Zwei-Faktor-Authentifizierung einrichten: Der zweite Faktor, der Einbrecher aussperrt
Würden Sie Ihre Bürotür mit einem Schlüssel sichern, der tausendfach kopiert im Internet liegt? Genau das tut jeder Betrieb ohne zweiten Faktor. Welche Konten zuerst drankommen, warum die App die SMS schlägt und wie der Rollout im Team ohne Aufstand gelingt.
Würden Sie Ihre Bürotür mit einem Schlüssel sichern, von dem tausend Kopien irgendwo im Internet liegen? Eben. Genau das tun Sie aber, wenn zwischen Ihren Firmenkonten und einem Angreifer nur ein Passwort steht.
Passwörter werden gestohlen. Jeden Tag, millionenfach: durch Datenlecks bei großen Anbietern, durch Phishing-Mails, durch Schadsoftware. Ob Ihr Passwort dabei ist, entscheiden nicht Sie. Das entscheidet der Konzern, der Ihre Zugangsdaten verliert und es Ihnen Monate später beiläufig mitteilt.
Ein gestohlenes Passwort reicht heute für den Totalzugriff: Postfach, Cloud, Buchhaltung, Banking. Außer es gibt eine zweite Tür. Diese Tür heißt Zwei-Faktor-Authentifizierung. Sie einzubauen kostet weniger Zeit als eine Mittagspause.
Was Zwei-Faktor-Authentifizierung ist, erklärt in einer Minute
Zwei-Faktor-Authentifizierung (kurz 2FA, in der Mehrfach-Variante auch MFA genannt) bedeutet: Zum Anmelden brauchen Sie zwei verschiedene Dinge. Etwas, das Sie wissen, nämlich Ihr Passwort. Und etwas, das Sie haben, zum Beispiel Ihr Handy mit einer Code-App oder einen kleinen Schlüssel für den USB-Anschluss.
Ein Angreifer mit Ihrem Passwort steht damit vor einer zweiten, verschlossenen Tür. Der Zweitschlüssel liegt in Ihrer Hosentasche, nicht in seinem Datenpaket. In fast allen Fällen zieht er weiter zum nächsten Betrieb, der es ihm leichter macht. Davon gibt es genug. Wer immer noch glaubt, sein Betrieb sei kein Ziel, liest am besten zuerst, warum »Wir sind zu klein für Hacker« die gefährlichste Lüge ist.
Welche Konten zuerst? E-Mail. Immer zuerst E-Mail.
Wo anfangen? Beim Postfach. Ohne Diskussion.
Ihr E-Mail-Konto ist der Generalschlüssel zu allem anderen. Jeder »Passwort vergessen«-Link landet dort. Wer Ihr Postfach übernimmt, setzt in einer halben Stunde die Passwörter Ihrer Cloud, Ihres Shops und Ihrer Buchhaltung zurück und sperrt Sie dabei überall aus. Deshalb gilt diese Reihenfolge:
- E-Mail-Konten. Alle. Auch das info@-Postfach, das »nur für Anfragen« da ist.
- Onlinebanking und Zahlungsdienste. Alles, was direkten Zugriff auf Ihr Geld hat.
- Domain und Webhosting. Wer Ihre Domain kapert, kapert Website und Mail-Adressen gleich mit.
- Cloud-Speicher und Bürosoftware. Dateiablage, Buchhaltung, Warenwirtschaft, Kundendaten.
- Social-Media-Konten. Ärgerlich beim Verlust, aber verkraftbarer als die vier Punkte darüber.
App, SMS oder Hardware-Schlüssel? Die ehrliche Einordnung
Zweiter Faktor ist nicht gleich zweiter Faktor. Die drei gängigen Verfahren im Vergleich:
| Verfahren | So funktioniert es | Schutz | Meine Einordnung |
|---|---|---|---|
| Authenticator-App (TOTP) | Eine App auf dem Handy erzeugt alle 30 Sekunden einen sechsstelligen Code, auch ohne Internetverbindung | Hoch | Der Standard für kleine Betriebe: kostenlos, in Minuten eingerichtet, mit Open-Source-Apps ganz ohne Datenabfluss |
| SMS-Code | Der Dienst schickt bei jeder Anmeldung einen Code aufs Handy | Mittel | Besser als nichts, aber angreifbar: Betrüger besorgen sich beim Mobilfunkanbieter Ersatz-SIM-Karten. Nur nutzen, wenn der Dienst nichts anderes anbietet |
| Hardware-Schlüssel (FIDO2) | Ein kleiner Stick für USB oder NFC; anmelden heißt Taste berühren | Sehr hoch | Lässt sich nicht per Phishing austricksen. Meine Empfehlung für Admin-Zugänge und Chefkonten; einmalige Anschaffung für einen niedrigen zweistelligen Betrag pro Stück |
Und die Zukunft? Heißt Passkeys. Ein Passkey ersetzt das Passwort komplett: Ihr Gerät und der Dienst tauschen ein kryptografisches Schlüsselpaar aus, Sie bestätigen die Anmeldung per Fingerabdruck oder Geräte-PIN. Es existiert schlicht kein Passwort mehr, das man Ihnen stehlen könnte. Immer mehr Dienste bieten das an. Wo Sie es sehen, nehmen Sie es. Auch das BSI, die Bundesbehörde für IT-Sicherheit, rät seit Jahren zum zweiten Faktor.
