Um die Zwei-Faktor-Authentifizierung einzurichten, schalten Sie in den Sicherheitseinstellungen des jeweiligen Kontos „Zwei-Faktor“ oder „Bestätigung in zwei Schritten“ ein, wählen eine Authenticator-App als zweiten Faktor und speichern die Backup-Codes. Beginnen Sie mit Ihrem E-Mail-Postfach, danach folgen Website und Hosting, Google-Konto, Social Media sowie Buchhaltung und Zahlungsdienste.
Was bringt die Zwei-Faktor-Authentifizierung überhaupt?
Bei der Zwei-Faktor-Authentifizierung (2FA) reicht das Passwort allein nicht mehr zum Anmelden. Zusätzlich verlangt das Konto einen zweiten Nachweis, meist einen Einmalcode aus einer App auf Ihrem Smartphone. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) formuliert es so: Gerät das Passwort in falsche Hände, bleiben die Daten durch die zusätzliche Hürde des zweiten Faktors trotzdem geschützt.
Das BSI rät, 2FA zu aktivieren, sobald ein Dienst sie anbietet. Besonders wichtig ist sie bei Konten mit weitreichenden Rechten, etwa E-Mail, Social Media, Cloud-Diensten und Online-Shopping.
Welche 5 Konten sollte ich zuerst absichern?
Sichern Sie die Konten in dieser Reihenfolge ab, weil jedes weitere Konto vom vorherigen abhängt oder besonders viel Schaden anrichten kann.
1. Ihr E-Mail-Postfach
Wer Ihr Postfach übernimmt, kann bei fast jedem anderen Dienst über „Passwort vergessen“ ein neues Passwort anfordern. Das Postfach ist der Generalschlüssel und gehört deshalb an die erste Stelle.
2. Website und Hosting samt Domain
Im Kundenkonto Ihres Hosters liegen Domain, Postfächer und Website-Dateien. Viele Anbieter bieten 2FA im Kundenkonto an, bei IONOS zum Beispiel unter „Mein Konto“, „Login und Kontosicherheit“, „Zwei-Schritt-Verifizierung“ per Authenticator-App. Für den Login in WordPress selbst lässt sich der zweite Faktor über ein Plugin ergänzen. Wie Sie Ihre Seite zusätzlich sichern, steht im Beitrag Backup einer WordPress-Seite.
3. Ihr Google-Konto
Am Google-Konto hängen oft das Unternehmensprofil, Werbekonto, Analytics und die Search Console. Dort heißt die Funktion „Bestätigung in zwei Schritten“. Sie finden sie im Google-Konto unter „Sicherheit“.
4. Social Media: Facebook, Instagram, LinkedIn
Eine übernommene Unternehmensseite schadet Ihrem Ruf sofort, denn Fremde posten dann in Ihrem Namen. Instagram bietet den zweiten Faktor per SMS oder Authenticator-App an (in der App: Profil, Menü, Einstellungen, Sicherheit, Zwei-Faktor-Authentifizierung). Auch Facebook und LinkedIn unterstützen Authenticator-Apps.
5. Buchhaltung und Zahlungsdienste
Hier liegen Rechnungen, Kundendaten und Geld. Bei PayPal richten Sie die zweistufige Verifizierung laut PayPal-Hilfe über „Einstellungen“, „Sicherheit“, „Zweistufige Verifizierung“ ein und wählen „Authentifizierungs-App verwenden“. Das geht nur im Webbrowser, nicht in der PayPal-App. Gleiches gilt für Ihr Buchhaltungs- und Bankkonto: Schauen Sie in den Sicherheitseinstellungen nach.
Wie richte ich die Zwei-Faktor-Authentifizierung Schritt für Schritt ein?
Der Ablauf ist bei fast allen Diensten gleich:
- Installieren Sie eine Authenticator-App auf Ihrem Smartphone, zum Beispiel Google Authenticator oder Microsoft Authenticator.
- Öffnen Sie im Konto die Sicherheitseinstellungen und suchen Sie „Zwei-Faktor-Authentifizierung“ oder „Bestätigung in zwei Schritten“.
- Scannen Sie den angezeigten QR-Code mit der App.
- Geben Sie den sechsstelligen Code aus der App ein, um die Einrichtung zu bestätigen.
- Erzeugen Sie die Backup-Codes und drucken Sie sie aus.
Wenn Sie dabei neue Passwörter vergeben, nehmen Sie lange, zufällige. Mit dem Passwort-Generator erzeugen Sie sie kostenlos. Mehr dazu im Beitrag zum kostenlosen Passwort-Generator.
Authenticator-App oder SMS: Was ist besser?
Nehmen Sie, wenn möglich, die Authenticator-App. Sie erzeugt die Codes direkt auf Ihrem Gerät, und der Anbieter muss dafür keine vertraulichen Informationen übermitteln. SMS-Codes sind besser als gar kein zweiter Faktor, aber nicht die erste Wahl.
