2FA sicher aufbewahren: Warum Profis den zweiten Faktor nicht aufs Handy legen

Erfahrene Sicherheitsprofis bewahren ihren zweiten Faktor nicht auf dem Smartphone auf, das sie den ganzen Tag benutzen. Mehr noch: Sie lassen überhaupt kein kritisches Geheimnis auf Handy oder Laptop liegen. Das ist keine Paranoia, denn genau diese beiden Geräte greifen Angreifer zuerst an. Wie können Sie also Ihre 2FA sicher aufbewahren? Das Prinzip passt in vier Wörter: getrennt, offline, physisch, mit nur einem Zweck. Niemand verrät Ihnen sein persönliches Setup, und wir tun es auch nicht. Die Logik dahinter ist allerdings immer dieselbe.

Seien wir fair: Das Smartphone ist kein schlechtes Werkzeug. Schlecht ist nur, wenn es zum einzigen Schlüssel für alles wird. Liegen Passwortmanager, E-Mail, SMS Codes und Authenticator App auf einem Gerät, dann hält derjenige, der dieses Gerät kontrolliert, beide Faktoren in der Hand. In diesem Ratgeber vergleichen wir, Talha Aslan und Team, jede Methode anhand eines klaren Bedrohungsmodells. Danach zeigen wir Ihnen Schritt für Schritt, wie Sie ein robustes Setup aufbauen.

Hinter dieser Antwort steht eine einzige Idee: Die Faktoren müssen unabhängig bleiben. Das Passwort ist etwas, das Sie wissen. Der zweite Schritt ist etwas, das Sie besitzen. Liegen beide allerdings im selben Smartphone, besitzen Sie praktisch nur eine Sache. Deshalb lautet die Frage nicht nur, welche Methode Sie wählen, sondern auch, wo deren Geheimnis liegt.

• Primärer zweiter Faktor: ein Hardware Sicherheitsschlüssel oder ein gerätegebundener Passkey.
• Ersatz: ein zweiter Sicherheitsschlüssel an einem anderen Ort.
• Letzter Ausweg: ausgedruckte Backup Codes an einem sicheren Platz.
• Die Falle: Passwort, E-Mail und Codes gemeinsam auf einem Handy.

Diese Reihenfolge ist kein starres Rezept. Trotzdem liefert sie für die meisten privaten und geschäftlichen Konten eine solide Grundlage. Die folgenden Abschnitte erklären, warum jede Ebene dort steht, wo sie steht.

Warum halten Sicherheitsexperten den zweiten Faktor vom Handy fern?

Zunächst: Das Smartphone ist das Gerät, in das Angreifer am meisten Aufwand stecken. Schließlich ist es zugleich Postfach, SMS Empfänger, Passwortmanager, Banking App und Authenticator. Stiehlt jemand es entsperrt oder landet Schadsoftware darauf, kann er Ihr Passwort zurücksetzen und den eingehenden Code direkt mitlesen.

Experten antworten darauf mit Trennung, denn nur so lässt sich die 2FA sicher aufbewahren. Außerdem wissen sie, dass Sicherheit meist am schwächsten Glied bricht. Ein gespeichertes Sitzungscookie auf dem Laptop, ein im Browser hinterlegtes Passwort oder ein in die Cloud synchronisierter Authenticator Schlüssel machen aus zwei Faktoren still und leise einen. Ein physischer Schlüssel mit nur einer Aufgabe hat dagegen keine Apps, keine Netzverbindung und lässt sich nicht aus der Ferne kopieren.

Kurz gesagt misstrauen Experten nicht dem Handy an sich. Sie weigern sich nur, es zum einzigen Schlüssel zu machen. Dieses Prinzip können Sie auch in Ihrem eigenen Maßstab umsetzen. Dafür brauchen Sie keine teure Infrastruktur, sondern nur die Gewohnheit, kritische Geheimnisse von Alltagsgeräten fernzuhalten.

• Alltagsgerät: lesen, schreiben, surfen.
• Separater Schlüssel: nur Anmeldung.
• Papier: nur Notfallwiederherstellung.

