Ein zweiter Faktor macht ein gestohlenes Passwort wertlos
Ein Passwort hat eine grundsätzliche Schwäche: Es ist ein einziges Geheimnis. Wer es kennt, ist drin — und an ein Passwort zu kommen, ist oft leichter als gedacht: ein Datenleck beim Anbieter, eine gefälschte Login-Seite, ein Blick über die Schulter.
Genau dagegen hilft ein zweiter, unabhängiger Nachweis. Die Multi-Faktor-Authentifizierung (oft 2FA für Zwei-Faktor-Authentifizierung) verlangt bei der Anmeldung einen zweiten Nachweis zusätzlich zum Passwort — meist etwas, das nur Sie besitzen, etwa Ihr Smartphone. Wer nur das Passwort hat, kommt nicht hinein, solange ihm dieser zweite Nachweis fehlt. Genau das ist Frau M.s Chance: Ihr Passwort ist zwar bekannt, aber den zweiten Faktor hat der Angreifer nicht — es sei denn, sie gibt ihn ihm selbst.
Sie begegnen diesem zweiten Faktor längst überall: beim Anmelden am Firmen-Postfach oder über das VPN ins Firmennetz ebenso wie privat beim Onlinebanking. Im Unternehmen ist er meist von der IT vorgeschrieben; für Ihre privaten Konten lohnt es sich, ihn selbst überall dort einzuschalten, wo er angeboten wird.
Eine Anfrage aus dem Nichts
ist ein Alarm!
Was Frau M. nachts erlebt, hat einen Namen: Prompt Bombing oder MFA-Müdigkeit. Ein Angreifer, der das Passwort schon hat, löst so lange Bestätigungsanfragen aus, bis das Opfer entnervt oder im Halbschlaf auf „Ja" tippt. Über genau diese Masche drangen Angreifer in die Netze großer Unternehmen wie Uber und Cisco ein — die Bestätigung eines einzelnen Beschäftigten genügte.
Die Regel dagegen ist einfach und die wichtigste dieser Lektion: Bestätigen Sie niemals eine Anmeldung, die Sie nicht selbst unmittelbar zuvor ausgelöst haben. Kommt eine Anfrage aus dem Nichts, ist das kein Zufall, sondern ein Alarmzeichen — es bedeutet, dass Ihr Passwort bereits jemand anderem bekannt ist. Tippen Sie nicht auf Ja, und ändern Sie danach umgehend das Passwort.
Frau M. tut genau das: Sie legt das Telefon weg und ändert am Morgen ihr Passwort. Der zweite Faktor hat gehalten — weil sie ihn nicht selbst aus der Hand gegeben hat.
Zum Weiterlesen:
die Technik dahinter
Nicht Pflichtstoff — für alle, die genauer wissen wollen, warum die Verfahren sich so unterscheiden.
Ein Faktor ist ein Nachweis der Identität, davon gibt es drei Kategorien: Wissen (Passwort, PIN), Besitz (Smartphone, Hardware-Schlüssel) und Inhärenz (Fingerabdruck, Gesicht). Entscheidend ist die Mischung: Zwei Passwörter nacheinander sind kein zweiter Faktor, sondern zweimal Wissen. Auch eine zusätzliche Sicherheitsfrage zählt nicht — sie ist wieder Wissen und lässt sich erraten oder recherchieren.
SMS: Beim „SIM-Swapping" überreden Betrüger den Mobilfunkanbieter, die Rufnummer auf eine neue Karte zu übertragen, und fangen die Codes selbst ab — 2024 stieg diese Betrugsform laut britischer National Fraud Database um über tausend Prozent. Auf gefälschten Seiten lässt sich ein SMS-Code zudem in Echtzeit mitlesen.
E-Mail-Code: Er soll Besitz nachweisen (nur wer ins Postfach kommt, bekommt den Code) — aber ein Postfach öffnet man mit einem Passwort, also mit Wissen. Damit verfehlt er den Sinn eines zweiten Faktors. NIST schließt E-Mail in der Richtlinie SP 800-63B als zweiten Kanal ausdrücklich aus. Besonders tückisch: Landet der Code in genau dem Postfach, das er schützen soll (ein Google-Code, der in Gmail eintrifft), ist er gar kein zweiter Faktor mehr. Warum das E-Mail-Postfach überhaupt das kritischste Konto ist, zeigt Lektion 1.2.1.
Am sichersten sind Verfahren, die an die echte Adresse des Dienstes gebunden sind und auf einer gefälschten Seite von vornherein versagen: Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard — dieselbe Technik, die auch hinter Passkeys steckt (Lektion 1.2.4).
Am sichersten sind Verfahren, die an die echte Adresse des Dienstes gebunden sind und auf einer gefälschten Seite von vornherein versagen: Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard — dieselbe Technik, die auch hinter Passkeys steckt (Lektion 1.2.4).
Kurz gesagt
2FA aktivieren, App statt SMS — und aus dem Nichts kommende Bestätigungen niemals bestätigen.
- SMS-Schwächen (SIM-Swapping +1000 % 2024), Prompt Bombing bei Uber und Cisco, Vorteil der Authenticator-App — Specops Software, 2025
- NIST rät seit 2017 von SMS ab; FIDO2/WebAuthn ist phishing-resistent — ScrambleID, 2026
- NIST SP 800-63B: E-Mail und Internettelefonie als zweiter Kanal ausgeschlossen — NIST
- Schwächen des E-Mail-Codes — LoginRadius
