis stammen kann. Von einer echten Zwei-Faktor-Anmeldung spricht man erst, wenn zwei verschiedene Kategorien kombiniert werden:
- Wissen – etwas, das nur Sie kennen: Passwort, PIN, Antwort auf eine Sicherheitsfrage.
- Besitz – etwas, das nur Sie haben: Ihr Handy, ein TAN-Generator, ein kleiner Stick zum Anstecken, Ihr Personalausweis.
- Merkmal – etwas, das nur Sie sind: Fingerabdruck, Gesicht, Stimme.
Passwort plus Sicherheitsfrage ist deshalb keine Zwei-Faktor-Anmeldung – beides ist Wissen. Passwort plus Code aufs Handy dagegen schon.
Die Verfahren im Einzelnen
Die Einstufung („Sehr sicher“, „Brauchbar“, „Nur im Notfall“) orientiert sich an den Bewertungstabellen des BSI und daran, wie gut ein Verfahren gegen gefälschte Anmeldeseiten schützt – das ist heute die häufigste Angriffsform.
Code per SMS
Nach dem Passwort kommt eine Kurznachricht mit einer sechsstelligen Zahl aufs Handy. Das kennt fast jeder, es funktioniert auch auf einem einfachen Tastenhandy und braucht keine Einrichtung.
Die Schwächen: Betrüger können sich bei Ihrem Mobilfunkanbieter eine Ersatzkarte für Ihre Nummer ausstellen lassen, und auf einer gefälschten Seite tippen Sie den Code arglos beim Angreifer ein, der ihn in Sekunden weiterreicht.
Immer noch viel besser als gar nichts – aber wechseln Sie, sobald der Dienst etwas Besseres anbietet.
Code per E-Mail
Derselbe Gedanke, nur landet der Code im Postfach. Das hat einen eigenen Haken: Wer Ihr E-Mail-Passwort kennt, hat damit auch gleich den zweiten Nachweis. Und wenn Sie E-Mails ohnehin am selben Gerät lesen, sind beide Faktoren am selben Ort.
Nur sinnvoll, wenn das E-Mail-Konto selbst besonders gut abgesichert ist.
Authenticator-App (Zahlencode aus einer App)
Eine kleine App auf dem Handy – etwa Google Authenticator, Microsoft Authenticator, Aegis oder 2FAS – zeigt für jeden Zugang einen Code, der sich alle 30 Sekunden ändert. Bei der Einrichtung scannen Sie einmal einen QR-Code, danach läuft alles ohne Internet und ohne Mobilfunknetz.
Der Code steckt nicht mehr im Netz und ist deutlich schwerer abzufangen als eine SMS. Nur gegen eine perfekt nachgebaute Anmeldeseite hilft auch er nicht: Auch diese Ziffern kann man weitertippen.
Der solide Standard, wenn es keine Passkeys gibt. Wichtig: Sicherung der App einrichten!
Freigabe in der App („Waren Sie das?“)
Statt eines Codes erscheint auf dem Handy eine Meldung: „Anmeldung aus Chemnitz – bestätigen?“ Ein Tippen genügt. Viele Dienste zeigen zusätzlich eine Zahl an, die auf beiden Bildschirmen übereinstimmen muss – das ist eine spürbare Verbesserung.
Die Gefahr liegt in der Gewohnheit: Wer aus Reflex auf „Ja“ tippt, winkt im schlimmsten Fall einen Fremden durch.
Bequem und ordentlich – bestätigen Sie aber nur, was Sie selbst gerade ausgelöst haben.
Passkey (Anmeldung ganz ohne Passwort)
Der Nachfolger des Passworts. Ihr Gerät legt für jeden Dienst ein eigenes Schlüsselpaar an; der geheime Teil verlässt das Gerät nie. Beim Anmelden entsperren Sie einfach mit Fingerabdruck, Gesicht oder Geräte-PIN – fertig.
Der entscheidende Vorteil: Ein Passkey ist fest mit der echten Internetadresse verknüpft. Auf einer gefälschten Seite funktioniert er schlicht nicht. Es gibt auch nichts mehr, was man Ihnen entlocken könnte.
Die beste Wahl für den Alltag – nutzen Sie Passkeys überall dort, wo sie angeboten werden.
Sicherheitsschlüssel zum Anstecken
Ein kleiner Stick am Schlüsselbund (bekannt sind YubiKey, Nitrokey oder Googles Titan-Schlüssel), den Sie in die USB-Buchse stecken oder ans Handy halten. Zum Anmelden tippen Sie kurz darauf. Preislich bewegen sich die Geräte etwa zwischen 25 und 80 Euro.
Nach der Bewertung des BSI ist das zusammen mit gerätegebundenen Passkeys das widerstandsfähigste Verfahren überhaupt: Es gibt kein Geheimnis, das übertragen wird, und gegen gefälschte Seiten ist es immun.
Ideal für die ganz wichtigen Zugänge – gleich zwei kaufen, einen als Ersatz.