Rollout im Team: so gelingt es ohne Aufstand
Die Technik ist der kleinste Teil. Die eigentliche Arbeit heißt: Menschen mitnehmen. So gehe ich vor:
- Bei sich selbst anfangen. Chefkonto und Admin-Zugänge zuerst. Wer vom Team etwas verlangt, was er selbst nicht nutzt, hat schon verloren.
- Das Warum erklären, in fünf Minuten. 2FA überwacht niemanden. Es schützt Löhne, Kundendaten und am Ende Arbeitsplätze. Das versteht jeder.
- Eine Methode festlegen. Eine gemeinsame Authenticator-App für alle, nicht fünf verschiedene. Sonst betreuen Sie ab Woche zwei einen Zoo.
- Gemeinsam einrichten. Pro Person reichen zehn bis fünfzehn Minuten. Direkt danach einmal ab- und wieder anmelden, damit es sitzt.
- Wiederherstellungscodes sichern. Sofort, nicht »irgendwann«. Dazu gleich mehr.
- Offboarding regeln. Verlässt jemand den Betrieb, werden seine Zugänge am selben Tag entzogen. Mit 2FA wird das übersichtlicher, nicht schwerer.
Der häufigste Einwand: »Ich will keine Firmen-App auf meinem privaten Handy.« Berechtigt. Und leicht zu entkräften: Eine Authenticator-App liest nichts mit, sendet nichts und erzeugt nur Zahlen. Wer trotzdem nicht will, bekommt einen Hardware-Schlüssel. Kein Drama, kein Machtkampf.
Wiederherstellungscodes: der Plan B, den fast alle vergessen
Handy kaputt, Handy geklaut, Handy im Gully. Was dann? Dann retten Sie die Wiederherstellungscodes.
Jeder Dienst zeigt beim Einrichten einmalige Ersatzcodes an. Drucken Sie sie aus, stecken Sie sie in einen beschrifteten Umschlag, ab in den Tresor oder die abschließbare Schublade. Nicht als Bildschirmfoto in der Handy-Galerie, nicht als Datei namens codes.txt auf dem Desktop. Wer im Team einen Passwort-Manager nutzt, legt sie dort in einem eigenen, streng beschränkten Bereich ab.
Wo 2FA an seine Grenzen kommt und welche Konten Sie auslassen dürfen
Ich verkaufe Ihnen 2FA nicht als Allheilmittel, denn das wäre gelogen. Drei Grenzen gehören auf den Tisch:
- Gegen Schadsoftware auf dem eigenen Rechner hilft der zweite Faktor nichts. Wer schon im Haus ist, braucht keinen Schlüssel mehr.
- Ausgefeilte Phishing-Seiten greifen App-Codes in Echtzeit ab und melden sich Sekunden später mit an. Dagegen schützen nur Hardware-Schlüssel und Passkeys zuverlässig.
- 2FA ersetzt weder Updates noch Backups. Es ist ein Baustein, kein Fundament.
Und: Nicht jedes Konto braucht den zweiten Faktor. Das Login im Fachforum ohne Zahlungsdaten und ohne Kundenbezug überlebt auch ohne. Konzentrieren Sie Ihre Energie auf die Konten, deren Verlust Sie Geld, Daten oder den Ruf kostet. Die Liste oben ist Ihre Reihenfolge.
Der erste Schritt kostet Sie eine Kaffeepause
Sichern Sie heute noch Ihr wichtigstes E-Mail-Konto ab. Zehn Minuten, einmalig. Kaum eine Maßnahme bringt so viel Schutz für so wenig Aufwand. Wie dieser eine Baustein in ein größeres Sicherheitskonzept aus Firewall, Backups und sauberen Zugriffsrechten greift, finden Sie unter Netzwerk & Sicherheit.
Vielleicht haben Sie beim Lesen gemerkt: Das kriegen Sie allein hin. Umso besser. Dann brauchen Sie mich für die 2FA-Einrichtung nicht, und dieser Artikel hat seinen Zweck erfüllt. Falls Sie aber vor einem Wust aus Konten, Geräten und halb eingerichteten Apps sitzen und nicht wissen, wo der zweite Faktor zuerst hingehört, schauen wir gemeinsam drauf. Der erste Blick kostet nichts und läuft per Video, egal wo in Deutschland Ihr Schreibtisch steht. Sie zeigen mir, welche Konten bei Ihnen laufen, ich sage Ihnen ehrlich, welche den zweiten Faktor wirklich brauchen und welche Sie sich sparen können. Keine Verkaufsnummer. Kein Druck.
