Zwei-Faktor-Authentifizierung (2FA)

Was ist die Zwei-Faktor-Authentifizierung?

Die Zwei-Faktor-Authentifizierung, kurz 2FA, schützt ein Benutzerkonto durch zwei voneinander unabhängige Nachweise. Neben einem Passwort verlangt die Anmeldung beispielsweise einen Einmalcode, eine Bestätigung per App oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dadurch nicht aus, um auf das Konto zuzugreifen.

Die Zwei-Faktor-Authentifizierung ergänzt die gewöhnliche Anmeldung um eine zweite Sicherheitsstufe. Die englische Bezeichnung lautet Two-Factor Authentication. Voraussetzung ist, dass die beiden Nachweise aus unterschiedlichen Kategorien stammen. Ein Passwort und eine zusätzliche Sicherheitsfrage gelten deshalb nicht als echte 2FA, weil beide Faktoren ausschließlich auf Wissen beruhen.

So funktioniert die Zwei-Faktor-Authentifizierung

Bei der Zwei-Faktor-Authentifizierung prüft ein Dienst nacheinander zwei Merkmale. Zuerst gibst du üblicherweise Benutzername und Passwort ein. Anschließend fordert der Dienst einen zweiten Nachweis an, etwa einen zeitlich begrenzten Code aus einer Authenticator-App. Erst wenn beide Prüfungen erfolgreich sind, wird der Zugriff freigegeben.

Die möglichen Nachweise lassen sich drei Kategorien zuordnen:

Wissen: Ein Merkmal, das du kennst, beispielsweise ein Passwort oder eine PIN.
Besitz: Ein Gegenstand, über den du verfügst, beispielsweise ein Smartphone oder ein physischer Sicherheitsschlüssel.
Biometrie: Ein persönliches Merkmal wie Fingerabdruck oder Gesichtserkennung.

Eine echte Zwei-Faktor-Authentifizierung kombiniert zwei Kategorien. Passwort plus PIN bleibt eine einstufige Prüfung mit zwei Wissensmerkmalen. Passwort plus Authenticator-App verbindet dagegen Wissen und Besitz. Diese Abgrenzung ist wichtig, weil mehrere Abfragen nicht automatisch mehrere Sicherheitsfaktoren ergeben.

Ein typischer Anmeldevorgang kombiniert das Passwort mit einem zeitlich begrenzten Einmalcode. Selbst wenn ein Angreifer das Passwort kennt, benötigt er zusätzlich Zugriff auf das Gerät oder den geheimen Schlüssel, aus dem der aktuelle Code erzeugt wird.

Welche 2FA-Verfahren gibt es?

Codes per Authenticator-App

Eine Authenticator-App erzeugt Einmalpasswörter direkt auf dem registrierten Gerät. Viele Verfahren verwenden zeitbasierte Codes, die nur für ein kurzes Intervall gültig sind. Die Code-Erzeugung funktioniert häufig auch ohne Mobilfunkempfang, weil App und Dienst denselben geheimen Ausgangswert sowie die aktuelle Uhrzeit verwenden.

Bestätigung per Push-Nachricht

Bei einer Push-Bestätigung sendet der Dienst eine Anmeldeanfrage an eine registrierte App. Der Nutzer genehmigt oder verweigert den Zugriff. Dieses Verfahren ist komfortabel, verlangt aber Aufmerksamkeit: Wiederholte unerwartete Anfragen können darauf hindeuten, dass ein Dritter bereits das Passwort kennt und auf eine versehentliche Freigabe hofft.

SMS und E-Mail-Codes

Ein per SMS versendeter Code ist eine verbreitete Form der Zwei-Faktor-Authentifizierung, bietet jedoch weniger Schutz als eine Authenticator-App oder ein Sicherheitsschlüssel. Angriffe auf die Mobilfunknummer, weitergeleitete Nachrichten und täuschend echte Anmeldeseiten können den Code abfangen. Ein E-Mail-Code schützt außerdem nur dann zusätzlich, wenn das E-Mail-Konto selbst ausreichend abgesichert ist.

