The Mobile Scout
Menü
Geräte & TestsUnterwegsSicher & smartTarife & InternetRatgeberVerschenkenBlog

Passkeys und Zwei-Faktor-Authentisierung: So sicherst du Konten ab

von The Mobile ScoutAktualisiert November 20265 Min. Lesezeit
Auf einen Blick
Für wen
Alle mit E-Mail-, Shopping-, Banking- oder Social-Media-Konten
Zuerst absichern
Das E-Mail-Konto
Stärkste Option
Passkey (phishing-resistent)
Passwort wechseln
Nur nach Datenleck
Notfall
Wiederherstellungscodes sicher ablegen

Wie schützt du deine Online-Konten heute am besten? Mit Passkeys, wo ein Dienst sie anbietet, und sonst mit einem starken, einzigartigen Passwort plus Zwei-Faktor-Authentisierung (2FA). So empfiehlt es das Bundesamt für Sicherheit in der Informationstechnik (BSI). Fang mit deinem E-Mail-Konto an, denn darüber lassen sich viele andere Konten zurücksetzen. Hier erfährst du Schritt für Schritt, wie du vorgehst.

Passwörter allein reichen nicht mehr

Das BSI hält einen routinemäßigen Passwortwechsel nicht automatisch für einen Sicherheitsgewinn. Häufig führt er nur zu schwachen, vorhersehbaren Passwörtern. Stattdessen solltest du prüfen, wo du schon auf Passkeys umsteigen und wo du 2FA aktivieren kannst (BSI – Pressemitteilung vom 30.01.2026).

Ändern solltest du ein Passwort dann, wenn es in einem Datenleck aufgetaucht sein könnte (BSI – Pressemitteilung vom 31.01.2025).

Was ist Zwei-Faktor-Authentisierung?

Bei 2FA weist du dich mit zwei Merkmalen aus verschiedenen Kategorien aus (BSI – Zwei-Faktor-Authentisierung):

  • Wissen: Passwort oder PIN
  • Besitz: zum Beispiel Smartphone mit Authenticator-App, Chipkarte oder TAN-Generator
  • Biometrie: zum Beispiel Fingerabdruck

Das BSI empfiehlt: Nutze 2FA, sobald ein Online-Dienst sie anbietet, und schalte sie nicht wieder ab. Der zweite Faktor schützt dich auch dann, wenn dein Passwort schon bekannt ist (BSI – Pressemitteilung vom 30.01.2026).

Nicht jedes Verfahren ist gleich stark. Laut BSI schützen SMS-TAN, E-Mail-TAN und Codes aus Authenticator-Apps (TOTP) nicht vor Phishing-Angriffen in Echtzeit. Passkeys dagegen sind gegen übliches Phishing resistent (BSI – Bewertung von 2FA-Verfahren).

Verfahren Phishing-Schutz laut BSI Hinweis
SMS- oder E-Mail-TAN kein Schutz vor Echtzeit-Phishing besser als gar kein zweiter Faktor
Authenticator-App (TOTP) kein Schutz vor Echtzeit-Phishing gut nutzbar
Passkey resistent gegen übliches Phishing Backup einplanen

Passkeys: anmelden ohne Passwort

Ein Passkey ersetzt das Passwort. Beim Einrichten speichert dein Gerät einen geheimen Schlüssel, der Online-Dienst bekommt den passenden öffentlichen Schlüssel. Die Anmeldung bestätigst du zum Beispiel per Fingerabdruck, Gesichtserkennung oder PIN (BSI – Passkeys).

Der Vorteil: Einen Passkey kannst du nicht vergessen, und er ist nie zu kurz oder zu einfach. Weil der geheime Schlüssel nie preisgegeben wird, scheitert eine Anmeldung auf einer gefälschten Seite – die Täter erfahren nichts (BSI – Passkeys).

Wichtig zu wissen:

  • Dein Handy per Fingerabdruck zu entsperren, heißt noch nicht, dass du Passkeys nutzt. Passkeys gelten nur für die Anmeldung bei Online-Konten.
  • Plane ein Backup ein: lokale Sicherung, Synchronisierung über eine Cloud oder – bei Sicherheitsschlüsseln (FIDO2) – einen zweiten Schlüssel als Reserve.

