Warum ein Passwort nicht ausreicht
Ein starkes Passwort kann dennoch gestohlen werden. Eine gefälschte Anmeldeseite kann es erfassen, und eine Datenpanne kann ein Passwort offenlegen, das du anderswo wiederverwendet hast. Angreifer können dieses Passwort dann bei anderen Konten ausprobieren. Die Zwei-Faktor-Authentifizierung stellt eine weitere Hürde zwischen ein gestohlenes Passwort und dein Konto. Das britische National Cyber Security Centre empfiehlt, die Bestätigung in zwei Schritten für wichtige Konten zu aktivieren, selbst wenn diese starke Passwörter haben.
Beginne mit deiner primären E-Mail-Adresse: Dort erhältst du häufig Links zum Zurücksetzen des Passworts für andere Dienste. Schütze dann Finanzkonten, Arbeitsanwendungen, Cloud-Speicher und Konten in sozialen Netzwerken. Eine Kontoübernahme kann private Dokumente offenlegen, deine Arbeit unterbrechen oder es jemandem ermöglichen, in deinem Namen Freunde und Kunden zu kontaktieren.
Wie Zwei-Faktor-Authentifizierungscodes funktionieren
Die Zwei-Faktor-Authentifizierung kombiniert zwei verschiedene Arten von Nachweisen. Bei einem Passwort und einem Authentifizierungscode sind dies etwas, das du weißt – dein Passwort – und etwas, das du hast – den Zugriff auf die Authentifizierungs-App, die den geheimen Schlüssel deines Kontos enthält. Multifaktor-Authentifizierung (MFA) ist der umfassendere Begriff für die Verwendung von mehr als einem Faktor.
Ein zeitbasiertes Einmalpasswort oder TOTP ist ein kurzzeitig gültiger Code, der aus einem geheimen Einrichtungsschlüssel und der aktuellen Uhrzeit berechnet wird. Wenn du die 2FA per Authentifizierungs-App aktivierst, gibt dir der Dienst diesen Schlüssel, normalerweise in einem QR-Code. Sign In verwendet ihn, um Codes lokal zu generieren; der Dienst verwendet seine Kopie, um sie zu überprüfen. Codes ändern sich üblicherweise alle 30 Sekunden, wie in der TOTP-Spezifikation RFC 6238 beschrieben.
Der Einrichtungsschlüssel ist wichtiger als jeder einzelne Code: Wer ihn kopiert, kann zukünftige Codes generieren. Halte Einrichtungsschlüssel und QR-Codes privat. Sende sie nicht in Support-Nachrichten, teile keine Screenshots davon und füge sie nicht in einen Chat ein.
Warum Sign In für deine 2FA-Codes wählen?
Für Menschen, die ihr iPhone im Alltag nutzen, beginnt der sicherste Umgang mit geheimen Authentifizierungsschlüsseln unserer Ansicht nach damit, dass sie selbst die Kontrolle darüber behalten. Wir haben Sign In, unsere Authentifizierungs-App, nach diesem Prinzip entwickelt: lokale Codegenerierung, keine geheimen Authentifizierungsschlüssel auf unseren Servern und sichere Synchronisierung nur dann, wenn du dich dafür entscheidest.
- Deine Codes werden auf deinem Gerät generiert. Sobald ein Konto eingerichtet ist, kann Sign In seine Codes ohne Internetverbindung generieren.
- Wir speichern deine Authentifizierungsdaten nicht auf unseren Servern. Deine Einrichtungsschlüssel, Kontobezeichnungen und generierten Codes werden nicht an die Server von Sign In gesendet oder dort gespeichert. Auf unseren Servern gibt es keine Sammlung deiner geheimen Authentifizierungsschlüssel, die Angreifer bei uns erbeuten könnten.
- Es ist kein Konto bei Sign In erforderlich. Du kannst die App verwenden, ohne ein weiteres Konto zu erstellen.
- Das Backup ist deine Entscheidung. Bewahre deine hinterlegten Konten auf deinen Geräten auf oder aktiviere die Synchronisierung über deinen persönlichen iCloud-Schlüsselbund.
Der Sicherheitsvorteil ist konkret: Deine geheimen Authentifizierungsschlüssel werden an weniger Stellen gespeichert. Die Sicherheit deines Geräts und die Sicherheit der von dir genutzten Dienste spielen nach wie vor eine Rolle. Jeder Dienst behält die Informationen bei sich, die er zur Überprüfung seiner eigenen Codes benötigt. Unsere Datenschutzerklärung erläutert die Speicherung und Datenverarbeitung von Sign In, einschließlich optionaler Anfragen für Dienstlogos.