Physische Sicherheitsschlüssel

Ein physischer Sicherheitsschlüssel bestätigt die Anmeldung über ein separates Gerät, das per USB, NFC oder einer anderen unterstützten Verbindung kommuniziert. Moderne Verfahren prüfen dabei auch, für welche Domain die Anmeldung bestimmt ist. Dadurch können Sicherheitsschlüssel besser gegen Phishing schützen als Codes, die ein Nutzer auf einer gefälschten Anmeldeseite eingeben kann.

2FA, MFA und Zwei-Schritt-Verifizierung

Der Unterschied zwischen Zwei-Faktor-Authentifizierung und Multi-Faktor-Authentifizierung liegt in der Anzahl der unabhängigen Faktoren. 2FA verlangt genau zwei Faktoren. Multi-Faktor-Authentifizierung, kurz MFA, ist der Oberbegriff für Verfahren mit mindestens zwei Faktoren und kann auch drei Nachweise kombinieren.

Eine Zwei-Schritt-Verifizierung beschreibt zunächst nur einen Ablauf mit zwei Prüfungen. Beide Schritte können derselben Kategorie angehören. Die Eingabe eines Passworts und die anschließende Antwort auf eine Sicherheitsfrage ist zweistufig, aber keine echte Zwei-Faktor-Authentifizierung. Prüfe deshalb nicht nur die Zahl der Abfragen, sondern die zugrunde liegenden Faktorkategorien.

Warum 2FA im Online-Marketing zählt

Die Zwei-Faktor-Authentifizierung schützt im Online-Marketing Zugänge mit hoher wirtschaftlicher und technischer Bedeutung. Dazu gehören Content-Management-Systeme, Hosting-Konten, Domain-Verwaltungen, E-Mail-Postfächer, Werbekonten, Analyseplattformen, Social-Media-Profile und Kundenverwaltungssysteme. Ein kompromittierter Zugang kann Inhalte, Tracking, Budgets oder Weiterleitungen verändern.

Für SEO sind besonders CMS-, Hosting-, Domain- und Suchmaschinenkonten relevant. Unbefugte Änderungen an Seiten, Canonical Tags, Weiterleitungen oder der robots.txt können Crawling und Indexierung beeinflussen. Nach einem Sicherheitsvorfall hilft ein systematisches SEO-Audit, technische Veränderungen und Auswirkungen auf die SEO-Sichtbarkeit zu erfassen.

Im SEA schützt die Zwei-Faktor-Authentifizierung Zugänge zu Werbekonten, Zahlungsdaten und Kampagneneinstellungen. Unternehmen sollten 2FA daher für sämtliche Administratoren und externe Zugänge aktivieren. Klare Rechte und getrennte Benutzerkonten erleichtern zusätzlich die Nachvollziehbarkeit. Hinweise zur strukturierten Kontobetreuung findest du auf der Seite zur Google Ads Agentur.

Die Absicherung zentraler Marketingkonten gehört außerdem zur digitalen Brand Protection. Wenn Angreifer Zugriff auf Domains, Social-Media-Profile oder Unternehmenspostfächer erhalten, können sie unter dem Namen der Marke kommunizieren. Die Zwei-Faktor-Authentifizierung reduziert dieses Risiko, ersetzt jedoch keine geregelte Rechtevergabe und regelmäßige Zugriffskontrolle.

2FA im Unternehmen einführen

Eine wirksame Einführung beginnt bei den Konten mit den weitreichendsten Berechtigungen. Dazu zählen zentrale E-Mail-Postfächer, Domain-Registrare, Hosting, CMS, Werbeplattformen und Benutzerverwaltungen. Danach folgen persönliche Arbeitskonten und weitere Marketingdienste. Für jeden Zugang sollte eindeutig feststehen, wer den zweiten Faktor verwaltet und wie eine Wiederherstellung abläuft.