Fingerabdruck und Gesichtserkennung
Ein weit verbreitetes Missverständnis: Ihr Fingerabdruck wandert nicht zum Anbieter. Er bleibt in einem geschützten Bereich Ihres Geräts und dient nur dazu, das Gerät zu entsperren – dieses meldet sich dann mit dem hinterlegten Schlüssel an.
Biometrie ist deshalb kein eigenständiges Verfahren, sondern der bequeme Auslöser für einen Passkey oder eine App-Freigabe. Und genau so ist sie richtig eingesetzt.
Bedenkenlos nutzen – ein zusätzliches Sicherheitsnetz.
TAN-Verfahren beim Online-Banking
Banken sind gesetzlich zu zwei Faktoren verpflichtet. Am besten schneidet chipTAN ab: ein eigenes kleines Lesegerät mit Ihrer Bankkarte, völlig getrennt vom Computer. Auch photoTAN und pushTAN in der Bank-App sind gut – hier laufen Auftrag und Freigabe aber häufig auf demselben Handy.
Die alte SMS-TAN haben die meisten Banken inzwischen abgeschafft oder kostenpflichtig gemacht. Prüfen Sie beim Freigeben immer Betrag und Empfänger-Konto auf dem Display – dort steht die Wahrheit, nicht im Browser.
chipTAN, wenn Ihre Bank es anbietet; sonst pushTAN möglichst auf einem zweiten Gerät.
Der Personalausweis (Online-Ausweisfunktion)
In jedem deutschen Personalausweis steckt ein Chip, mit dem Sie sich gegenüber Behörden, Krankenkassen, Rentenversicherung oder Banken ausweisen können – mit der AusweisApp und Ihrer sechsstelligen PIN, Ausweis ans Handy gehalten.
Das BSI stuft dieses Verfahren als eines der sichersten ein. Es ist allerdings nur bei vergleichsweise wenigen Stellen einsetzbar.
Für Behördengänge von zu Hause aus hervorragend – die PIN am besten heute noch aktivieren lassen.
Passkeys – etwas ausführlicher
Weil Passkeys das Verfahren der nächsten Jahre sind, lohnt ein zweiter Blick. Der Ablauf ist erfreulich einfach:
- In den Sicherheitseinstellungen des Dienstes wählen Sie „Passkey erstellen“.
- Ihr Gerät erzeugt zwei zusammengehörige Schlüssel. Der öffentliche geht an den Anbieter – mit ihm allein kann niemand etwas anfangen. Der geheime bleibt bei Ihnen.
- Beim nächsten Anmelden fragt der Dienst: „Beweise, dass du den geheimen Schlüssel hast.“ Sie entsperren mit Finger, Gesicht oder PIN, das Gerät antwortet – fertig.
Weil der geheime Schlüssel nie übertragen wird, gibt es beim Anbieter nichts zu stehlen, und es gibt nichts, was Sie versehentlich auf einer falschen Seite eingeben könnten. Genutzt werden können Passkeys inzwischen unter anderem bei Google, Microsoft, Apple, Amazon, PayPal, eBay, WhatsApp, LinkedIn und GitHub – die Liste wächst monatlich.
Zwei Bauarten sollten Sie auseinanderhalten:
- Synchronisierte Passkeys liegen verschlüsselt im Passwortspeicher von Google, Apple oder einem Passwortmanager und stehen dadurch auf allen Ihren Geräten bereit. Sehr bequem – und bei einem neuen Handy sind sie einfach wieder da.
- Gerätegebundene Passkeys verlassen ein Gerät niemals, zum Beispiel auf einem Sicherheitsschlüssel. Noch etwas sicherer, dafür müssen Sie jeden Zugang bei einem Gerätewechsel neu einrichten.
Für den privaten Gebrauch sind synchronisierte Passkeys in aller Regel die richtige Wahl: Der Sicherheitsgewinn gegenüber dem Passwort ist riesig, und die Bequemlichkeit sorgt dafür, dass man dabeibleibt.
Auf einen Blick
| Verfahren | Schutz vor gefälschten Seiten | Aufwand | Braucht man dafür |
|---|---|---|---|
| Code per SMS | nein | sehr gering | irgendein Handy |
| Code per E-Mail | nein | sehr gering | E-Mail-Postfach |
| Authenticator-App | nein | gering | Smartphone |
| Freigabe in der App | teilweise | gering | Smartphone |
| Passkey | ja | gering | neueres Gerät |
| Sicherheitsschlüssel | ja | mittel | Stick, 25–80 € |
| chipTAN | ja | mittel | Lesegerät, Bankkarte |
| Personalausweis | ja | mittel | Ausweis mit aktiver PIN |
Und wenn das Handy verloren geht?
Das ist die Sorge, die die meisten Menschen vom zweiten Faktor abhält – zu Recht, denn wer hier nicht vorsorgt, sperrt sich selbst aus. Drei Vorkehrungen genügen:
Die drei Rettungsanker
1. Wiederherstellungscodes ausdrucken. Fast jeder Dienst bietet bei der Einrichtung eine Liste mit acht bis zehn Einmal-Codes an. Drucken Sie diese aus und legen Sie sie zu den wichtigen Papieren – nicht auf den Computer.