Optionale sichere Synchronisierung mit dem iCloud-Schlüsselbund von Apple
Wenn du möchtest, dass deine hinterlegten Konten auf mehr als einem Gerät verfügbar sind, aktiviere das optionale Konto-Backup von Sign In. Es verwendet deinen persönlichen iCloud-Schlüsselbund, das System von Apple zur sicheren Synchronisierung von Schlüsselbunddaten, um deine Konten zwischen deinen iOS-Geräten abzugleichen, die bei demselben Apple Account angemeldet sind. Sign In lädt keine Kopie auf unsere eigenen Server hoch.
Apple dokumentiert, dass Passwörter und Schlüsselbunddaten Ende-zu-Ende-verschlüsselt sind, auch beim standardmäßigen Datenschutz von iCloud. Für diesen Schutz des Schlüsselbunds musst du den erweiterten Datenschutz nicht eigens aktivieren. Apple gibt außerdem an, dass das Unternehmen deinen iCloud-Schlüsselbund nicht lesen kann.
Die Synchronisierung überträgt die geschützten geheimen Kontoschlüssel, die zum Generieren von Codes erforderlich sind; jedes Gerät berechnet seine eigenen aktuellen Codes. So kannst du bequem mehrere Geräte verwenden, ohne deine geheimen Schlüssel an die Server von Sign In zu übergeben.
| Ort | Was dort geschieht |
|---|---|
| Deine Geräte | Deine hinterlegten Konten werden hier gespeichert und Codes werden lokal generiert. |
| Dein iCloud-Schlüsselbund | Wenn du das Konto-Backup aktivierst, werden deine hinterlegten Konten mit der Ende-zu-Ende-Verschlüsselung von Apple synchronisiert. |
| Die Server von Sign In | Wir speichern deine geheimen Authentifizierungsschlüssel, Kontobezeichnungen oder generierten Codes nicht. |
Du kannst das Konto-Backup jederzeit ausschalten. Das Ausschalten löscht eine vorhandene synchronisierte Kopie nicht unbedingt; verwalte gespeicherte Kopien separat über die entsprechende App und die iCloud-Einstellungen. Die Verfügbarkeit der Synchronisierung und die Wiederherstellung hängen von den Diensten von Apple und deinen Kontoeinstellungen ab.
Authentifizierungscodes, Passkeys oder SMS?
Wähle eine Methode, die dein Dienst unterstützt, und informiere dich darüber, was sie schützt:
- Authentifizierungscodes: Sign In ist unsere empfohlene Wahl, wenn ein Dienst TOTP unterstützt. Codes funktionieren offline und sind nicht von der SMS-Zustellung oder der Kontrolle über deine Telefonnummer abhängig.
- Passkeys und FIDO-Sicherheitsschlüssel: Diese bieten eine phishing-resistente Anmeldung, indem sie die Authentifizierung an den echten Dienst binden. Verwende sie dort, wo sie unterstützt werden, insbesondere für sensible Konten. Die FIDO Alliance erklärt, wie Passkeys funktionieren.
- SMS oder Textnachrichten: Ein nützlicher zusätzlicher Schritt, wenn stärkere Optionen nicht verfügbar sind, aber die Übernahme von Telefonnummern und das Abfangen von Nachrichten bergen Risiken, die lokal generierte Codes vermeiden.
Code-basierte 2FA kann dennoch durch Phishing umgangen werden: Eine gefälschte Website kann nach deinem Passwort und deinem aktuellen Code fragen und beide sofort verwenden. Die Authentifizierungsleitlinien des NIST unterscheiden Einmalcodes von phishing-resistenten Methoden und beschreiben Risiken des Telefonnetzes. Gib Codes nur auf dem echten Dienst ein, bei dem du dich anmelden möchtest, und gib niemals einen Code an jemanden weiter, der dich unerwartet anruft.
Schütze dein erstes Konto mit Sign In
- Öffne die Sicherheitseinstellungen des Dienstes. Suche die Einstellungen für die Zwei-Faktor-Authentifizierung oder Bestätigung in zwei Schritten und wähle die Authentifizierungs-App-Option, falls angeboten.
- Füge den Einrichtungsschlüssel zu Sign In hinzu. Für einen auf einem anderen Bildschirm angezeigten QR-Code verwende Add → Scan QR Code. Verwende auf demselben Telefon den manuellen Schlüssel des Dienstes mit Add → Enter Setup Key und anschließend Add Account.