Wie schneiden die 2FA Methoden im Bedrohungsmodell ab?

Prüfen Sie jede Methode mit denselben Fragen, dann wird das Bild klar. Kann zum Beispiel eine gefälschte Anmeldeseite den Code stehlen? Was passiert, wenn jemand Ihre Nummer auf seine SIM Karte portiert? Was geschieht bei Geräteverlust? Hält der Schutz, wenn Schadsoftware auf dem Rechner sitzt? Die Tabelle zeigt unsere allgemeine Einschätzung auf Basis offizieller Quellen. Sie ist eine Entscheidungshilfe, keine Garantie.

Vor allem die Spalte Phishing zählt. Viele Kontoübernahmen beginnen heute damit, dass jemand einen Code selbst in eine gefälschte Seite tippt. Ein getippter Code weiß nicht, wohin Sie ihn eingeben. Daher schneiden nur Methoden stark ab, die an die echte Domain gebunden sind.

Warum gilt der SMS Code als schwächstes Glied?

Ein SMS Code gehört zu Ihrer Telefonnummer, nicht zu Ihrem Gerät. Deshalb ist dieser Unterschied entscheidend. Bringt ein Angreifer Ihren Mobilfunkanbieter dazu, die Nummer auf seine SIM Karte zu übertragen, spricht man von SIM Swap. Ab dann landen Ihre Codes bei ihm. Sie selbst bemerken zunächst nur, dass Ihr Empfang weg ist.

Das US National Institute of Standards and Technology stuft SMS und Sprachanrufe über das Telefonnetz in der Richtlinie NIST SP 800 63B als eingeschränkte Methode ein. Zudem sollen Dienste Risikosignale wie SIM Wechsel und Rufnummernportierung prüfen. Google formuliert es einfacher: Codes per SMS sind anfälliger für Angriffe über die Telefonnummer.

Trotzdem ist SMS besser als gar nichts. Bietet ein Dienst nur SMS an, aktivieren Sie es lieber, statt den zweiten Schritt auszulassen. Fragen Sie außerdem bei Ihrem Anbieter nach einer zusätzlichen Sperre gegen Portierung. Damit stoppen Sie zumindest einfache Angriffe mit geleakten oder erratenen Passwörtern.

• Sehen Sie SMS als Übergangslösung, nicht als Hauptmethode.
• Nutzen Sie möglichst nicht dieselbe Nummer für Wiederherstellung und zweiten Faktor.
• Fällt der Empfang plötzlich aus, rufen Sie sofort Ihren Anbieter an.

Wie sicher ist ein Bestätigungscode per E-Mail?

Ein E-Mail Code verlagert den zweiten Schritt auf ein anderes Konto. Das heißt, der Code ist nur so sicher wie Ihr Postfach. Die meisten Menschen haben ihre E-Mail außerdem auf demselben Handy geöffnet. Fällt also das Handy, fällt der Code gleich mit.

NIST akzeptiert E-Mail nicht als Methode für Codes über einen separaten Kanal. Daher ist es ehrlicher, E-Mail als Wiederherstellungsweg zu betrachten statt als echten zweiten Faktor. Die größere Gefahr liegt allerdings woanders: Die E-Mail ist die Tür zum Zurücksetzen fast aller anderen Passwörter. Schützen Sie sie mit Ihrer stärksten Methode, schützen Sie damit auch den Rest der Kette.

Ist Ihr Postfach bereits kompromittiert, holen Sie es zuerst zurück. Unser Ratgeber, wie Sie ein gehacktes Gmail Konto Schritt für Schritt wiederherstellen, begleitet Sie dabei. Danach sollten Sie den zweiten Faktor Ihrer E-Mail auf einen Hardware Schlüssel umstellen, denn von dort öffnen sich alle anderen Türen.

Wie funktionieren Authenticator App und geheimer Schlüssel?