2. Ein zweites Verfahren hinterlegen. Zum Beispiel den Passkey auf dem Handy und zusätzlich auf dem Tablet, oder einen zweiten Sicherheitsschlüssel im Schreibtisch.
3. Die Sicherung der Authenticator-App einschalten. Sonst sind bei einem Handywechsel alle Codes verloren. Bei Google und Microsoft geht das über das jeweilige Konto, bei Aegis über eine Sicherungsdatei.
Ein wichtiger Hinweis dazu: Richten Sie als Notlösung keinen schwächeren Weg ein, der die ganze Absicherung wieder aushebelt – eine Sicherheitsfrage nach dem Mädchennamen der Mutter macht das schönste Verfahren wertlos.
Das Fundament: ein Passwortmanager
So lange nicht alle Dienste Passkeys können, brauchen Sie weiterhin Passwörter – und zwar für jeden Zugang ein anderes. Sich die zu merken, ist unmöglich, und genau dafür gibt es Passwortmanager wie Bitwarden, KeePass, den Apple-Schlüsselbund oder den Google-Passwortmanager. Sie merken sich ein gutes Hauptpasswort, alles Übrige übernimmt das Programm.
Ein schöner Nebeneffekt: Ein Passwortmanager füllt Anmeldedaten nur auf der echten Seite aus. Bietet er nichts an, ist das ein sehr deutliches Warnsignal, dass Sie gerade woanders gelandet sind. Und die meisten dieser Programme verwalten inzwischen auch Ihre Passkeys mit.
So gehen Sie am besten vor
Alles auf einmal muss nicht sein. Diese Reihenfolge bringt den größten Gewinn bei kleinstem Aufwand:
- Beim E-Mail-Konto anfangen. Es ist der Generalschlüssel: Wer Ihr Postfach hat, kann sich bei fast allen anderen Diensten ein neues Passwort schicken lassen.
- Dann Online-Banking und Bezahldienste – dort geht es ums Geld.
- Danach die Konten mit hinterlegter Zahlungsart: Amazon, eBay, App-Store, Mobilfunkanbieter.
- Zum Schluss soziale Netzwerke und Cloud-Speicher – dort liegen Ihre Fotos und Ihr guter Name.
Bei jedem einzelnen Dienst gilt dieselbe Faustregel: Suchen Sie in den Einstellungen den Punkt „Sicherheit“ oder „Anmeldung“. Wird dort ein Passkey angeboten, nehmen Sie den. Sonst eine Authenticator-App. Und nur, wenn beides fehlt, die SMS. Danach die Wiederherstellungscodes ausdrucken – und weiter zum nächsten Konto.
Drei Fragen, die mir oft gestellt werden
„Ist das nicht viel zu umständlich für jeden Tag?“
Deutlich weniger, als man denkt. Die meisten Dienste fragen den zweiten Nachweis nur beim ersten Mal auf einem Gerät ab, danach höchstens alle paar Wochen. Bei Passkeys entfällt sogar das Tippen des Passworts – unterm Strich geht das Anmelden also schneller als vorher.
„Was mache ich, wenn ich gar kein Smartphone habe?“
Dann sind der Sicherheitsschlüssel zum Anstecken und – beim Banking – das chipTAN-Lesegerät genau das Richtige. Beides funktioniert vollkommen ohne Handy und ohne Internet.
„Brauche ich dann überhaupt noch ein gutes Passwort?“
Ja, so lange es noch verlangt wird. Der zweite Faktor ist das zusätzliche Schloss, nicht der Ersatz für die Tür. Erst wenn ein Dienst vollständig auf Passkeys umgestellt ist, wird das Passwort wirklich überflüssig.
Sie müssen nicht alles auf einmal umstellen. Ein einziges Konto besser abgesichert ist mehr wert als ein guter Vorsatz.
Wenn Sie bei der Einrichtung Unterstützung möchten – ob am eigenen Rechner oder per Fernwartung –, helfe ich Ihnen gern dabei. Wir gehen das in Ruhe gemeinsam durch, Konto für Konto, und sorgen dafür, dass Sie sich am Ende nicht selbst aussperren.
Herzliche Grüße
Klaus Böhm
Alle genannten Produkt- und Firmennamen (u. a. Google, Microsoft, Apple, Amazon, PayPal, eBay, WhatsApp, LinkedIn, GitHub, YubiKey, Nitrokey, Bitwarden, KeePass, Aegis, 2FAS, AusweisApp) sind Marken der jeweiligen Inhaber. Dieser Beitrag ist ein unabhängiges, redaktionelles Angebot der GRIPS-Angebote und steht in keiner Verbindung zu den genannten Unternehmen. Die Sicherheitsbewertungen orientieren sich an den Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI); Stand: September 2026. Preisangaben sind unverbindliche Anhaltswerte.