- Schließe den Vorgang auf der Website oder in der App des Dienstes ab. Gib einen aktuellen Code von Sign In ein und bestätige, dass 2FA aktiviert ist. Das Hinzufügen eines Kontos zu Sign In allein schließt die Einrichtung des Dienstes nicht ab.
- Speichere die Wiederherstellungscodes des Dienstes. Bewahre sie an einem sicheren Ort auf, auf den du zugreifen kannst, falls dein Telefon nicht verfügbar ist.
Eine genaue Anleitung findest du in unserem Leitfaden zur 2FA bei Google, Leitfaden zur 2FA bei Instagram oder durchstöbere alle Einrichtungsleitfäden. Wenn du eine Authentifizierungs-App für das iPhone brauchst, lade Sign In aus dem App Store herunter.
Bereite dich auf den Verlust deines Smartphones vor
Die optionale Synchronisierung über den iCloud-Schlüsselbund kann dir helfen, den Zugriff über deine Geräte hinweg aufrechtzuerhalten, ersetzt jedoch nicht die von den jeweiligen Diensten bereitgestellten Wiederherstellungsmethoden. Bewahre Wiederherstellungscodes getrennt von dem Konto auf, das sie entsperren, und überprüfe, ob du auch ohne das verlorene Smartphone darauf zugreifen kannst.
Schütze deine Geräte mit einem sicheren Gerätecode, halte deren Software auf dem neuesten Stand und halte deine Wiederherstellungsoptionen für den Apple Account aktuell. Bevor du die Daten auf einem alten Smartphone löschst, überprüfe, ob deine Konten und Codes auf dem neuen funktionieren. Da wir deine geheimen Schlüssel nicht auf unseren Servern speichern, können wir diese nicht für dich abrufen oder dein persönliches iCloud-Backup für dich wiederherstellen.
Häufig gestellte Fragen zu 2FA und Sign In
Brauche ich mit einem starken Passwort, das ich nur für dieses Konto nutze, immer noch 2FA?
Ja, wenn du dich mit einem Passwort anmeldest und der Dienst dies unterstützt. Ein eigenes Passwort für jedes Konto verhindert, dass ein geleaktes Passwort auch andere Konten gefährdet, während 2FA eine separate Prüfung hinzufügt, falls dieses Passwort gestohlen wird. Passkeys bieten eine andere, phishing-resistente Art der Anmeldung, sofern verfügbar.
Speichert Sign In meine 2FA-Codes?
Sign In generiert Codes lokal aus geheimen Authentifizierungsschlüsseln, die auf deinen Geräten gespeichert sind. Wir speichern diese geheimen Schlüssel, deine Kontobezeichnungen oder generierten Codes nicht auf unseren Servern. Wenn du das Konto-Backup aktivierst, werden deine hinterlegten Konten auch über deinen persönlichen iCloud-Schlüsselbund synchronisiert.
Kann ich Sign In ohne iCloud-Synchronisierung verwenden?
Ja. Das Backup von in Sign In gespeicherten Konten ist optional. Du kannst Codes auf deinem Gerät generieren, ohne es zu aktivieren. Speichere die Wiederherstellungscodes der Dienste, damit du eine andere Möglichkeit zur Anmeldung hast, falls dieses Gerät verloren geht.
Funktionieren Authentifizierungscodes ohne Internetverbindung?
Ja. Nach der Einrichtung generiert Sign In TOTP-Codes unter Verwendung des gespeicherten Schlüssels und der Uhr deines Geräts. Die Website oder der Dienst, bei dem du dich anmeldest, benötigt im Allgemeinen dennoch eine Internetverbindung. Achte darauf, dass Datum und Uhrzeit auf deinem Gerät richtig eingestellt sind.
Quellen und weiterführende Literatur
Dieser Leitfaden stützt sich auf die NCSC-Leitlinien zur Bestätigung in zwei Schritten, RFC 6238 zu TOTP, die Authentifizierungsleitlinien des NIST und die Passkey-Übersicht der FIDO Alliance. Apple beschreibt seine Verschlüsselung in der Übersicht zur iCloud-Datensicherheit und dem Datenschutzhinweis für den iCloud-Schlüsselbund. Die produktspezifischen Regeln zum Umgang mit Daten von Sign In werden in unserer Datenschutzerklärung beschrieben.