Authenticator Apps nutzen TOTP, also zeitbasierte Einmalpasswörter. Bei der Einrichtung zeigt der Dienst einen QR Code, der ein gemeinsames Geheimnis enthält, oft Seed genannt. Die App kombiniert diesen Seed mit der aktuellen Uhrzeit und erzeugt alle paar Sekunden einen neuen Code. Der Server kennt denselben Seed, berechnet also denselben Code und vergleicht.

Daraus folgt eine zentrale Erkenntnis: Wertvoll ist der Seed, nicht der Code. Wer den Seed besitzt, erzeugt beliebig viele gültige Codes. Lassen Sie zum Beispiel einen Screenshot des QR Codes in Ihrer Fotogalerie liegen, hat jeder mit Zugriff auf die Galerie Ihren zweiten Faktor geklont. Fotografieren Sie deshalb den Einrichtungsbildschirm nie und speichern Sie den QR Code nirgendwo.

NIST stuft Einmalpasswörter nicht als phishingresistent ein, weil Sie die Ausgabe von Hand eintippen. In der Praxis ist eine Authenticator App gegen SIM Swap deutlich stärker als SMS. Tippen Sie den Code allerdings selbst auf einer gefälschten Seite ein, rettet sie Sie nicht. Sie ist also eine gute mittlere Ebene, aber nicht das Ziel.

• Den Seed sehen Sie nur einmal, bei der Einrichtung.
• Schützen Sie die App mit Bildschirmsperre und App Sperre.
• Halten Sie den Authenticator nach Möglichkeit auf einem anderen Gerät als dem Alltagshandy.

Welche zwei Seiten hat ein Authenticator mit Cloudsicherung?

Manche Authenticator Apps sichern ihre Seeds in einem Cloudkonto. Der Vorteil liegt auf der Hand: Sie verlieren das Handy, melden sich auf einem neuen an und Ihre Codes sind zurück. Zudem bewahrt diese Funktion viele Menschen davor, sich selbst auszusperren.

Der Nachteil ist allerdings ebenso real. Ihre Seeds liegen jetzt in einem Cloudkonto. Übernimmt ein Angreifer dieses Konto, bekommt er womöglich alle Ihre zweiten Faktoren auf einen Schlag. Anders gesagt hängt Ihre 2FA nun an einem einzigen Cloudlogin. Folglich braucht dieses Cloudkonto Ihren stärksten Schutz, idealerweise einen Hardware Schlüssel.

NIST lässt synchronisierbare Authentifikatoren auf der höchsten Vertrauensstufe nicht zu, weil die Synchronisierung einen exportierbaren privaten Schlüssel erfordert. Für den Alltag bieten sie dennoch einen vernünftigen Kompromiss. Die richtige Wahl hängt von Ihrem Bedrohungsmodell ab. Sind gezielte Angriffe für Sie unwahrscheinlich, ist die Cloudsicherung sinnvoll. Andernfalls setzen Sie auf gerätegebundene Methoden.

• Ist die Synchronisierung aktiv, schützen Sie das Cloudkonto mit dem stärksten Faktor.
• Prüfen Sie Wiederherstellungsadresse und Telefonnummer des Cloudkontos regelmäßig.
• Halten Sie besonders wertvolle Konten von synchronisierten Codes fern.

Was sind Pushbestätigung und MFA Fatigue?

Bei der Pushbestätigung erscheint eine Anfrage auf Ihrem Handy, und Sie tippen auf Ja oder Nein. Das ist zwar bequem. Kennt ein Angreifer Ihr Passwort allerdings schon, entsteht ein neues Risiko. Er startet Anmeldung um Anmeldung und überflutet Ihr Handy mit Anfragen. Das nennt man MFA Fatigue oder Push Bombing. Das Ziel: Sie werden müde oder tippen versehentlich auf Ja.

Die US Behörde CISA weist darauf hin, dass Number Matching solche Pushfluten eindämmen kann. Dabei tippen Sie die Zahl vom Bildschirm in Ihr Handy ein und können also nicht blind bestätigen. Gegen einen Angreifer, der eine gefälschte Seite in Echtzeit weiterleitet, schützt aber auch Number Matching nicht vollständig.