Aktiviere 2FA zuerst für Administratoren und Konten mit Zahlungs- oder Veröffentlichungsrechten.
Bevorzuge Authenticator-Apps oder Sicherheitsschlüssel, wenn der jeweilige Dienst diese Verfahren anbietet.
Vergib persönliche Benutzerkonten, damit Zugriffe einzelnen Personen zugeordnet werden können.
Entferne Berechtigungen zeitnah, sobald eine Person keinen Zugriff mehr benötigt.
Bewahre Wiederherstellungscodes getrennt vom Passwort und außerhalb des geschützten Geräts auf.

Messbar ist die Einführung zum Beispiel über die 2FA-Aktivierungsquote: Anzahl der mit 2FA geschützten relevanten Konten geteilt durch die Gesamtzahl der relevanten Konten, multipliziert mit 100. Sind 18 von 20 Administratorkonten geschützt, beträgt die Quote 90 Prozent. Prüfe zusätzlich, ob die zwei ungeschützten Konten weitreichende Rechte besitzen, denn die Quote allein bildet das konkrete Zugriffsrisiko nicht vollständig ab.

Eine Zwei-Faktor-Authentifizierung braucht einen geregelten Wiederherstellungsprozess. Liegen Ersatzcodes ausschließlich auf dem verlorenen Smartphone oder besitzt nur eine ausgeschiedene Person den Sicherheitsschlüssel, kann auch ein berechtigter Nutzer den Zugang verlieren. Hinterlege Wiederherstellungswege kontrolliert und dokumentiere die Zuständigkeit.

Häufige Fragen zur Zwei-Faktor-Authentifizierung

Kann die Zwei-Faktor-Authentifizierung gehackt werden?

Die Zwei-Faktor-Authentifizierung bietet keinen absoluten Schutz. Phishing-Seiten können eingegebene Einmalcodes unmittelbar weiterleiten, und unbedacht bestätigte Push-Anfragen können einen Zugriff freigeben. Sicherheitsschlüssel und domainbezogene Anmeldeverfahren erschweren solche Angriffe stärker als SMS- oder manuell eingegebene Codes.

Was passiert, wenn ich mein Smartphone verliere?

Der Zugriff lässt sich je nach Dienst über Wiederherstellungscodes, ein Ersatzgerät, einen zweiten Sicherheitsschlüssel oder einen geprüften Kontowiederherstellungsprozess zurückerlangen. Wiederherstellungscodes sollten vor einem Geräteverlust erzeugt und getrennt vom Smartphone aufbewahrt werden.

Ist ein Fingerabdruck bereits eine Zwei-Faktor-Authentifizierung?

Ein Fingerabdruck ist zunächst nur ein biometrischer Faktor. Echte Zwei-Faktor-Authentifizierung entsteht erst durch die Kombination mit einer anderen Kategorie, etwa einem registrierten Gerät oder einem Passwort. Das Entsperren einer App per Fingerabdruck bedeutet daher nicht automatisch, dass der gesamte Anmeldevorgang zwei Faktoren verwendet.

Brauche ich für jedes Konto eine andere Authenticator-App?

Eine Authenticator-App kann normalerweise mehrere Konten verwalten. Jedes Konto erhält dabei einen eigenen geheimen Schlüssel und erzeugt einen separaten Code. Unternehmen sollten zusätzlich festlegen, wie dienstliche Konten bei Gerätewechseln oder personellen Veränderungen übertragen werden.

Sind Passkeys dasselbe wie 2FA?

Passkeys und Zwei-Faktor-Authentifizierung sind unterschiedliche Konzepte. Ein Passkey ersetzt häufig das Passwort durch ein kryptografisches Anmeldeverfahren und kann an ein Gerät sowie dessen Entsperrung gebunden sein. Ob der konkrete Ablauf mehrere Faktoren umfasst, hängt von der technischen Umsetzung und der Geräteprüfung ab.

Sollte 2FA für alle Mitarbeiter verpflichtend sein?

Unternehmen sollten 2FA mindestens für Konten mit administrativen Rechten, Zahlungsdaten, sensiblen Informationen oder Veröffentlichungsfunktionen verbindlich vorgeben. Eine einheitliche Aktivierung für sämtliche dienstlichen Konten reduziert Ausnahmen und erleichtert die Kontrolle, sofern Wiederherstellung und Gerätewechsel geregelt sind.