Die Zwei-Faktor-Authentifizierung (2FA) prüft Ihre Identität beim Login mit zwei unterschiedlichen Faktoren aus verschiedenen Kategorien, etwa einem Passwort und einem Code aus einer App. Das BSI spricht von Zwei-Faktor-Authentisierung.
Wer das Passwort kennt, kommt damit allein nicht mehr ins Konto, denn der zweite Faktor fehlt. Das macht gestohlene oder erratene Zugangsdaten für Angreifer deutlich weniger nützlich, auch bei Ihrem Webseiten-Login und Ihrem Shop-Backend.
Aktivieren Sie 2FA überall, wo ein Dienst sie anbietet, und hinterlegen Sie gleich einen zweiten Ersatzfaktor. So bleibt der Zugang auch bei einem verlorenen Gerät erhalten.
Ein Passwort allein ist eine schwache Absicherung. Es kann erraten, bei einem Datenleck veröffentlicht oder per Phishing abgegriffen werden. Wer dann dasselbe Passwort bei mehreren Diensten nutzt, öffnet Angreifern gleich mehrere Türen.
Das BSI empfiehlt, die Zwei-Faktor-Authentisierung zu aktivieren, wann immer ein Online-Dienst sie anbietet, vor allem bei Banking, Online-Shopping und Konten mit weitreichenden Rechten. Für Betreiber von Webseiten betrifft das besonders den Zugang zu Verwaltung, Hosting und E-Mail.
Beim Login müssen zwei Faktoren aus verschiedenen Kategorien zusammenkommen. Das BSI und das US-amerikanische NIST unterscheiden drei Kategorien:
Sie melden sich im Backend Ihrer Webseite mit Benutzername und Passwort an, dem ersten Faktor. Anschließend fragt das System nach einem Code. Diesen zeigt eine Authenticator-App auf Ihrem Smartphone an und ändert ihn in kurzen Abständen. Erst mit beiden Faktoren erhalten Sie Zugang.
Stiehlt jemand nur Ihr Passwort, scheitert er am Code. Dasselbe gilt umgekehrt: Wer nur Ihr Smartphone hat, kennt das Passwort nicht.
Das BSI nennt mehrere Verfahren: Codegeneratoren in Apps, per SMS zugestellte Codes (mTAN), kryptografische Tokens auf Chipkarte oder USB-Stick sowie biometrische Verfahren. Hardwarebasierte Lösungen bezeichnet das BSI als besonders sicher.
Moderne Hardware-Schlüssel nutzen den Standard WebAuthn. Ihre Anmeldung ist an die jeweilige Webseite gebunden und deshalb auf gefälschten Seiten nicht verwendbar. Einen Code aus einer App oder per SMS können Sie dagegen auf einer gefälschten Seite eintippen. Eine Weiterentwicklung ist der Passkey, der das Passwort ganz ersetzt.
2FA erhöht die Sicherheit deutlich, löst aber nicht jedes Problem. Zwei Passwörter sind keine 2FA, denn beide stammen aus derselben Kategorie. Typische Stolperfallen:
2FA steht für Zwei-Faktor-Authentifizierung. Der Login wird mit zwei unterschiedlichen Faktoren geprüft, zum Beispiel Wissen und Besitz.
Fast. Multi-Faktor bedeutet zwei oder mehr Faktoren, 2FA ist der häufigste Fall mit genau zwei.
Nutzen Sie einen hinterlegten Ersatzfaktor, etwa einen zweiten Token oder eine zweite Nummer. Richten Sie diese Ersatzwege vorab ein.
Ein Passkey ersetzt das Passwort und ist an die Webseite gebunden. Wo er angeboten wird, ist er eine starke Alternative.
2FA verbindet zwei unterschiedliche Faktoren und entwertet gestohlene Passwörter. Sie kostet etwas Komfort, schützt aber Konten und Webseiten-Zugänge wirksam. Planen Sie immer einen Ersatzfaktor ein.
Expertengeprüft von Robert Hartl zuletzt am 13.10.2026.
Dieser Beitrag (Was ist 2FA? ᐅ Definition, Varianten) wurde redaktionell erstellt und vor Veröffentlichung fachlich geprüft. Inhalte wurden bei Bedarf korrigiert, ergänzt und aktualisiert. Bei der Erstellung einzelner Formulierungen kann KI-Unterstützung zum Einsatz gekommen sein. Die inhaltliche Verantwortung liegt bei den genannten Personen.
Mit dem Aufruf des Videos erklären Sie sich einverstanden, dass Ihre Daten an YouTube übermittelt werden und Sie die Datenschutzerklärung akzeptieren.
