1. SMS: leicht zugänglich, aber an die Nummer gebunden
Beim üblichen SMS-Verfahren gibst du nach dem Passwort einen zugesandten Code ein. Das kann einen zusätzlichen Schutz gegenüber einem Passwort allein bieten. Es hängt aber vom Zugang zu deiner Telefonnummer ab; ein Nummernwechsel oder Missbrauch der Nummer kann Probleme verursachen. Codes lassen sich ausserdem auf gefälschten Seiten abfragen. Teile sie nicht mit einem Anrufer oder einer Person im Chat. Eine echte Sicherheitsnachricht beweist nicht, dass auch die Seite davor echt war.
2. App-Code: ohne SMS, weiterhin vor Täuschung schützen
Eine Authenticator-App erzeugt nach der Einrichtung zeitlich wechselnde Codes, bei vielen üblichen Verfahren auch ohne Mobilfunkempfang. Das vermeidet die Abhängigkeit von einer SMS-Zustellung. Es macht den Code jedoch nicht gegen Phishing immun: Ein fremder Dienst kann versuchen, ihn während seiner Gültigkeit abzufangen. Prüfe vor einem Telefonwechsel, wie deine konkrete App Einträge überträgt oder wiederherstellt. Nicht jede App und Einstellung synchronisiert automatisch. Bewahre Einrichtungsdaten und Wiederherstellungsmöglichkeiten geschützt auf.
3. Bestätigungsanfragen: nur den eigenen Vorgang freigeben
Manche Dienste schicken eine Anfrage an ein bereits angemeldetes Gerät. Prüfe den beschriebenen Vorgang und bestätige nur eine Anmeldung, die du selbst auf dem echten Dienst begonnen hast. Wiederholte unerwartete Anfragen solltest du ablehnen, nicht aus Müdigkeit freigeben. Öffne anschliessend selbst die Sicherheitseinstellungen und prüfe den Vorfall. Ein ungefähr passender Standort ist allein kein Beweis für einen legitimen Versuch. Auch eine Anfrage am echten Telefon kann zu einem von Fremden gestarteten Vorgang gehören.
4. Passkey: an den richtigen Dienst gebundener Zugang
Ein Passkey verwendet einen kryptografischen Schlüssel und ist an den echten Dienst gebunden. Du bestätigst die Verwendung beispielsweise mit der Gerätesperre, einer PIN oder Biometrie. Dadurch wird das klassische Abgreifen eines wiederverwendbaren Passworts oder Codes auf einer falschen Seite verhindert. Ein Passkey ist nicht einfach ein weiteres Passwort, das du jemandem diktierst. Gerät, Synchronisationskonto und Wiederherstellung müssen trotzdem geschützt bleiben. Passkeys verhindern weder jeden Betrug noch eine Zahlung, zu der du dich selbst täuschen lässt.
5. Wähle und teste mit Blick auf einen Geräteverlust
Ein erfundenes Beispiel: Sara aktiviert beim unterstützten E-Mail-Dienst einen Passkey und prüft den vorgesehenen Ersatzweg. Ein anderer Dienst bietet ihr nur zusätzliche Codes; dort richtet sie eine geeignete verfügbare Methode ein. Sie dokumentiert privat, wie sie bei Verlust des Telefons wieder Zugang bekommt, ohne Geheimnisse offen abzulegen. Ein kompatibler Sicherheitsschlüssel kann eine weitere Möglichkeit sein, ist aber kein Pflichtkauf für jedes Konto. Lösche bestehende funktionierende Ersatzwege erst nach Prüfung der neuen Einrichtung.
Deine Checkliste
Die Häkchen dienen nur deiner Übersicht. Hier werden keine Eingaben an uns gesendet. Zum Aufbewahren kannst du die Seite über das Browsermenü drucken oder als PDF speichern.
Häufige Fragen
Brauche ich für mehrere Faktoren immer zwei Geräte?
Nein. Mehrere Faktoren müssen nicht auf getrennten Geräten liegen. Ein Passkey kann Besitz des Schlüssels mit einer Nutzerprüfung, etwa per Gerätesperre, verbinden. Welche Schritte ein Dienst verlangt, hängt von seiner Umsetzung ab. Befolge seine offiziellen Anweisungen.
Soll ich einen SMS-Schutz ausschalten, weil er nicht perfekt ist?
Nicht ersatzlos. Prüfe zuerst bessere unterstützte Möglichkeiten und richte sie vollständig ein. Auch ein zusätzlicher SMS-Schritt kann mehr Schutz als ein Passwort allein bieten. Behalte die Telefonnummer aktuell und gib Codes nicht auf fremden Seiten oder an andere Personen weiter.
Brauche ich zwingend ein Smartphone für zusätzlichen Kontoschutz?
Nicht bei jedem Dienst. Je nach Anbieter können beispielsweise ein Passkey am eigenen Computer oder ein kompatibler Sicherheitsschlüssel möglich sein. Prüfe die tatsächlich unterstützten Verfahren und die Wiederherstellung. Kaufe kein Gerät allein aufgrund einer allgemeinen Empfehlung, bevor die Kompatibilität geklärt ist.
Quellen und weiterführende Informationen
Primärquellen von Behörden, Verbraucherschutz und Anbietern. Eine Quelle kann in einer anderen Sprache vorliegen; massgeblich sind die Hinweise für deinen Dienst und deinen Wohnort.
- NCSC: Passkeys are more secure than traditional ways to log in — 23 April 2026Quellenstand:
- NCSC: Turn on 2-step verificationQuellenstand:
- Google Account Help: Turn on 2-Step VerificationQuellenstand:
