2FA Authenticator erklärt – in 3 Schritten

Die 2FA (Zwei-Faktor-Authentifizierung) fügt dem Einloggen eine zusätzliche Sicherheitsstufe hinzu. Neben Ihrem Passwort müssen Sie einen zweiten Schritt bestätigen. Dies erfolgt in der Regel durch einen Code, der über eine App generiert wird. So verhindern Sie, dass Unbefugte Zugriff auf Ihr Konto erhalten, falls Ihr Passwort jemals kompromittiert wird. Beim Einloggen geben Sie zunächst Ihre Anmeldedaten ein und anschließend den Code aus der App. Auf diese Weise ist Ihr Konto doppelt gesichert.

Installieren Sie eine App wie „Proton Authenticator” oder „Google Authenticator”.

Melden Sie sich zunächst mit Ihrem Benutzernamen, gegebenenfalls einem Unternehmenscode und Ihrem Passwort an. Anschließend erscheint ein QR-Code, mit dem Sie das Konto der Website hinzufügen können. Geben Sie den sechsstelligen Code rechtzeitig ein. Alle 30 Sekunden wird ein neuer Code generiert.

Fertig!

Auf dem Markt gibt es verschiedene Authenticator-Apps, die fast alle kostenlos sind. Sie können über den Google Play Store bzw. den Apple App Store heruntergeladen werden. Zusätzlich gibt es auch Authenticator-Apps für Windows und Linux. 
 
Sie können selbst entscheiden, welche App Sie verwenden möchten. 
 

• Proton Authenticator bietet die umfangreichsten Möglichkeiten bezüglich der unterstützten Betriebssysteme. Er ist für Android, iOS, Windows und Linux verfügbar. Die Windows- und Linux-Versionen können Sie hier herunterladen: https://proton.me/authenticator
  
  
• Google Authenticator ist für Android und iOS verfügbar. Nutzen Sie bereits Google Authenticator? Kein Problem, dann müssen Sie nur den ersten QR-Code scannen, um das Konto der Website hinzuzufügen.

Auf dem Server der Website befindet sich ein einzigartiger Code. Beim ersten Mal sehen Sie diesen in Form eines QR-Codes. Nachdem Sie ihn gescannt haben, wird er in Ihrer Authenticator-App und auf dem Server der Website gespeichert. 
 
Ab diesem Zeitpunkt erhalten Sie kontinuierlich einen 6-stelligen Code. Geben Sie diesen Code ein und klicken Sie auf „Senden”. Gleichzeitig generiert der Server einen Code. Stimmen beide Codes überein, erhalten Sie Zugriff. Wenn die Codes nicht identisch sind, stimmt etwas nicht. Sie können es jederzeit erneut versuchen. 
 
So einfach funktioniert dieses System, und doch ist es äußerst effektiv.

Eine Authenticator-App ist eine Anwendung für Smartphones, Tablets oder Computer. Sie erzeugt zeitbasierte Einmalcodes für die Zwei-Faktor-Authentifizierung (2FA). Neben Ihrem Passwort geben Sie beim Login einen sechsstelligen Code ein, der in der App generiert wird und sich alle 30 Sekunden ändert. Selbst wenn Ihr Passwort gestohlen wird, bleibt Ihr Konto geschützt, da ohne den aktuellen Code aus Ihrer App niemand hineinkommt.
In diesem Beitrag erfahren Sie, wie eine Authenticator-App technisch funktioniert, wie Sie sie in wenigen Minuten einrichten, worin sie sich von SMS-Codes und Passkeys unterscheidet und was Sie bei Handyverlust oder Gerätewechsel tun müssen. Am Ende beantworten wir die häufigsten Fragen – auch die, die anderswo selten behandelt werden.

Warum ein Passwort allein nicht mehr ausreicht
Fast jede Woche werden Datenbanken mit Millionen Zugangsdaten geleakt, und viele Passwörter lassen sich mit moderner Hardware in Sekunden knacken. Wer dasselbe Passwort für mehrere Dienste nutzt, riskiert eine Kettenreaktion: Ein einziges Leck öffnet Angreifern die Tür zu E-Mail, Online-Banking, Cloud-Speicher und Social Media. Die Zwei-Faktor-Authentifizierung löst dieses Problem, indem sie zwei unabhängige Nachweise verlangt: etwas, das Sie wissen (Ihr Passwort), und etwas, das Sie besitzen (Ihr Gerät mit der Authenticator-App). Ein Angreifer, der nur Ihr Passwort kennt, scheitert am zweiten Faktor. Genau deshalb empfehlen Sicherheitsbehörden wie das BSI, 2FA überall zu aktivieren, wo es angeboten wird.