Die praktische Regel ist einfach. Eine Anfrage, die Sie nicht erwartet haben, ist ein Alarm für ein geleaktes Passwort. Lehnen Sie ab, ändern Sie sofort das Passwort und prüfen Sie die aktiven Sitzungen. Tippen Sie nie auf Ja, nur damit die Anfragen aufhören. Kommen zudem mehrere unerwartete Anfragen am selben Tag, gehen Sie davon aus, dass Ihr Passwort auf einer Leckliste steht.

Wie umgeht ein Echtzeit Phishing Proxy den TOTP Code?

Modernes Phishing hat mit den plumpen Fälschungen von früher wenig gemein. Stattdessen schaltet der Angreifer einen Weiterleitungsserver, einen Reverse Proxy, zwischen Sie und die echte Seite. Sie landen auf einer ähnlich aussehenden Adresse. Die Seite wirkt identisch, weil sie ihre Inhalte live von der echten Seite lädt. Sie geben Passwort und Authenticator Code ein, und der Proxy reicht beides sofort weiter.

Somit gelingt die Anmeldung, und der Angreifer schnappt sich das Sitzungscookie. Dass der Code nach dreißig Sekunden abläuft, spielt dann keine Rolle mehr, denn die Sitzung ist bereits offen. Deshalb ist jeder von Hand getippte Code diesem Angriff ausgesetzt, egal wie kurzlebig er ist.

Was diesen Angriff stoppt, ist Kryptografie, nicht Aufmerksamkeit. Bei phishingresistenten Methoden erzeugt der Browser eine Signatur nur für die richtige Domain. Auf einer falschen Domain antwortet der Schlüssel schlicht nicht. Also wirkt der Schutz selbst dann, wenn Sie die falsche Adresse nie bemerken.

1. Die Adressleiste zu prüfen ist eine gute Gewohnheit, aber keine vollständige Abwehr.
2. Wechseln Sie bei kritischen Konten zu einer Methode ohne getippten Code.
3. Melden Sie nach einer verdächtigen Anmeldung alle Sitzungen ab.

Hardware Sicherheitsschlüssel oder Authenticator App: Was ist sicherer?

Ein Hardware Sicherheitsschlüssel führt den Standard FIDO2 auf einem eigenen physischen Gerät aus. WebAuthn ist die Schnittstelle, über die Browser mit ihm sprechen. Bei der Registrierung erzeugt der Schlüssel ein Schlüsselpaar nur für diese Website. Der private Schlüssel verlässt das Gerät nie.

NIST nennt diesen Schutz die Bindung an den Namen des Prüfers und führt WebAuthn als Beispiel an. Das heißt, die Antwort des Schlüssels ist kryptografisch an die Domain der Website gebunden. Eine falsche Domain bekommt keine gültige Signatur für die echte. CISA hält außerdem fest, dass FIDO und WebAuthn derzeit die einzige breit verfügbare phishingresistente Anmeldung sind.

Eine Authenticator App zeigt dagegen einen Code, den Sie überall eintippen können. Genau das ist der Kernunterschied. Zudem hält der Schlüssel auch Schadsoftware gut stand, weil er meist eine physische Berührung verlangt und sein Geheimnis nie herausgibt. Schadsoftware auf dem Laptop kann das Innere des Schlüssels nicht lesen. Deshalb bewahren Experten den zweiten Faktor auf einem separaten Gerät mit nur einem Zweck auf.

• Der private Schlüssel verlässt das Gerät nie.
• Die Antwort ist an die Domain gebunden.
• Die physische Berührung erschwert Missbrauch aus der Ferne.

Wie hängen Passkeys und Hardware Schlüssel zusammen?

Auch Passkeys basieren auf den FIDO Standards und bieten dieselbe Phishingresistenz. Die Passkey Übersicht der FIDO Alliance unterscheidet zwei Arten: synchronisierte Passkeys, die zwischen Ihren Geräten wandern, und gerätegebundene Passkeys, die ein einzelnes Gerät nie verlassen. Ein Passkey auf einem Hardware Sicherheitsschlüssel gehört zur zweiten Art und bietet die höchste Vertrauensstufe.

