Was ist Zwei-Faktor-Authentifizierung (2FA)?
ALI Remote · Glossar
Zwei-Faktor-Authentifizierung (2FA) ist ein Anmeldeverfahren, das zwei verschiedene Arten von Nachweisen verlangt: meist ein Passwort und etwas, das Sie besitzen, etwa ein Handy oder einen Sicherheitsschlüssel.
Mit 2FA reicht ein gestohlenes Passwort allein nicht mehr, um ins Konto zu gelangen. Manche Dienste nennen das Verfahren Zwei-Schritt-Verifizierung, das Bundesamt für Sicherheit in der Informationstechnik (BSI) spricht von Zwei-Faktor-Authentisierung. Es ist die häufigste Form der Multi-Faktor-Authentifizierung (MFA).
Warum ist Zwei-Faktor-Authentifizierung wichtig?
Passwörter geraten in falsche Hände: Sie werden mehrfach verwendet, erraten oder auf gefälschten Anmeldeseiten eingegeben. Ein Merkblatt der US-Cybersicherheitsbehörde CISA von 2022 (auf Englisch) erklärt den Nutzen: Ist das Passwort kompromittiert, kommt ein Angreifer ohne den zweiten Faktor trotzdem nicht hinein. Das BSI rät, 2FA zu nutzen, sobald ein Online-Dienst sie anbietet, und sie in keinem Fall zu deaktivieren.
2FA ist außerdem auf eine einzelne Person zugeschnitten. Laut Apples Support-Seite soll die Zwei-Faktor-Authentifizierung für den Apple Account sicherstellen, dass nur Sie selbst auf Ihren Account zugreifen können.
Wie funktioniert Zwei-Faktor-Authentifizierung?
Jeder Nachweis gehört zu einer von drei Kategorien, und 2FA kombiniert zwei verschiedene davon:
- Wissen: ein Passwort oder eine PIN.
- Besitz: ein Handy, eine Authenticator-App oder ein Sicherheitsschlüssel.
- Biometrie: ein Fingerabdruck oder ein Gesichtsscan, meist zum Entsperren des Geräts, das den zweiten Faktor enthält.
Bei der Anmeldung geben Sie Ihr Passwort ein, dann fragt der Dienst nach dem zweiten Faktor: einem Code aus einer App, einem Antippen des Sicherheitsschlüssels oder einer Bestätigung auf einem Gerät, das Sie bereits freigegeben haben. Passwort plus Sicherheitsfrage sind zwei Schritte, aber nur ein Faktor, denn beides ist Wissen.
Welcher zweite Faktor ist am sichersten?
Das CISA-Merkblatt ordnet zweite Faktoren vom stärksten zum schwächsten: Passkeys und Sicherheitsschlüssel zuerst, Codes per SMS oder Anruf zuletzt. Die Richtlinien des US-Standardinstituts NIST, SP 800-63B-4 (Juli 2025, auf Englisch), ergänzen, dass Phishing-Resistenz kryptografische Verfahren voraussetzt: Jeden Code, den Sie von Hand eintippen, kann eine gefälschte Seite abgreifen.
| Zweiter Faktor | So funktioniert er | Größte Schwäche |
|---|---|---|
| Passkey oder Sicherheitsschlüssel | Ein kryptografischer Schlüssel, der nur der echten Website antwortet, für die er erstellt wurde | Noch nicht überall verfügbar; halten Sie einen Ersatz bereit |
| Authenticator-App | Ein wechselnder Einmalcode oder eine Anfrage zum Bestätigen | Codes lassen sich auf einer gefälschten Seite eingeben; Anfragefluten zermürben |
| Code per SMS oder Anruf | Ein Einmalcode an Ihre Telefonnummer | Phishing und SIM-Swapping, bei dem ein Angreifer Ihre Nummer auf seine SIM-Karte umleiten lässt |
Die CISA nennt phishing-resistente MFA den Goldstandard und SMS oder Anrufe die letzte Wahl, das NIST stuft das Telefonnetz als eingeschränkte Option ein. Das BSI rät zudem, SMS-Codes nicht auf dem Gerät zu empfangen, mit dem Sie sich anmelden. Trotzdem gilt: Jede 2FA ist besser als keine.
Zwei-Faktor-Authentifizierung, wenn mehrere Personen Zugriff brauchen
Weil 2FA ein Konto an den zweiten Faktor einer einzigen Person bindet, funktioniert ein gemeinsames Login damit nicht. Entweder landen die Codes auf dem Handy eines Kollegen und alle anderen fragen ihn danach, was Menschen daran gewöhnt, Codes weiterzugeben, oder jemand schaltet 2FA ab. Laut den NIST-Richtlinien muss jede Person ihre Anmeldegeheimnisse schützen und darf sie nicht an andere weitergeben.