Das zugrunde liegende Prinzip heißt TOTP (Time-based One-Time Password) und ist in RFC 6238 standardisiert.

Es funktioniert in drei Schritten:

1. Der geheime Schlüssel wird geteilt. Wenn Sie die 2FA bei einem Dienst aktivieren, erzeugt dessen Server einen einzigartigen geheimen Schlüssel. Meist sehen Sie diesen als QR-Code auf dem Bildschirm. Sobald Sie ihn mit der Authenticator-App scannen, ist derselbe Schlüssel an zwei Orten gespeichert: auf dem Server des Dienstes und in Ihrer Authenticator-App.
2. App und Server rechnen unabhängig voneinander. Aus dem geheimen Schlüssel und der aktuellen Uhrzeit berechnen sowohl die App als auch der Server mit demselben Algorithmus denselben sechsstelligen Code. Es findet dabei keinerlei Kommunikation zwischen App und Server statt. Deshalb funktioniert die Code-Erzeugung auch komplett offline, ohne Internet- oder Mobilfunkverbindung.
3. Beim Login wird verglichen. Sie geben den Code aus der App ein und der Server vergleicht ihn mit dem selbst berechneten Wert. Wenn beide übereinstimmen, erhalten Sie Zugriff. Da jeder Code nur etwa 30 Sekunden gültig ist, ist das Zeitfenster für Angreifer minimal. Ein abgefangener Code ist dann praktisch sofort wertlos.
4. Da die Uhrzeit Teil der Berechnung ist, muss die Uhrzeit auf Ihrem Gerät korrekt eingestellt sein. Eine falsch laufende Systemzeit ist die häufigste Ursache dafür, dass Codes plötzlich nicht mehr akzeptiert werden.

Authenticator-App vs. SMS-Code: Der entscheidende Unterschied
Viele Dienste bieten als Alternative Codes per SMS an. Das ist besser als gar keine 2FA, aber deutlich unsicherer als eine App. SMS-Codes werden über das Mobilfunknetz übertragen und können abgefangen werden, beispielsweise durch SIM-Swapping. Dabei kontaktieren Betrüger den Mobilfunkanbieter und geben vor, die Rufnummer auf eine neue SIM-Karte übertragen zu wollen. Fortan erhalten die Betrüger Ihre Codes.
Eine Authenticator-App hat diese Schwachstelle nicht. Die Codes entstehen lokal auf Ihrem Gerät, verlassen es nie automatisch und sind an die Hardware gebunden, nicht an Ihre Rufnummer. Hinzu kommt: SMS erfordern Netzempfang, App-Codes funktionieren auch im Flugmodus, im Ausland ohne Roaming oder im Keller ohne Empfang.



Einrichtung in fünf Schritten
Die Einrichtung dauert pro Konto nur wenige Minuten und läuft bei fast allen Diensten identisch ab.

• Schritt 1: Installieren Sie die App. Laden Sie dazu eine Authenticator-App aus dem Google Play Store (Android) oder dem Apple App Store (iOS) herunter, zum Beispiel Google Authenticator, Microsoft Authenticator oder Proton Authenticator.
• Schritt 2: 2FA im Konto aktivieren. Öffnen Sie die Sicherheitseinstellungen des Dienstes, den Sie absichern möchten. Aktivieren Sie dort die Option, die je nach Anbieter „Zwei-Faktor-Authentifizierung”, „Bestätigung in zwei Schritten” oder „2FA” heißt, und wählen Sie „Authenticator-App” als Methode aus.
• Schritt 3: QR-Code scannen. Der Dienst zeigt nun einen QR-Code auf dem Bildschirm an. Öffnen Sie Ihre Authenticator-App, tippen Sie auf „Konto hinzufügen” (in der Regel ein Plus-Symbol) und scannen Sie den Code mit der Kamera. Das Konto erscheint sofort in der App und generiert den ersten sechsstelligen Code.
• Schritt 4: Einrichtung bestätigen. Geben Sie den aktuell angezeigten Code auf der Website ein. Damit prüft der Dienst, ob App und Server korrekt verbunden sind. Erst danach ist die 2FA aktiv.
• Schritt 5: Backup-Codes sichern. Dieser Schritt wird oft übersprungen, ist aber entscheidend: Nach der Aktivierung zeigen die meisten Dienste Backup-Codes (Wiederherstellungscodes) an. Drucken Sie diese aus oder speichern Sie sie an einem sicheren Ort. Sie sind Ihr Rettungsanker, falls das Smartphone verloren geht. Ab jetzt fragt der Dienst bei jedem Login zusätzlich zum Passwort nach dem aktuellen Code aus Ihrer App.

