Entscheidend ist dabei nicht die Zahl der Eingabefelder, sondern die Kombination unterschiedlicher Faktoren. Ein zweites Passwort ist kein echter zweiter Faktor, weil es ebenfalls zum Faktor Wissen gehört. Eine Authentifizierungs-App, ein Sicherheitsschlüssel oder ein biometrisches Merkmal basiert dagegen auf einem anderen Prinzip.
MFA reduziert das Risiko eines gestohlenen Passworts, beseitigt aber nicht jede Gefahr. Phishing, bereits angemeldete Sitzungen, kompromittierte Geräte und unsichere Wiederherstellungswege bleiben relevante Themen. Die Auswahl sollte deshalb nicht nach dem Werbeversprechen eines Dienstes erfolgen, sondern nach Schutzwirkung, Alltagstauglichkeit und den Möglichkeiten zur Wiederherstellung.
Eine Anmeldung gilt als mehrfaktoriell, wenn Nachweise aus unterschiedlichen Gruppen zusammenwirken. Passwort und PIN bilden daher normalerweise keine sinnvolle MFA-Kombination. Passwort und Einmalcode aus einer App gehören dagegen zu zwei verschiedenen Faktorgruppen. Bei passwortlosen Passkeys kann der Besitz eines Geräts durch eine lokale Geräteentsperrung ergänzt werden. Das Ergebnis ist ebenfalls eine starke Kombination, auch wenn kein klassisches Passwort eingegeben wird.
Eine Authentifizierungs-App erzeugt zeitabhängige Einmalcodes. Beim Einrichten wird ein gemeinsames Geheimnis zwischen Dienst und App registriert. Die App berechnet daraus lokal einen Code, der nur für kurze Zeit gültig ist. Das Verfahren funktioniert häufig auch ohne Mobilfunkverbindung, weil die Berechnung auf der Gerätezeit und dem hinterlegten Geheimnis beruht.
Diese Methode ist dem SMS-Code in der Regel vorzuziehen, schützt jedoch nicht automatisch vor Phishing. Gibt eine Person den aktuell angezeigten Code auf einer gefälschten Anmeldeseite ein, kann ein Angreifer ihn unmittelbar weiterverwenden. Die App sollte zudem mit einer Gerätesperre geschützt werden. Beim Wechsel des Smartphones müssen die hinterlegten Konten über einen vorgesehenen Export, einen Übertragungsprozess oder neue Registrierungsschritte übernommen werden.
Bei diesem Verfahren wird ein Code an eine Mobilfunknummer gesendet oder vorgelesen. Die Einrichtung ist für viele Menschen vertraut, doch die Telefonnummer ist kein besonders starker Besitznachweis. Risiken entstehen unter anderem durch manipulierte Mobilfunkkonten, die Übernahme einer Rufnummer, den Zugriff auf Nachrichten oder Social Engineering gegenüber dem Mobilfunkanbieter.
SMS-MFA ist deshalb besser als ein reines Passwort, sollte für besonders schützenswerte Konten aber nach Möglichkeit durch eine phishing-resistente Methode ersetzt werden. Als Wiederherstellungsoption kann eine hinterlegte Telefonnummer sinnvoll sein, sofern sie selbst gut geschützt ist. Eine Telefonnummer allein sollte nicht als einziger Weg zum Konto betrachtet werden.
Passkeys verwenden kryptografische Schlüsselpaare. Der private Schlüssel bleibt auf dem registrierten Gerät oder in einer dafür vorgesehenen sicheren Verwaltung. Der Dienst erhält den öffentlichen Schlüssel. Bei der Anmeldung bestätigt die Person den Zugriff auf den privaten Schlüssel meist durch Geräte-PIN, Fingerabdruck oder Gesichtserkennung.
Das Verfahren ist gegenüber typischen Phishing-Angriffen besonders widerstandsfähig, weil der kryptografische Nachweis an die echte Adresse des Dienstes gebunden ist. Ein gefälschtes Portal kann den Passkey nicht für die echte Website verwenden. Für die Praxis ist zu klären, wie Passkeys zwischen Geräten synchronisiert werden, welche Geräte als Ersatz dienen und wie eine Wiederherstellung funktioniert. Bei geschäftlichen Konten sollte die Verwaltung der registrierten Geräte dokumentiert werden.