Das Konzept erklären wir ausführlich im Beitrag Was ist ein Passkey und wie funktioniert die passwortlose Anmeldung, deshalb wiederholen wir es hier nicht. Für die Aufbewahrung zählt aber ein Unterschied: Ein synchronisierter Passkey hat dasselbe Dilemma wie ein Authenticator mit Cloudsicherung. Er ist bequem und geht kaum verloren, hängt aber am Cloudkonto.

Ein praktisches Setup kann also so aussehen: Nutzen Sie synchronisierte Passkeys für Alltagskonten. Verlangen Sie dann für die wichtigsten Konten einen Hardware Schlüssel, nämlich für Hauptpostfach, Cloudkonto, Passwortmanager und Domainverwaltung. So verbinden Sie Komfort mit Tiefe.

Wie lassen sich Backup Codes und 2FA sicher aufbewahren?

Backup Codes sind der Notfallschlüssel zu Ihrem zweiten Faktor. Google bietet Einmalcodes für den Fall an, dass Sie Ihr Handy verlieren, und die meisten großen Plattformen haben Ähnliches. Jeder Code ersetzt allein den zweiten Schritt, daher verdient er dieselbe Sorgfalt wie Ihr Passwort.

Die Google Hilfe zur Bestätigung in zwei Schritten listet die Optionen nebeneinander auf: Google Aufforderungen, Passkeys und Sicherheitsschlüssel, Authenticator Apps, SMS oder Anruf sowie Backup Codes. Außerdem erinnert sie daran, den zweiten Schritt nur auf Geräten zu überspringen, die Sie mit niemandem teilen. Auch dieses Detail führt zum selben Prinzip, denn jedes Gerät ohne zweite Prüfung wirkt wie ein eigener Schlüssel.

Der größte Fehler ist ein Screenshot der Codes auf dem Handy oder eine Textdatei auf dem Laptop. Damit legen Sie die Codes genau dorthin zurück, wo Sie sie schützen wollten. Gehen Sie stattdessen so vor:

1. Erzeugen Sie die Codes und drucken Sie sie aus oder schreiben Sie sie von Hand ab.
2. Beschriften Sie das Blatt nur mit dem Kontonamen.
3. Lagern Sie es zu Hause, getrennt von Ihren Geräten und verschlossen.
4. Legen Sie eine zweite Kopie an einen anderen vertrauenswürdigen Ort.
5. Streichen Sie benutzte Codes durch und erzeugen Sie neue, wenn nur noch wenige übrig sind.

Ein Beispiel für Instagram finden Sie in unserem Ratgeber Gerät für die 2FA verloren: so melden Sie sich bei Instagram mit Backup Code an.

Warum brauchen Sie einen zweiten Sicherheitsschlüssel?

Ein einzelner Hardware Schlüssel schafft einen neuen einzelnen Ausfallpunkt. Verlieren oder beschädigen Sie ihn, sind Sie ohne Backup Codes ausgesperrt. Die erste Regel für alle, die auf Hardware Schlüssel umsteigen, lautet deshalb: mindestens zwei registrieren.

In der Praxis bleibt der erste Schlüssel am Schlüsselbund oder am Schreibtisch. Der zweite wartet dann zu Hause an einem separaten, verschlossenen Ort. Registrieren Sie beide in derselben Sitzung, wenn Sie ein neues Konto absichern. Sonst funktioniert der zweite Schlüssel dort nicht. Beispielszenario: Sie eröffnen ein neues Cloudkonto, fügen nur den ersten Schlüssel hinzu und verlieren ihn Monate später. Der Ersatz liegt in der Schublade, doch dieses Konto kennt ihn nicht.

Daher empfehlen wir eine kurze Liste auf Papier. Notieren Sie, welche Schlüssel jedes Konto akzeptiert, und lagern Sie die Liste bei den Backup Codes. Sie enthält weder Passwörter noch Codes, sondern nur eine Übersicht.

