Ein zweiter Faktor stoppt viele Angriffe, aber nicht jeder zweite Faktor ist gleich gut. Dieser Beitrag ordnet die gängigen Methoden ein, erklärt, was Passkeys anders machen, und zeigt, wie Sie die Einführung im Betrieb angehen.
Hinweis: Stand: Oktober 2026. Funktionen und Bezeichnungen der Hersteller ändern sich. Die Einordnung beschreibt Prinzipien, nicht ein bestimmtes Produkt.
Warum ein Passwort allein nicht mehr reicht
Passwörter werden erraten, wiederverwendet, in Datenlecks veröffentlicht oder per Phishing abgegriffen. Wer ein Passwort hat, ist im Konto. Mehrfaktor-Anmeldung (MFA) verlangt zusätzlich etwas, das der Angreifer nicht so leicht bekommt.
Wichtig ist der Unterschied zwischen Methoden: Manche lassen sich mit einer gefälschten Anmeldeseite austricksen, andere nicht.
Die Methoden im Vergleich
| Methode | Schutz | Schwäche |
|---|---|---|
| SMS-Code | besser als nichts | Codes lassen sich abfangen oder per Phishing erfragen, SIM-Tausch möglich |
| Authenticator-App mit Bestätigung | gut | Anfällig für Erschöpfungsangriffe, wenn Nutzer wiederholte Anfragen irgendwann bestätigen |
| Authenticator-App mit Zahlenabgleich | besser | Reduziert Bestätigungen aus Versehen, lässt sich aber bei gefälschten Seiten noch überlisten |
| Sicherheitsschlüssel (FIDO2) | sehr gut | Hardware muss verteilt und verwaltet werden |
| Passkey | sehr gut | Setzt unterstützte Geräte und Dienste voraus, Wiederherstellung muss geplant sein |
Was Passkeys anders machen
Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar: Der geheime Teil bleibt auf dem Gerät, der Dienst bekommt nur den öffentlichen Teil. Die Anmeldung läuft über Fingerabdruck, Gesichtserkennung oder Geräte-PIN.
Der entscheidende Vorteil: Passkeys und Sicherheitsschlüssel sind an die echte Adresse des Dienstes gebunden. Auf einer gefälschten Seite funktionieren sie nicht. Man nennt das phishing-resistent. Deshalb empfehlen Sicherheitsbehörden und Hersteller sie zunehmend.
Praxis: Für Administratoren und Personen mit Zugriff auf Finanzen oder sensible Daten lohnt sich der Wechsel zu Sicherheitsschlüsseln oder Passkeys zuerst.
Einführung im Betrieb in fünf Schritten
- Ausgangslage klären: Welche Dienste, welche Konten, welche Methoden sind heute aktiv?
- Reihenfolge festlegen: Administratoren und Leitungsrollen zuerst, dann alle anderen.
- Methode wählen: Authenticator-App mit Zahlenabgleich als Standard, Sicherheitsschlüssel oder Passkeys für sensible Rollen.
- Wiederherstellung planen: Was passiert bei verlorenem Handy? Ersatzmethode und Notfallkonten festlegen.
- Schulen und begleiten: Kurze Einführung, Anlaufstelle für Fragen und Auswertung, wer noch keinen zweiten Faktor hat.
Typische Stolpersteine
- Ausnahmen für Bequeme: Einzelne Konten ohne MFA sind ein Einfallstor. Ausnahmen brauchen Begründung und Frist.
- Altgeräte und alte Anwendungen, die moderne Verfahren nicht kennen, müssen vorher geklärt werden.
- Kein Plan für den Verlust: Wer sein Gerät verliert, sollte nicht ausgesperrt bleiben oder ungeprüft zurückgelassen werden.
- Nur Technik, keine Erklärung: Wenn Mitarbeitende nicht wissen, warum, bestätigen sie im Zweifel jede Anfrage.
Häufige Fragen
Ist SMS als zweiter Faktor genug?
Besser als kein zweiter Faktor, aber schwächer als eine Authenticator-App und deutlich schwächer als Sicherheitsschlüssel oder Passkeys.
Was passiert, wenn jemand sein Handy verliert?
Dafür braucht es vorab einen Plan: eine Ersatzmethode, eine Anlaufstelle und die Möglichkeit, den zweiten Faktor neu zu hinterlegen, nachdem die Identität geprüft wurde.
Brauchen wir für Passkeys neue Geräte?
Nicht unbedingt, viele aktuelle Geräte unterstützen sie. Ob Ihre Dienste sie anbieten, prüfen wir im Konzept.
Lässt sich MFA für alle Dienste einführen?
Für die wichtigen ja, etwa Microsoft 365, VPN und Verwaltungsportale. Welche Dienste Vorrang haben, klären wir bei der Bestandsaufnahme.
Gehört MFA zu NIS2?
Ja, Mehrfaktor-Anmeldung gehört zu den geforderten Maßnahmen. Mehr in der NIS2-Beratung.
Dieser Beitrag ordnet Methoden ein und ist keine Produktempfehlung. Konkrete Konfigurationen hängen von Ihrer Umgebung ab.
Wie sind Ihre Konten heute geschützt?
Der Security-Check zeigt in kurzer Zeit, wo Ihre größten Risiken liegen, mit einem klaren Plan, was zuerst zu tun ist.
Security-Check starten