Ein Passwort ist ein einzelner Nachweis: etwas, das Sie wissen. Das Problem ist, dass alles, was Sie wissen, auch jemand anderem bekannt werden kann — erraten, in einer unabhängigen Datenpanne geleakt oder über eine überzeugende Phishing-E-Mail preisgegeben. Zwei-Faktor-Authentifizierung (2FA) versucht nicht, diesen einzelnen Nachweis unknackbar zu machen. Stattdessen besteht sie auf einem zweiten, völlig anderen Nachweis — und genau diese Kombination verhindert die meisten Kontoübernahmen wirklich.
Die drei offiziellen Nachweiskategorien
Sicherheitssysteme klassifizieren Authentifizierungsnachweise in drei Faktoren: etwas, das Sie <strong>wissen</strong> (ein Passwort, eine PIN), etwas, das Sie <strong>haben</strong> (ein Telefon, das einen Code empfangen kann, ein physischer Sicherheitsschlüssel), und etwas, das Sie <strong>sind</strong> (ein Fingerabdruck oder Gesichtsscan). Echte Multi-Faktor-Authentifizierung kombiniert Nachweise aus mindestens zwei <em>verschiedenen</em> Kategorien — genau deshalb ist ein Passwort plus eine Sicherheitsfrage keine echte 2FA: Beide bleiben Dinge, die Sie wissen, und beide können auf dieselbe Art gestohlen oder erraten werden.
Ein Passwort allein ist ein Faktor — etwas, das Sie wissen, und Dinge, die man weiß, können leaken. 2FA fügt einen zweiten, anderen Nachweis hinzu und verlangt beide zusammen.
Warum das Kombinieren zweier Faktoren so viel stärker ist
Ein Angreifer, der eine Datenbank geleakter Passwörter gestohlen hat, hat nun Millionen gültiger „Dinge, die Sie wissen“ — aber fast keine der entsprechenden „Dinge, die Sie haben“. 2FA zu umgehen bedeutet, zwei völlig verschiedene Systeme gleichzeitig zu kompromittieren: Ihr Passwort und separat Ihr physisches Telefon oder Ihren Sicherheitsschlüssel. Diese zweite Anforderung muss selbst nicht unknackbar sein — sie muss nur eine wirklich andere Barriere sein, sodass ein einzelnes Leck oder eine einzelne richtige Vermutung nicht beide gleichzeitig überwindet.
Wo 2FA trotzdem besiegt werden kann — und warum das kein Grund ist, sie zu überspringen
2FA ist nicht immun gegen jeden Angriff — SIM-Swap-Betrug kann in seltenen Fällen SMS-Codes umleiten, und ausgeklügelte Phishing-Seiten können beide Faktoren in Echtzeit an einen Angreifer weiterleiten. Aber diese Angriffe erfordern weit mehr Aufwand und sind weit seltener als die massenhaften Passwortleck-Angriffe, gegen die Passwörter allein wehrlos sind. 2FA verspricht keine perfekte Sicherheit; sie verspricht, dass die billigen, automatisierten Angriffe, die gegen Passwörter allein funktionieren, aufhören zu funktionieren. Wenn Authentifizierung, Cybersicherheit oder andere Informatik-Themen mit dem echten Mechanismus statt nur mit einem zu befolgenden Ratschlag erklärt werden müssen, ist genau dafür unsere GCSE-Informatik-Nachhilfe da — siehe den vollständigen Lernweg hier.
Häufig gestellte Fragen
Was sind die drei offiziellen Faktoren bei der Authentifizierung?
Etwas, das Sie wissen (ein Passwort oder eine PIN), etwas, das Sie haben (ein Telefon, ein physischer Sicherheitsschlüssel, eine Bankkarte), und etwas, das Sie sind (ein Fingerabdruck, ein Gesichtsscan oder andere biometrische Daten). Echte Multi-Faktor-Authentifizierung kombiniert mindestens zwei dieser drei Kategorien — zwei Passwörter ergeben keine 2FA, da beide derselbe Faktor sind.
Ist ein SMS-Code so sicher wie eine Authentifizierungs-App?
Nicht ganz — SMS-Codes können in seltenen, aber realen Fällen über einen „SIM-Swap“-Angriff abgefangen werden, bei dem jemand einen Mobilfunkanbieter täuscht, Ihre Nummer auf seine SIM-Karte zu übertragen. Authentifizierungs-Apps erzeugen Codes lokal auf Ihrem Gerät, ohne vom Telefonnetz abhängig zu sein, was diesen spezifischen Angriffsweg schließt, obwohl beide weit sicherer sind als ein Passwort allein.
Warum drängen manche Dienste jetzt so stark auf 2FA, wo sie es früher nicht taten?
Weil massive Passwortlecks aus unabhängigen Sicherheitsverletzungen inzwischen üblich sind, und viele Menschen Passwörter über mehrere Seiten hinweg wiederverwenden — was bedeutet, ein geleaktes Passwort kann mehrere Konten gefährden. 2FA wurde zur Priorität, als Dienste erkannten, dass ein geleaktes Passwort kein seltenes Ereignis mehr ist, sondern etwas, das schließlich den meisten Konten passieren wird.
Bewertungen und Rezensionen von Lesern
Bewerten Sie diesen Artikel in mehreren Kategorien — Ihre Rückmeldung hilft anderen Lesern und uns bei der Verbesserung.
War dieser Artikel hilfreich für Sie?
Sagen Sie uns, was Sie denken — eine Korrektur, eine unbeantwortete Frage, oder ein Thema, das Sie als Nächstes behandelt sehen möchten.
Über den Autor
Sudershan Soni
Gründer und leitender Tutor bei Mostak Services — Tutor für Mathematik, Naturwissenschaften, Informatik und MINT mit Master-Abschluss und über 20 Jahren Berufserfahrung, unterrichtet Schüler von der 11+-Prüfung und GCSE bis zum A-Level und darüber hinaus, online weltweit.
Vollständiges Profil lesen