Zwei-Faktor-Anmeldung: Welche Methode hält Betrügern stand?

Die Zwei-Faktor-Anmeldung ist eine Gewohnheit mit großer Wirkung und wenig Aufwand. Microsoft schreibt in seinem Digital Defense Report 2025, dass die Mehrfaktor-Anmeldung über 99 Prozent der identitätsbasierten Angriffe blockiert (Microsoft, 16.10.2025). Deshalb vorweg die Kernbotschaft dieses Artikels: Jeder zweite Faktor ist besser als keiner. Wenn Sie heute nur eines tun, schalten Sie ihn bei Ihrem Mail-Konto ein.

Die Methoden sind aber nicht gleich. Wer weiß, wie Betrüger sie umgehen, kann für jedes Konto die passende wählen.

Worum es beim zweiten Faktor geht

Ein Passwort ist etwas, das Sie wissen. Der zweite Faktor ist meist etwas, das Sie haben: Ihr Handy oder ein Sicherheitsschlüssel. Ein Betrüger, der Ihr Passwort aus einem Datenleck kennt, kommt damit allein nicht hinein.

Die entscheidende Frage ist: Kann er den zweiten Beweis zur selben Zeit bekommen wie das Passwort? Davon hängt ab, wie gut eine Methode hält.

Die Methoden im Vergleich

SMS-Code. Sie bekommen einen Code per SMS und tippen ihn ein. Das ist einfach und funktioniert auf jedem Handy. Schwächen: Der Code lässt sich auf einer gefälschten Seite abfangen, er lässt sich am Telefon erfragen, und Ihre Nummer kann auf eine andere SIM übertragen werden. Bei diesem sogenannten SIM-Swap bringt ein Betrüger den Mobilfunkanbieter dazu, Ihre Nummer auf seine Karte umzustellen (ENISA). Ein Zeichen dafür: Ihr Handy hat plötzlich kein Netz, während andere in der Nähe Empfang haben. Europol rät, dann sofort den Anbieter anzurufen (Europol).

Code aus einer Anmelde-App. Eine App auf Ihrem Handy erzeugt alle 30 Sekunden einen neuen Code. Ein SIM-Swap hilft hier nicht. Der Code lässt sich aber, wie der SMS-Code, auf einer gefälschten Seite eingeben und in Echtzeit an die echte Seite weiterreichen.

Push-Anfrage „Bestätigen oder Ablehnen“. Das Handy zeigt eine Anfrage, Sie tippen auf „Bestätigen“. Bequem, aber anfällig für eine Masche namens MFA-Fatigue: Der Betrüger kennt das Passwort und löst viele Anfragen hintereinander aus, oft spätabends, bis jemand aus Müdigkeit bestätigt. Häufig kommt dazu eine Nachricht der angeblichen IT: „Bitte einmal bestätigen, dann hört es auf.“ Die US-Behörde CISA beschreibt dieses Muster (CISA, Number Matching), und NIST hält reine Bestätigen-Knöpfe nicht mehr für ausreichend (NIST SP 800-63B-4, Abschnitt 3.1.3.2).

Push mit Zahlenabgleich. Die Anmeldeseite zeigt eine Zahl, die Sie in der App eintippen. Wer Sie mit Anfragen überschüttet, sitzt nicht neben Ihnen; ohne die Zahl von seinem Bildschirm kommen Sie nicht weiter. Das bremst MFA-Fatigue deutlich. Auf einer gefälschten Seite, die alles weiterreicht, hilft auch das nicht vollständig.

Passkey oder Sicherheitsschlüssel. Hier gibt es nichts, das Sie eintippen oder weitergeben. Der Schlüssel in Ihrem Gerät antwortet nur der Adresse, für die er erstellt wurde. Eine Fälschung bekommt keine Antwort. NIST nennt das phishing-resistent und verlangt seit 2025, dass Dienste auf mittlerer Schutzstufe mindestens eine solche Option anbieten.

Wie Betrüger den zweiten Faktor umgehen

Wer die Tricks kennt, erkennt sie schneller. Drei Muster begegnen Ihnen immer wieder:

1. Die gefälschte Anmeldeseite in Echtzeit. Eine Mail meldet ein geteiltes Dokument. Die Anmeldeseite sieht echt aus, Sie geben Passwort und Code ein, alles scheint zu funktionieren. Im Hintergrund reicht die Fälschung alles an die echte Seite weiter und behält Ihre Sitzung. Microsoft beschreibt, dass Betrüger so angemeldet bleiben, auch nachdem das Passwort geändert wurde, solange nicht alle Sitzungen beendet sind (Microsoft, 04.03.2026). Schutz: über das Lesezeichen anmelden, Passkey verwenden.
2. Die Bitte um den Code. „Ich habe dir versehentlich einen Code geschickt, kannst du ihn mir weiterleiten?“ Oder ein Anrufer „vom Mobilfunker“, der einen Code zur Vertragsprüfung braucht. Der Code ist in Wahrheit der Schlüssel zu Ihrem Konto.
3. Die Freigabe am Telefon. Ein angeblicher Sicherheitsmitarbeiter Ihrer Bank meldet verdächtige Abbuchungen und bittet Sie, zwei Freigaben in der App zu bestätigen, „zur Stornierung“. Die App zeigt aber eine Überweisung. Österreichische Banken warnen 2026 ausdrücklich vor dieser Masche; Bankmitarbeiter verlangen am Telefon weder TAN noch Freigabe.

Welche Methode für welches Konto

Ein Beispiel aus Österreich: Die ID Austria in der Vollfunktion bietet keine SMS-TAN mehr an, weil höhere EU-Sicherheitsstandards gelten (id-austria.gv.at). Auch dort gilt die App mit Biometrie oder ein FIDO-Schlüssel als Standard.

Eine Regel für alle Methoden

Egal welche Methode Sie verwenden: Bestätigen Sie nur, was Sie selbst begonnen haben. Eine Anfrage, ein Code oder eine Freigabe, die Sie nicht ausgelöst haben, bedeutet, dass gerade jemand anderer versucht, sich mit Ihrem Konto anzumelden. Lehnen Sie ab, ändern Sie das Passwort und melden Sie es, im Betrieb der zuständigen Stelle.

Kurz-Checkliste

• Zweiter Faktor bei Mail, Passwort-Manager und Handy-Konto eingeschaltet.
• Wo möglich auf Passkey umgestellt, sonst auf Anmelde-App.
• Im Messenger die PIN für die Verifizierung in zwei Schritten gesetzt.
• Wiederherstellungscodes ausgedruckt.
• Merksatz: Nur bestätigen, was ich selbst begonnen habe. Codes gebe ich niemandem weiter.

Selbst ausprobieren

In Wachsam treffen Sie auf genau diese Tricks: die Anfragenflut am Abend, die Bitte um den Code, den Anruf mit der Freigabe. Sie entscheiden, der Trickser reagiert, und nach jeder Antwort erfahren Sie, warum. Ein Fall dauert drei bis vier Minuten, das Spiel ist kostenlos. Jetzt einen Fall spielen.