Einen Haken haben beide Verfahren: Laut BSI schützen weder SMS-TAN noch App-Codes (TOTP) vor Phishing-Angriffen, die in Echtzeit stattfinden. Dabei gibt jemand den Code auf einer gefälschten Anmeldeseite ein, und der Angreifer nutzt ihn sofort auf der echten Seite. Am besten schützen Hardware-Sicherheitsschlüssel und Passkeys, die laut BSI auch dagegen resistent sind. Geben Sie deshalb Codes nie auf Seiten ein, die Sie über einen Link in einer Mail geöffnet haben.
Was passiert bei Handyverlust, und wozu dienen Backup-Codes?
Ohne Ihr Handy können Sie sich nicht mehr anmelden, sofern Sie keinen Ersatz hinterlegt haben. Das BSI weist selbst darauf hin: Verlieren Sie den Besitz-Faktor oder geht er kaputt, verlieren Sie in der Regel den Zugang zum Dienst. Backup-Codes sind der Notausgang. Bei Google erzeugen Sie zehn Codes auf einmal, jeder funktioniert nur ein einziges Mal. Ein neuer Satz macht die alten Codes ungültig. Google empfiehlt, sie wie wichtige Dokumente an einem sicheren Ort aufzubewahren, und bietet Download und Ausdruck an.
Meine Faustregel: Schalten Sie den zweiten Faktor bei einem Konto erst ein, wenn die ausgedruckten Backup-Codes schon vor Ihnen liegen, und bewahren Sie sie getrennt vom Handy auf, nicht im selben Mäppchen.
Ist Zwei-Faktor-Schutz Pflicht, und wie ist es in Österreich?
Für Ihre eigenen Konten bei Google, Meta oder PayPal gibt es keine ausdrückliche gesetzliche Vorgabe zur 2FA. Die Datenschutz-Grundverordnung verlangt in Artikel 32 „geeignete technische und organisatorische Maßnahmen“ nach dem Stand der Technik, nennt 2FA aber nicht ausdrücklich. Wer personenbezogene Daten verarbeitet, etwa Kundendaten im Postfach oder in der Buchhaltung, sollte 2FA als naheliegende Maßnahme prüfen. Das gilt in Deutschland und Österreich gleichermaßen. Anders ist es bei Behördenportalen, die den zweiten Faktor selbst vorschreiben:
| Portal | Deutschland | Und in Österreich? |
|---|---|---|
| Steuerportal | ELSTER: Anmeldung per Passwort plus Zertifikatsdatei, Sicherheitsstick oder Signaturkarte (laut ELSTER „Wissen und Besitz“). Alternativ ElsterSecure mit Fingerabdruck oder Gesichtserkennung als zweitem Faktor. | FinanzOnline: Seit 1. Oktober 2025 nur noch mit 2-Faktor-Authentifizierung, per ID Austria oder Authenticator-App. |
In Österreich gilt die Pflicht bei FinanzOnline also seit Oktober 2025 für alle Nutzer. In Deutschland war bei ELSTER ein zweiter Bestandteil neben dem Passwort schon vorher Standard, und die Bundesagentur für Arbeit verlangt seit 29. April 2025 eine Mehr-Faktor-Anmeldung. Das ist keine Rechtsberatung, Stand Oktober 2026. Im Zweifel klären Sie Pflichten für Ihr Unternehmen mit Ihrer Steuerberatung oder Ihrem Datenschutzbeauftragten. Wie Sie Ihre Website darüber hinaus datenschutzkonform aufstellen, lesen Sie unter Ist meine WordPress-Website DSGVO-konform?
Hilfe bei Website, Hosting und deren Absicherung finden Sie unter Leistungen.
Häufige Fragen
Welche Authenticator-App soll ich nehmen?
Jede App, die den Standard für zeitbasierte Einmalcodes (TOTP) unterstützt, funktioniert. FinanzOnline nennt zum Beispiel Google Authenticator, Microsoft Authenticator, die Passwörter-App von Apple und WinAuth für Windows. Wichtig ist, dass Sie wissen, wie Sie die App bei einem Handywechsel übertragen.
Reicht SMS als zweiter Faktor?
SMS ist besser als nur ein Passwort, aber schwächer als eine App oder ein Sicherheitsschlüssel. Nutzen Sie sie nur, wenn ein Dienst nichts anderes anbietet. Bei PayPal etwa lässt sich die SMS-Verifizierung laut Hilfeseite nach dem Deaktivieren nicht erneut einschalten.
Was tue ich, wenn ich mein Handy verliere?
Melden Sie sich mit einem Backup-Code an, richten Sie den zweiten Faktor auf dem neuen Gerät neu ein und erzeugen Sie neue Codes. Haben Sie keine Codes, bleibt nur der Wiederherstellungsprozess des Anbieters.
Muss ich das für jedes Konto einzeln einrichten?
Ja, jedes Konto hat seine eigene Einstellung. Deshalb die Reihenfolge: zuerst das E-Mail-Postfach, dann die Konten, an denen Geld oder Ihr öffentliches Auftreten hängt.
Ersetzt der zweite Faktor ein gutes Passwort?
Nein, er ergänzt es. Verwenden Sie weiterhin für jedes Konto ein eigenes, langes Passwort. Der zweite Faktor fängt auf, was bei einem gestohlenen oder erratenen Passwort passieren würde.
Gunther Schoepf