Alle gängigen Apps beherrschen den TOTP-Standard und sind untereinander kompatibel. Das bedeutet, dass ein QR-Code, den ein Dienst anzeigt, mit jeder dieser Apps funktioniert. Die Unterschiede liegen in Komfortfunktionen wie Backup, Synchronisation und Plattformunterstützung.

1. Google Authenticator ist der Klassiker: Die App ist schlicht, kostenlos und bietet seit 2023 eine optionale Cloud-Synchronisation über das Google-Konto. 
2. Microsoft Authenticator bietet zusätzlich Push-Benachrichtigungen (Login per Fingertipp statt Code-Eingabe) und eine passwortlose Anmeldung bei Microsoft-Konten. 
3. Proton Authenticator punktet mit der breitesten Plattform-Abdeckung (Android, iOS, Windows und Linux) und einer verschlüsselten Synchronisation. 
4. FreeOTP von Red Hat ist die quelloffene Minimallösung. Twilio Authy war lange die erste Wahl für Desktop-Nutzer:innen. Bitwarden kombiniert Passwort-Manager und Code-Generator in einem Produkt.

Die Wahl hängt von Ihrem Ökosystem ab. Wer hauptsächlich Microsoft-Dienste nutzt, fährt mit dem „Microsoft Authenticator” am komfortabelsten. Wer plattformübergreifend arbeitet (auch am PC), ist mit dem „Proton Authenticator” oder „Bitwarden” gut beraten.


Sicherheit: Wie sicher ist eine Authenticator-App wirklich?
Authenticator-Apps gelten als eine der sichersten 2FA-Methoden für Privatnutzer, aber sie sind kein Allheilmittel. Zwei Punkte sollten Sie kennen.

Erstens: Die Sicherheit hängt vom Gerät ab. Die geheimen Schlüssel liegen auf Ihrem Smartphone. Bei einem entsperrten, ungeschützten Gerät könnte jeder die aktuellen Codes ablesen. Sichern Sie Ihr Smartphone deshalb immer mit PIN, Fingerabdruck oder Gesichtserkennung und aktivieren Sie, falls Ihre App es anbietet, zusätzlich den appinternen Zugriffsschutz.

Zweitens schützen auch App-Codes nicht vollständig vor Echtzeit-Phishing. Wenn Sie Ihren Code auf einer täuschend echt aussehenden Fake-Login-Seite eingeben, kann ein Angreifer ihn innerhalb von 30 Sekunden weiterverwenden. Prüfen Sie deshalb immer die Adresszeile, bevor Sie Codes eingeben. Wer maximalen Phishing-Schutz möchte, kombiniert die App mit Passkeys oder einem Hardware-Sicherheitsschlüssel.
Trotz dieser Grenzen gilt: Der Sicherheitsgewinn gegenüber „nur Passwort” ist enorm. Die allermeisten automatisierten Angriffe scheitern sofort, wenn eine Authenticator-App aktiviert ist.


Was Sie bei Handyverlust und Gerätewechsel beachten sollten, um handlungsfähig zu bleiben
In der Praxis ist das häufigste Szenario nicht der Hackerangriff, sondern das neue Smartphone. Moderne Apps erleichtern den Umzug: Google Authenticator und Microsoft Authenticator synchronisieren Konten über die jeweilige Cloud, sodass ein Login auf dem neuen Gerät genügt. Alternativ bieten fast alle Apps eine Exportfunktion, bei der Sie auf dem alten Gerät einen QR-Code erzeugen und mit dem neuen Gerät scannen. 

Wenn das Gerät verloren geht und es kein Backup gibt, helfen die bei der Einrichtung gespeicherten Wiederherstellungscodes. Fehlen auch diese, bleibt nur die Kontowiederherstellung über den Support des jeweiligen Dienstes, was oft ein langwieriger Prozess ist. Die wichtigste Regel lautet deshalb: Richten Sie ein Backup oder eine Synchronisation ein, bevor Sie diese benötigen.