Ein Passwort allein reicht nicht. Auch ein starkes Passwort kann erraten, gestohlen oder geknackt werden. Wer dein Passwort kennt, kommt in dein Konto. Die Zwei-Faktor-Authentifizierung (2FA) ist die Sicherheitsebene, die das verhindert. Sie verlangt einen zweiten Prüfschritt zusätzlich zum Passwort und beweist so, dass du bist, wer du vorgibst zu sein, selbst wenn dein Passwort in falsche Hände geraten ist.
Dieser Artikel zeigt, wie 2FA funktioniert, wo du sie in deinen Formularen einsetzt, welche 2FA-Methoden am sichersten sind und wie du sie einführst, ohne echte Nutzer auszubremsen.
Das lernst du: Was Zwei-Faktor-Authentifizierung ist und warum sie wichtig ist, welche 2FA-Arten es gibt, wie jede Methode funktioniert, welche Formulare 2FA brauchen und wie du die passende Methode für deinen Fall wählst.
Was ist Zwei-Faktor-Authentifizierung?
Bei der Zwei-Faktor-Authentifizierung brauchst du zwei getrennte Nachweise, bevor du Zugang bekommst. Die Faktoren werden meist so eingeteilt:
- Etwas, das du weisst: ein Passwort oder eine PIN
- Etwas, das du hast: ein Handy, ein Sicherheitsschlüssel oder eine Authenticator-App
- Etwas, das du bist: ein biometrisches Merkmal wie Fingerabdruck oder Gesichtsscan
Ein 2FA-Login läuft meist so ab:
- Der Nutzer gibt Benutzername und Passwort ein
- Das System prüft, ob das Passwort stimmt
- Das System verlangt einen zweiten Faktor (z. B. „Gib den Code von deinem Handy ein“)
- Der Nutzer liefert den zweiten Faktor (z. B. gibt er „123456“ ein)
- Das System prüft den zweiten Faktor
- Der Nutzer bekommt Zugang
Wenn jemand das Passwort stiehlt, kommt er ohne den zweiten Faktor trotzdem nicht ins Konto. Genau deshalb ist 2FA so wirksam.
Warum 2FA für die Formularsicherheit unverzichtbar ist
Passwörter werden ständig gestohlen
Bei Datenlecks werden jedes Jahr Millionen Passwörter öffentlich. Stand dein Passwort irgendwo in einer gehackten Datenbank, haben Angreifer es. Ein starkes Passwort hilft, bleibt aber trotzdem nur ein Passwort.
Angriffe auf Passwörter sind häufig
Angreifer probieren Millionen Kombinationen durch (Brute Force), testen gängige Passwörter (Wörterbuchangriffe) und nutzen Passwörter aus anderen Datenlecks (Credential Stuffing). Diese Angriffe funktionieren, wenn es nichts ausser dem Passwort gibt.
Phishing zielt auf Passwörter
Angreifer schicken gefälschte Login-Seiten, die wie deine Website aussehen. Nutzer geben ihre Zugangsdaten auf der falschen Seite ein. Verlangt deine Website nur ein Passwort, hat der Angreifer jetzt Zugriff. Ist 2FA Pflicht, nützt ihm das Passwort allein nichts.
Kontoübernahmen sind teuer
Wer Zugriff auf ein Kundenkonto bekommt, kann das Passwort ändern, das Konto zurücksetzen, unerlaubt einkaufen oder Daten stehlen. Mit 2FA wird unbefugter Zugriff deutlich schwerer.
Arten der Zwei-Faktor-Authentifizierung
SMS-Codes (Textnachricht)
So funktioniert es: Der Nutzer gibt Benutzername und Passwort ein. Das System schickt einen 6-stelligen Code per SMS aufs Handy. Der Nutzer gibt den Code aus der SMS ein.
Vorteile: Einfach für Nutzer. Funktioniert auf jedem Handy (keine App nötig).
Nachteile: SMS können abgefangen oder umgeleitet werden. Nicht die sicherste Methode. Der SMS-Versand kostet Geld.
Am besten für: Anwendungen für Kunden, bei denen einfache Bedienung wichtiger ist als maximale Sicherheit.
Authenticator-Apps
So funktioniert es: Der Nutzer installiert eine App wie Google Authenticator. Beim Login erzeugt die App einen zeitbasierten Code (meist 6 Ziffern, die sich alle 30 Sekunden ändern). Diesen Code gibt der Nutzer ein.
