2FA (Zwei-Faktor-Authentifizierung)
Eine Sicherheitsmethode, die zwei verschiedene Verifizierungsformen erfordert, bevor Zugang gewährt wird, typischerweise ein Passwort plus einen Code von einem Gerät in deinem Besitz.
Zwei-Faktor-Authentifizierung (2FA), auch Multi-Faktor-Authentifizierung (MFA) genannt, fügt einen zweiten Verifizierungsschritt über das Passwort hinaus hinzu. Selbst wenn ein Angreifer dein Passwort durch Phishing oder eine Datenpanne stiehlt, kann er ohne den zweiten Faktor nicht auf dein Konto zugreifen.
Gängige zweite Faktoren
- TOTP-Apps (Google Authenticator, Authy): Generieren einen zeitbasierten 6-stelligen Code, der sich alle 30 Sekunden ändert.
- Hardware-Schlüssel (YubiKey, Titan): Physische USB-/NFC-Geräte, die deine Identität kryptografisch verifizieren. Die sicherste Option, immun gegen Phishing.
- SMS-Codes: Ein Code per SMS. Besser als nichts, aber anfällig für SIM-Swapping.
- Push-Benachrichtigungen: Eine App auf deinem Smartphone fragt, ob du die Anmeldung genehmigen willst.
- Passkeys: Ein neuerer Standard, der passwortlose Anmeldung mit kryptografischer Verifizierung kombiniert, unterstützt von den meisten modernen Passwort-Managern.
Warum SMS die schwächste Option ist
SMS-basierte 2FA ist anfällig für SIM-Swapping: Ein Angreifer überzeugt deinen Mobilfunkanbieter, deine Nummer auf seine SIM zu übertragen. Danach erhält er deine Codes. Für jedes wichtige Konto solltest du TOTP oder einen Hardware-Schlüssel verwenden.
2FA und Schweizer Compliance
Das nDSG verlangt «angemessene technische Massnahmen» zum Schutz von Personendaten. Für Systeme mit sensiblen Daten gilt 2FA als Mindesterwartung der Schweizer Regulatoren. Die FINMA verlangt explizit Multi-Faktor-Authentifizierung für Finanzinstitute.
2FA im Team ausrollen
- Mit einem Passwort-Manager starten, der TOTP unterstützt
- 2FA zuerst für E-Mail-Konten aktivieren (E-Mail ist der Wiederherstellungspfad für alles andere)
- Auf Cloud-Speicher, Finanztools und Admin-Panels ausweiten
- Hardware-Schlüssel für kritische Systeme und Admin-Konten erwägen
- Den Prozess für die nDSG-Compliance dokumentieren