• Zwei Schlüssel, zwei Orte.
• Bei jedem neuen Konto beide Schlüssel registrieren.
• Einmal im Jahr beide Schlüssel testen.

Warum ist die Kontowiederherstellung das schwächste Glied?

Egal wie stark Ihr zweiter Faktor ist, ein Angreifer sucht die Hintertür: die Kontowiederherstellung. Wiederherstellungsadresse, Telefonnummer, Sicherheitsfragen und Supportanfragen bilden diese Tür. Läuft die Wiederherstellung noch über SMS, ist Ihr System nur so stark wie SMS, selbst mit Hardware Schlüssel.

Prüfen Sie deshalb die Wiederherstellungsoptionen jedes wichtigen Kontos. Zum Beispiel kann eine alte Telefonnummer noch als Wiederherstellungsnummer eingetragen sein. Hat Ihr Anbieter diese Nummer inzwischen neu vergeben, entsteht ein echtes Risiko. Achten Sie zudem darauf, dass das Konto Ihrer Wiederherstellungsadresse genauso stark geschützt ist.

Deutlich schwieriger wird es, wenn ein Angreifer das Konto übernimmt und seine eigene 2FA aktiviert. Diesen Fall behandeln wir im Beitrag Hacker hat bei Instagram die 2FA aktiviert. Eine Wiederherstellung ist nie garantiert. Fremde, die gegen Geld eine Kontorettung versprechen, betreiben meist einen zweiten Betrug. Nutzen Sie nur den offiziellen Weg der Plattform.

Kann man 2FA sicher aufbewahren, wenn der Passwortmanager Codes erzeugt?

Viele Passwortmanager erzeugen auch Authenticator Codes. Das klingt praktisch. Allerdings liegen Passwort und zweiter Faktor dann im selben Tresor. Öffnet sich der Tresor, gehen beide Faktoren gemeinsam verloren. Wer also für die wichtigsten Konten seine 2FA sicher aufbewahren will, hält sie außerhalb des Passwortmanagers.

Trotzdem ist ein Passwortmanager unverzichtbar, weil er jedem Konto ein langes, einzigartiges Passwort gibt. Für den schnellen Einstieg hilft Ihnen unser kostenloser Passwort Generator. Schützen Sie danach den Passwortmanager selbst mit einem Hardware Schlüssel, damit auch die Tresortür an einem separaten Gerät hängt.

Für unwichtige Konten ist ein Authenticator Code im Passwortmanager ein vertretbarer Kompromiss. Entscheidend ist, diesen Kompromiss bewusst einzugehen. Hauptpostfach, Cloudkonto und Domainverwaltung bleiben dagegen auf einer eigenen Spur.

Was heißt es, keine kritischen Geheimnisse auf dem Laptop zu lassen?

Das zweite Expertenprinzip lautet: Auch auf dem Computer bleibt kein kritisches Geheimnis liegen. Das heißt nicht, dass Sie den Computer meiden. Es heißt nur: keine Passwortdatei im Klartext auf dem Desktop, keine Liste mit Backup Codes im Downloadordner und keine Adminsitzung, die ewig im Browser offen bleibt.

Betreiben Sie zum Beispiel eine Website, holen Sie das Adminpasswort aus dem Passwortmanager, statt es im Browser zu speichern, und melden Sie sich nach der Arbeit ab. Weitere Schritte haben wir im Ratgeber zur Datensicherheit auf der Firmenwebsite gesammelt. Das Ziel: den Schatz verkleinern, den eine einzelne Schadsoftware finden könnte.

• Keine Klartextdateien mit Passwörtern oder Codes auf Desktop oder Cloudlaufwerk.
• Den Screenshotordner regelmäßig leeren.
• Kritische Sitzungen nach der Arbeit beenden.
• Updates für Betriebssystem und Browser nicht aufschieben.

Wie richten Sie Ihr eigenes 2FA System Schritt für Schritt ein?