Vorteile: Sehr sicher. Kann nicht abgefangen werden. Für Nutzer kostenlos.
Nachteile: Nutzer müssen eine App installieren. Wer sein Handy verliert, verliert den Zugang, ausser er hat Backup-Codes.
Am besten für: Anwendungen mit hohem Schutzbedarf (Admin-Bereiche, Finanzkonten, sensible Daten). Mehr Aufwand ist hier vertretbar.
Hardware-Sicherheitsschlüssel
So funktioniert es: Der Nutzer besitzt einen physischen Schlüssel (etwa einen USB-Stick). Beim Login verlangt das System den Schlüssel. Der Nutzer steckt ihn ein oder hält ihn ans Gerät. Der Schlüssel beweist den Besitz.
Vorteile: Extrem sicher. Lässt sich nicht aus der Ferne hacken. Funktioniert auf vielen Websites.
Nachteile: Nutzer müssen Schlüssel kaufen (30 bis 50 Dollar). Sie können verloren gehen oder vergessen werden. Noch nicht überall unterstützt.
Am besten für: Szenarien mit maximalem Schutzbedarf (Behörden, Militär, besonders wertvolle Konten). Wird von technikaffinen Nutzern verwendet.
Push-Benachrichtigungen
So funktioniert es: Der Nutzer versucht, sich einzuloggen. Das System schickt eine Push-Nachricht aufs Handy: „Möchtest du diesen Login bestätigen?“ Der Nutzer tippt in der Nachricht auf „Bestätigen“.
Vorteile: Sehr nutzerfreundlich. Kein Code zum Eintippen. Schützt vor Phishing (der Nutzer sieht, woher der Login kommt).
Nachteile: Erfordert eine bestimmte App oder ein bestimmtes System. Nicht nutzbar, wenn das Handy fehlt.
Am besten für: Mobile-first-Anwendungen und Verbraucher-Apps, bei denen die Nutzererfahrung entscheidend ist.
E-Mail-Codes
So funktioniert es: Der Nutzer gibt Benutzername und Passwort ein. Das System schickt einen Code an seine E-Mail-Adresse. Der Nutzer gibt den Code aus der E-Mail ein.
Vorteile: Funktioniert ohne Handy. Für alle Nutzer zugänglich.
Nachteile: E-Mail-Konten können gehackt werden. Der Nutzer muss sein Postfach öffnen, das ist langsamer als andere Methoden. Weniger sicher als Authenticator-Apps.
Am besten für: Anwendungen mit geringem Schutzbedarf oder als Ausweichlösung, wenn andere Methoden nicht verfügbar sind.
Biometrie (Fingerabdruck, Gesicht)
So funktioniert es: Das Gerät des Nutzers (Handy oder Computer) nutzt eingebaute biometrische Sensoren. Der Nutzer scannt Fingerabdruck oder Gesicht, um Login oder Aktion zu bestätigen.
Vorteile: Sehr bequem. Sehr sicher. Für jede Person einzigartig.
Nachteile: Das Gerät braucht einen biometrischen Sensor. Das Speichern biometrischer Daten wirft Datenschutzfragen auf.
Am besten für: Mobile Apps und moderne Geräte. Wird häufiger, weil biometrische Hardware zum Standard wird.
Welche Formulare brauchen 2FA?
Formulare mit hohem Wert (2FA ist Pflicht)
- Login-Formulare (Admin-Bereich, Kundenkonto, E-Mail)
- Formulare zum Zurücksetzen des Passworts
- Änderungen der Kontoeinstellungen (besonders E-Mail-Adresse oder Passwort)
- Zahlungs- oder Finanzformulare
- Löschen von Daten oder andere sensible Vorgänge
Formulare mit mittlerem Wert (2FA ist empfohlen)
- Kontoregistrierung (um Kontoübernahmen von Anfang an zu verhindern)
- Formulare, die Nutzerdaten oder Einstellungen ändern
- Formulare nur für Admins
Formulare mit geringem Wert (2FA ist optional)
- Kontaktformulare (sie erfassen nur öffentliche Informationen)
- Newsletter-Anmeldung (Formular ohne Konto)
- Umfrageformulare
Die Regel: Kann das Formular das Konto des Nutzers verändern, auf sensible Daten zugreifen oder unumkehrbare Aktionen auslösen, setze 2FA ein.