Ein Hardware-Schlüssel ist ein physisches Gerät, das bei der Anmeldung per USB, NFC oder Bluetooth mit einem kompatiblen System kommuniziert. Moderne Schlüssel unterstützen häufig FIDO2 beziehungsweise WebAuthn und erzeugen für jeden Dienst einen eigenen kryptografischen Nachweis. Der private Schlüssel verlässt das Gerät nicht.
Hardware-Schlüssel bieten einen starken Schutz gegen Phishing und sind für privilegierte Konten, Administrationszugänge und besonders sensible Daten geeignet. Gegen Verlust hilft ein zweiter registrierter Schlüssel, der getrennt und sicher aufbewahrt wird. Die Anschaffung, Verwaltung und Kompatibilität mit den verwendeten Diensten müssen vor der Einführung geprüft werden.
Fingerabdruck- oder Gesichtserkennung werden häufig zur lokalen Freigabe eines Geräts oder eines Passkeys genutzt. Das biometrische Merkmal ersetzt dabei nicht zwingend den technischen Besitznachweis, sondern entsperrt einen Schlüssel auf dem Gerät. Diese Trennung ist wichtig: Ein Online-Dienst sollte möglichst keinen zentralen Vorrat unveränderlicher biometrischer Rohdaten benötigen.
Biometrie ist komfortabel, hat aber Grenzen. Ein Fingerabdruck oder Gesichtsmerkmal kann nicht wie ein Passwort gewechselt werden. Außerdem müssen alternative Entsperr- und Wiederherstellungswege vorhanden sein, etwa eine Geräte-PIN oder ein Ersatzgerät.
| Verfahren | Schutz gegen Phishing | Abhängigkeit vom Mobilfunk | Geeignete Verwendung |
|---|---|---|---|
| Passkey | Hoch, wenn korrekt über WebAuthn umgesetzt | Keine direkte Abhängigkeit | Alltagskonten, Cloud-Dienste und geschäftliche Zugänge |
| Hardware-Sicherheitsschlüssel | Hoch | Keine | Administrationskonten und besonders schützenswerte Zugänge |
| Authentifizierungs-App | Begrenzt, da Codes abgefangen werden können | Keine SMS-Verbindung erforderlich | Breit unterstützte Standardlösung |
| SMS oder Telefonanruf | Begrenzt | Ja | Übergangslösung oder Wiederherstellungsoption |
| Biometrische Freigabe | Abhängig vom dahinterliegenden Verfahren | Nein, bei lokaler Nutzung | Entsperren von Passkeys und Geräten |
Die Tabelle ersetzt keine Risikoanalyse. Ein Passkey auf einem gemeinsam genutzten, schlecht geschützten Gerät kann problematischer sein als ein gut verwalteter Sicherheitsschlüssel. Umgekehrt ist ein Einmalcode aus einer App kein ausreichender Schutz, wenn das Smartphone ohne Gerätesperre herumliegt und das Konto über eine ungesicherte E-Mail-Adresse wiederhergestellt werden kann.
Als Orientierung gilt: Je größer der mögliche Schaden durch eine Kontoübernahme, desto stärker sollte die Methode gegen Phishing und die Manipulation von Wiederherstellungsprozessen geschützt sein. Für ein Konto mit weitreichenden Berechtigungen sollte ein SMS-Code nicht die bevorzugte einzige Zusatzmaßnahme sein.
Bei einem verlorenen Smartphone sollte das Gerät über die Kontoverwaltung entfernt werden, sofern noch ein anderer Zugang vorhanden ist. Danach sind neue Passkeys oder App-Registrierungen anzulegen. Bei einem gestohlenen Sicherheitsschlüssel muss die betreffende Registrierung aus dem Konto gelöscht werden. Die PIN des Schlüssels schützt nicht gegen jeden Verlust, weil die Besitzkomponente selbst abhandengekommen ist.