(beide Punkte: BSI – Passkeys)

In welcher Reihenfolge du deine Konten absicherst

Das BSI rät: Wer seinen Kontenschutz überprüfen will, sollte beim E-Mail-Konto anfangen. Darüber lassen sich oft die Anmeldungen bei anderen Diensten zurücksetzen (BSI – Pressemitteilung vom 31.01.2025). Vor Reisen empfiehlt das BSI die Reihenfolge E-Mail, dann Buchungsportale, dann Zahlungsdienste (BSI – Pressemitteilung vom 19.06.2026).

Eine sinnvolle Reihenfolge für den Alltag:

  1. Haupt-E-Mail-Konto – der Generalschlüssel für alles andere
  2. Apple-Account oder Google-Konto – oft mit Geräten, Fotos und Backups verbunden
  3. Zahlungsdienste und Online-Shops mit hinterlegter Zahlungsart
  4. Passwort-Manager (falls genutzt)
  5. Messenger und soziale Netzwerke
  6. Alle übrigen Konten, sobald der Dienst 2FA oder Passkeys anbietet

Passwort-Manager: Überblick behalten

Für Konten ohne Passkey brauchst du weiterhin starke und unterschiedliche Passwörter. Ein Passwort-Manager hilft laut BSI, den Überblick zu behalten (BSI – Pressemitteilung vom 31.01.2025). Das BSI nennt dazu diese Punkte (BSI – Passwort-Manager):

  • Der Manager schützt alles mit Verschlüsselung und einem komplexen Masterpasswort.
  • Geht das Masterpasswort verloren, können die gespeicherten Daten unwiederbringlich weg sein.
  • Bei Cloud-Diensten vertraust du einem Unternehmen den Zugang zu deinen Daten an – prüfe Bedingungen und Datenschutzerklärung.
  • Installiere immer die neuesten Updates und schütze das Gerät selbst mit PIN oder Passwort.

Die Verbraucherzentrale empfiehlt zusätzlich, auch den Passwort-Manager mit 2FA abzusichern (Verbraucherzentrale).

Wiederherstellungscodes: dein Notfallschlüssel

Was passiert, wenn dein Handy kaputtgeht oder verloren ist? Dafür gibt es Wiederherstellungs- oder Backup-Codes. Viele Anbieter zeigen sie beim Einrichten von 2FA an. Jeder Code funktioniert nur einmal (Verbraucherzentrale).

  • Notiere die Codes und bewahre sie sicher auf (BSI – 2FA für Gaming-Accounts).
  • Beispiel Google: Du kannst jederzeit zehn neue Backup-Codes erstellen, alte werden dabei ungültig. Google empfiehlt, sie an einem sicheren Ort aufzubewahren, etwa bei wichtigen Dokumenten, und sie nicht weiterzugeben (Google-Konto-Hilfe).
  • Hinterlege, wo möglich, mehrere zweite Faktoren – etwa ein weiteres Gerät oder eine zweite Telefonnummer (BSI – Zwei-Faktor-Authentisierung).

Deine Checkliste

Muss ich meine Passwörter regelmäßig ändern?

Nein. Laut BSI erhöht ein routinemäßiger Wechsel die Sicherheit nicht automatisch. Ändere ein Passwort, wenn es in einem Datenleck aufgetaucht sein könnte.

Ist SMS als zweiter Faktor noch okay?

Sie ist besser als gar kein zweiter Faktor. Laut BSI schützt SMS-TAN aber nicht vor Phishing in Echtzeit. Wenn ein Dienst Passkeys anbietet, sind diese die stärkere Wahl.

Was passiert mit meinen Passkeys, wenn ich mein Handy verliere?

Mit einer lokalen Sicherung oder synchronisierten Passkeys kommst du wieder an deine Konten. Ohne Backup bieten manche Dienste andere Wege, deine Identität zu bestätigen, so das BSI.

Welches Konto sichere ich zuerst ab?

Dein E-Mail-Konto. Darüber lassen sich die Zugänge zu vielen anderen Diensten zurücksetzen.

Quellen

Stand: November 2026. Regeln und Fristen prüfen wir regelmäßig.