2FA einführen, ohne zu viel Reibung zu erzeugen
2FA zuerst optional machen, dann für sensible Aktionen verpflichtend
Lass Nutzer sich ohne 2FA registrieren. Verlange 2FA aber, sobald sie sensible Bereiche öffnen, Zahlungsdaten ändern oder ihr Passwort ändern wollen.
Mehrere 2FA-Methoden anbieten
Manche Nutzer haben ein Handy, andere nicht. Manche mögen Authenticator-Apps, andere lieber Hardware-Schlüssel. Mit mehreren Methoden kann jeder 2FA nutzen.
Backup-Codes bereitstellen
Ist 2FA Pflicht und Nutzer verlieren ihr Handy oder ihre Authenticator-App, kommen sie nicht mehr ins Konto. Biete Backup-Codes an (Einmalcodes, die bei der Einrichtung erzeugt werden), damit sie sich auch ohne ihre Hauptmethode einloggen können.
Vertrauenswürdige Geräte merken
Hat ein Nutzer 2FA auf einem Gerät einmal abgeschlossen, kannst du optional anbieten, das Gerät zu „merken“. Dann muss er 2FA nicht bei jedem Login erneut durchlaufen. Das senkt die Reibung und schützt trotzdem bei verdächtigen Logins von unbekannten Geräten.
Risikobasierte 2FA nutzen
Loggt sich ein Nutzer von seinem üblichen Ort, zur üblichen Zeit und mit seinem üblichen Gerät ein, ist 2FA vielleicht nicht nötig. Loggt er sich um 3 Uhr nachts aus einem anderen Land mit einem neuen Gerät ein, verlange 2FA. So halten sich Sicherheit und Komfort die Waage.
Wiederherstellung und Notfallpläne
Nutzer verlieren ihr Handy, vergessen Apps und sperren sich aus. Plane dafür:
- Backup-Codes: Erzeuge bei der 2FA-Einrichtung 10 Einmalcodes, die nutzbar sind, wenn die Hauptmethode ausfällt
- Kontowiederherstellung: Lass Nutzer ihre Identität per Sicherheitsfragen oder E-Mail bestätigen, um wieder Zugang zu bekommen
- Support-Prozess: Schule dein Support-Team darin, Identitäten zu prüfen und ausgesperrten Nutzern zu helfen
Angriffswege bei 2FA und wie du sie verhinderst
SIM-Swapping
Ein Angreifer überzeugt den Mobilfunkanbieter, die Nummer des Opfers auf eine neue SIM-Karte zu übertragen. Dann nutzt er SMS-2FA-Codes, die auf sein Handy geschickt werden.
Vorbeugung: Nutze Authenticator-Apps oder Hardware-Schlüssel statt SMS. SMS ist anfällig für SIM-Swapping.
Phishing von 2FA-Codes
Ein Angreifer baut eine gefälschte Login-Seite, die nach einem 2FA-Code fragt. Der Nutzer gibt den Code ein. Der Angreifer nutzt ihn sofort, um sich im echten Konto einzuloggen.
Vorbeugung: Nutze Methoden, die den Kontext zeigen (Push-Nachrichten zeigen „Login bei www.example.com“), oder Hardware-Schlüssel (sie prüfen die Domain der Website). Methoden mit Code sind dafür anfällig.
Verlorene oder gestohlene Geräte
Geht das Gerät mit der 2FA-App verloren oder wird es gestohlen, kann ein Angreifer es vielleicht nutzen, um auf Konten zuzugreifen.
Vorbeugung: Verlange eine Geräte-PIN oder Biometrie zum Entsperren. Verlange eine PIN zum Öffnen der Authenticator-App. Nutze Backup-Codes und Optionen zur Kontowiederherstellung.
Was du bei 2FA prüfen solltest
Prüfe, welche 2FA-Methoden deine Konten bieten, und schalte die stärkste verfügbare ein. Eine Authenticator-App ist sicherer als Codes per SMS oder E-Mail. Bewahre Backup-Codes an einem sicheren Ort auf, damit du den Zugang wiederherstellen kannst.
Mehr zu Sicherheitsfunktionen und 2FA-Optionen findest du in den Kontoeinstellungen oder auf der Preisseite.