Bewährt hat sich dieses Muster:
- Ein Konto pro Person, nie ein gemeinsames Passwort.
- Jede Person aktiviert ihren eigenen zweiten Faktor.
- Rollen begrenzen, was jede Person öffnen oder ändern darf.
- Verlässt jemand das Team, entfernen Sie sein Konto.
Beispiel (zur Veranschaulichung). Eine Agentur teilt sich ein Login für ein Tool, und jeder Freelancer muss die Gründerin nach dem Code fragen, der auf ihrem Handy ankommt. Mit einem Konto pro Person bestätigen die Freelancer ihre Anmeldungen selbst, und am Ende eines Auftrags wird ein einziges Konto entfernt.
Die Produktseite von ALI Remote nennt unter den Team-Funktionen Rollen mit genauen Berechtigungen und die Zwei-Faktor-Anmeldung. Sie legen Konten für Ihre Leute an, geben ihnen Rollen und wählen genau, welche iPhones jede Person öffnen darf. Wenn Sie jemanden aus dem Team entfernen, wird der Zugriff sofort entzogen.
Verwandte Begriffe
- Passkey: ein kryptografischer Zugangsschlüssel, der das Passwort ersetzt. Zur Nutzung brauchen Sie Ihr Gerät und Ihr Gesicht, Ihren Fingerabdruck oder die Geräte-PIN, deshalb zählen viele Dienste ihn als beide Faktoren.
- Real Device Cloud: echte Handys in einem Rechenzentrum, die aus der Ferne genutzt werden, oft von Teams, die Zugriff pro Person vergeben.
Häufige Fragen
Ist 2FA dasselbe wie MFA?
2FA ist eine Form der MFA. Multi-Faktor-Authentifizierung bedeutet zwei oder mehr Faktoren aus verschiedenen Kategorien, Zwei-Faktor-Authentifizierung genau zwei. Die meisten Dienste, die von „MFA“ sprechen, verlangen ein Passwort plus einen weiteren Faktor, die Begriffe überschneiden sich also. Entscheidend ist, welchen zweiten Faktor Sie nutzen.
Was passiert, wenn Sie Ihren zweiten Faktor verlieren?
Sie nutzen den Wiederherstellungsweg, den Sie vorher eingerichtet haben: Backup-Codes, einen zweiten Sicherheitsschlüssel oder ein weiteres vertrauenswürdiges Gerät. Ohne ihn droht eine langwierige Identitätsprüfung oder der Verlust des Zugangs. Bewahren Sie Backup-Codes deshalb offline auf. Im Team setzt ein Administrator, wo das Tool es erlaubt, die Anmeldung der Person zurück, statt dass jemand seine Codes teilt. Schicken Sie einen Code nie per Nachricht oder E-Mail weiter, auch nicht an einen Kollegen, dem Sie vertrauen.
Apple und iPhone sind Marken der Apple Inc. ALI Remote ist mit Apple weder verbunden noch wird es von Apple unterstützt.
Weitere Begriffe
- Dediziertes GerätEin dediziertes Gerät ist einem Zweck oder einem Kunden vorbehalten, statt geteilt zu werden. So funktioniert es unter Android und auf Apple-Geräten, was dediziert bei gehosteter Hardware bedeutet, und fünf Fragen an einen Anbieter.
- Device as a Service (DaaS)Device as a Service (DaaS) ist ein Abo, bei dem ein Anbieter Laptops oder Handys stellt und sie von der Einrichtung bis zur Ausmusterung betreut. So funktioniert es, ein Beispiel, die Variante im Rechenzentrum und der Unterschied zu SaaS und Leasing.
- EmulatorEin Emulator ist eine Software, die die Hardware eines Handys auf einem Computer nachbildet, damit dessen Betriebssystem und Apps dort laufen. So funktioniert er, so unterscheidet er sich von einem Simulator und einem echten Gerät, und diese Grenzen nennen Google und Apple selbst.
- iOS-SimulatorDer iOS-Simulator ist Apples Werkzeug in Xcode, mit dem iOS-Apps ohne iPhone auf dem Mac laufen. Hier lesen Sie, wofür er taugt, was er laut Apple nicht nachbildet, warum er kein Emulator ist und was sich mit dem Device Hub in Xcode 27 geändert hat.
- MCP (Model Context Protocol)Das Model Context Protocol (MCP) ist ein offener Standard, der KI-Assistenten mit externen Tools und Daten verbindet. So funktioniert es, so unterscheidet es sich von einer API, das sollten Sie vor dem Verbinden eines Servers prüfen, und so sieht es in der Praxis aus.
- Real Device CloudEine Real Device Cloud stellt echte Smartphones in einem Rechenzentrum bereit, die Sie im Browser nutzen. So funktioniert sie, darum liefert sie ehrlichere Ergebnisse als Simulatoren, und dafür wird sie über App-Tests hinaus genutzt.