Wiederherstellungscodes sind ein Notfallmittel, keine tägliche Anmeldemethode. Nach ihrer Verwendung sollten sie durch einen neuen Satz ersetzt werden, sofern der Dienst dies vorsieht. Bei einem Verdacht auf Kontoübernahme sind Passwortwechsel, Prüfung aktiver Sitzungen, Entfernung unbekannter Geräte und Kontrolle der hinterlegten E-Mail-Adressen sowie Telefonnummern erforderlich.
Administrationskonten sollten von alltäglichen Benutzerkonten getrennt werden. Wo der Dienst es unterstützt, sind Sicherheitsrichtlinien zentral vorzugeben, etwa eine verpflichtende MFA, die Sperrung veralteter Sitzungen oder die Beschränkung besonders sensibler Aktionen. Ein Notfallkonto kann in bestimmten Umgebungen erforderlich sein, muss dann jedoch besonders streng geschützt, überwacht und dokumentiert werden.
Auch die Schulung muss konkret bleiben. Beschäftigte sollten wissen, dass kein Support per Telefon oder Nachricht einen Einmalcode benötigt, dass unerwartete Push-Anfragen abgelehnt werden und dass eine verdächtige Anmeldung sofort gemeldet werden muss. Technische Maßnahmen und klare Abläufe ergänzen sich: MFA erschwert den Missbrauch eines Passworts, ersetzt aber keine Berechtigungsverwaltung und keine Reaktion auf Sicherheitsvorfälle.
Ja, Passwort und SMS-Code stammen aus unterschiedlichen Faktorgruppen. Die Kombination ist jedoch nicht gleich stark gegen alle Angriffe. Für wichtige Konten sind Passkeys, Hardware-Schlüssel oder eine Authentifizierungs-App meist die bessere Wahl, sofern der Dienst diese Verfahren zuverlässig unterstützt.
Eine Authentifizierungs-App ist häufig widerstandsfähiger gegen die Übernahme einer Telefonnummer und benötigt keinen SMS-Empfang. Gegen Phishing schützt sie allerdings nur begrenzt, weil ein aktuell gültiger Code auf einer gefälschten Seite eingegeben werden kann. Passkeys und FIDO2-kompatible Sicherheitsschlüssel bieten hier einen stärkeren Schutz.
Der Zugang sollte über einen Ersatzfaktor oder einen gesicherten Wiederherstellungscode erfolgen. Danach wird das verlorene Gerät aus den Kontoeinstellungen entfernt und ein neues Gerät registriert. Wer keinen Ersatzweg vorbereitet hat, muss den offiziellen Wiederherstellungsprozess des jeweiligen Dienstes nutzen.
Das hängt von der technischen Umsetzung ab. Häufig entsperrt Fingerabdruck- oder Gesichtserkennung lokal einen kryptografischen Schlüssel. Der Online-Dienst erhält dann nicht das biometrische Merkmal, sondern den daraus freigegebenen Nachweis. Entscheidend sind die Angaben des Dienstes und des Betriebssystems.
Eine allgemeingültige Rangfolge gibt es nicht. Für phishing-resistente Anmeldungen sind Passkeys und kompatible Hardware-Schlüssel besonders geeignet. Authentifizierungs-Apps bieten eine verbreitete Alternative. SMS kann als Übergangs- oder Wiederherstellungsoption dienen, sollte bei schützenswerten Konten aber nicht die einzige zusätzliche Absicherung bleiben.
Die Einführung sollte mit den wichtigsten Konten beginnen und immer einen geprüften Ersatzweg enthalten. Wer registrierte Geräte regelmäßig kontrolliert, Wiederherstellungscodes geschützt aufbewahrt und verlorene Faktoren umgehend entfernt, nutzt die Vorteile von MFA deutlich wirksamer. Als fachliche Orientierung für die Auswahl und Umsetzung eignen sich unter anderem die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik, die Leitlinien des National Institute of Standards and Technology und die Veröffentlichungen der FIDO Alliance. Maßgeblich bleibt die konkrete technische Umsetzung des jeweiligen Dienstes.