Jetzt geht es von der Theorie in die Praxis, denn erst die Umsetzung zeigt, ob Sie Ihre 2FA sicher aufbewahren. Den folgenden Plan schaffen die meisten an einem Wochenende. Sie müssen nicht alles auf einmal erledigen, beginnen Sie also mit dem kritischsten Konto.

1. Listen Sie Ihre Konten auf und markieren Sie die fünf wichtigsten: Hauptpostfach, Cloud, Passwortmanager, Domainverwaltung und Social Media Administration.
2. Besorgen Sie zwei Hardware Sicherheitsschlüssel und registrieren Sie beide bei jedem kritischen Konto.
3. Erzeugen Sie für jedes Konto Backup Codes, drucken Sie sie aus und lagern Sie sie an zwei Orten.
4. Entfernen Sie SMS wo möglich aus der Liste der zweiten Faktoren oder schieben Sie es ans Ende.
5. Aktualisieren Sie Wiederherstellungsadresse und Telefonnummer, und löschen Sie alte Nummern.
6. Installieren Sie Seeds für Authenticator Apps nur auf einem Gerät, dem Sie vertrauen.
7. Testen Sie alle sechs Monate Schlüssel und Backup Codes.

Wer diese Gewohnheiten ins Team tragen will, findet die Denkweise dahinter in unserem Beitrag Cybersecurity Experte werden. Kurz gesagt richten Sie ein gutes Setup einmal ein und halten es mit kleinen Kontrollen am Leben. Schriftlich festgehalten klärt es außerdem, wer welchen Schlüssel hat und welche Zugänge Sie beim Ausscheiden einer Person sperren.

Welche Methode passt zu welchem Konto?

Nicht jedes Konto braucht denselben Schutz. Teilen Sie Ihre Konten deshalb in drei Gruppen ein. Die erste Gruppe öffnet Türen zu anderen Konten: Hauptpostfach, Cloudkonto und Passwortmanager. Diese brauchen einen Hardware Schlüssel.

Die zweite Gruppe umfasst Konten, deren Verlust Ruf oder Umsatz kostet: Social Media, Werbekonten und Domainverwaltung. Bevorzugen Sie dort Passkeys oder Hardware Schlüssel, ersatzweise eine Authenticator App. Wurde Ihr Instagram bereits übernommen, hilft unser Ratgeber Instagram Konto gehackt: so holen Sie es zurück. Die dritte Gruppe sind unwichtige Anmeldungen, bei denen Codes im Passwortmanager ein fairer Kompromiss sind.

Mit dieser Einteilung beantworten Sie für jedes Konto einzeln, wie Sie die 2FA sicher aufbewahren. Statt überall den teuersten Schutz einzusetzen, passen Sie den Schutz dem Risiko an.

2FA sicher aufbewahren: Welche Grundsätze gelten immer?

Schließlich fassen wir den gesamten Ratgeber zusammen. Diese Grundsätze gelten auch dann, wenn Marken, Produkte und Plattformen wechseln, weil sie auf dem Bedrohungsmodell selbst beruhen.

• Halten Sie den zweiten Faktor getrennt vom Gerät mit dem Passwort.
• Wählen Sie für kritische Konten eine phishingresistente, domaingebundene Methode.
• Bewahren Sie Backup Codes auf Papier, offline und an zwei Orten auf.
• Registrieren Sie immer einen zweiten Schlüssel.
• Machen Sie die Wiederherstellung so stark wie den zweiten Faktor.
• Behandeln Sie jede unerwartete Anfrage als Alarm.

Wer seine 2FA sicher aufbewahren will, braucht also kein Misstrauen gegen Technik. Das Smartphone ist nicht Ihr Feind. Es sollte nur nicht der einzige Schlüssel zu allem sein. Auch wir, Talha Aslan und Team, bauen unser eigenes Arbeitssetup auf diesem Prinzip der Trennung auf. Beginnen Sie heute mit Ihrem wichtigsten Konto und verlegen Sie dessen zweiten Faktor an einen getrennten, physischen Ort ohne Netz und mit nur einem Zweck.