Passwörter, Passkeys und Zwei-Faktor-Anmeldung: Konten zeitgemäss absichern
von belmedia Redaktion Allgemein Alltag business24.ch businessaktuell.ch Cyberkriminalität digital.ch Digitalisierung hometipp.ch nachrichtenticker.ch News Prävention Sicherheit sicherheit.ch Technologie Tipps
Digitale Konten schützen heute E-Mails, Zahlungsdaten, Dokumente, Fotos, Kundeninformationen und Zugänge zu ganzen Unternehmenssystemen. Ein gestohlenes Passwort kann deshalb weitreichende Folgen haben. Gleichzeitig verändert sich die Anmeldung grundlegend: Passwort-Manager erleichtern einzigartige Zugangsdaten, Zwei-Faktor-Verfahren ergänzen eine zweite Schutzstufe und Passkeys ersetzen das eingegebene Passwort bei immer mehr Diensten durch kryptografische Schlüssel.
Welche Methode sinnvoll ist, hängt vom jeweiligen Konto und vom angebotenen Anmeldeverfahren ab. Entscheidend ist weniger die Suche nach einer einzigen perfekten Technik als eine klare Priorität: einzigartige Zugangsdaten, starke zusätzliche Faktoren, geschützte Geräte und ein Wiederherstellungsweg, der bei Verlust funktioniert, ohne selbst zur Schwachstelle zu werden.
Das Passwort bleibt wichtig – aber seine Rolle verändert sich
Passwörter verschwinden nicht von heute auf morgen. Viele E-Mail-Dienste, Onlineshops, Plattformen, Cloud-Angebote und geschäftliche Anwendungen verwenden sie weiterhin als primären Zugang.
Das grösste Alltagsproblem ist dabei häufig nicht ein technisch ausgefeilter Angriff, sondern die Wiederverwendung desselben Passworts. Wird eine Kombination bei einem Anbieter bekannt, können Kriminelle versuchen, sie automatisiert auch bei anderen Diensten einzusetzen. Dieses Vorgehen wird als Credential Stuffing bezeichnet.
Für jedes Konto sollte deshalb ein eigenes Passwort verwendet werden. Je länger und schwerer vorhersehbar es ist, desto besser. Namen, Geburtstage, einfache Tastaturfolgen, bekannte Wörter und minimale Veränderungen eines alten Passworts bieten wenig Schutz.
Bei vielen Konten ist das ohne technische Unterstützung kaum praktikabel. Ein Passwort-Manager kann lange zufällige Passwörter erzeugen und verschlüsselt speichern. Dadurch muss nicht jede Zeichenfolge auswendig gelernt werden.
Der belmedia-Beitrag „Passwort-Manager richtig nutzen: Mehr Sicherheit für Konten, Daten und Unternehmen“ zeigt ausführlich, worauf bei Einrichtung, Master-Passwort, Wiederherstellung und zusätzlicher Absicherung zu achten ist.
Ein Passwort-Manager löst vor allem das Problem der Wiederverwendung
Ein Passwort-Tresor speichert die Zugangsdaten verschiedener Dienste geschützt an einem zentralen Ort. Beim Anlegen eines Kontos kann er automatisch eine zufällige Zeichenfolge erzeugen.
Das erleichtert eine entscheidende Sicherheitsregel: Jedes Konto erhält ein anderes Passwort.
Der Zugang zum Passwort-Manager selbst verdient besondere Aufmerksamkeit. Das Master-Passwort sollte ausschliesslich dafür verwendet werden und nicht bei anderen Diensten vorkommen. Wo der Anbieter eine zusätzliche Authentisierung unterstützt, sollte sie aktiviert werden.
Ebenso wichtig ist die Wiederherstellung. Wer sämtliche Zugangsdaten in einem Tresor verwaltet, muss vorab wissen, was bei einem verlorenen Mobiltelefon, einem defekten Computer oder einem vergessenen Master-Passwort geschieht.
Wiederherstellungsschlüssel oder Notfallcodes gehören an einen geschützten Ort. Sie sollten nicht unverschlüsselt zusammen mit den eigentlichen Zugangsdaten gespeichert werden.
Zwei-Faktor-Anmeldung schützt auch nach einem gestohlenen Passwort
Bei der Zwei-Faktor-Authentisierung reicht das Passwort allein nicht aus. Zusätzlich wird ein zweiter Nachweis verlangt.
Die Faktoren stammen grundsätzlich aus unterschiedlichen Kategorien. Ein Passwort gehört zum Wissen. Ein Mobiltelefon oder Sicherheitsschlüssel gehört zum Besitz. Fingerabdruck oder Gesichtserkennung können eine biometrische Eigenschaft bestätigen.
Damit entsteht eine zusätzliche Hürde. Kennt ein Angreifer das Passwort, fehlt weiterhin der zweite Faktor.
Allerdings unterscheiden sich die Verfahren deutlich. Ein per SMS übermittelter Code bietet zusätzlichen Schutz, kann aber unter bestimmten Umständen abgefangen oder durch Social Engineering erbeutet werden. Codes aus einer Authenticator-App vermeiden einige dieser Risiken, bleiben jedoch grundsätzlich eingabefähige Geheimnisse.
Physische Sicherheitsschlüssel und moderne kryptografische Anmeldeverfahren können einen stärkeren Schutz gegen Phishing bieten.
Entscheidend ist deshalb nicht allein, ob „2FA“ aktiviert ist, sondern wie der zweite Faktor technisch funktioniert.
Ungefragte Anmeldebestätigungen sind ein Warnsignal
Bei Push-basierten Verfahren erscheint auf einem Mobiltelefon eine Anfrage zur Bestätigung einer Anmeldung.
Das ist bequem, birgt jedoch ein eigenes Risiko. Angreifer können versuchen, wiederholt Anfragen auszulösen und darauf hoffen, dass eine davon aus Gewohnheit bestätigt wird.
Eine Anmeldebestätigung sollte deshalb nur erfolgen, wenn der Vorgang selbst unmittelbar zuvor gestartet wurde. Unerwartete Anfragen gehören abgelehnt.
Auch Einmalcodes dürfen nicht telefonisch, per Chat oder über eine vermeintliche Supportnachricht weitergegeben werden. Ein zweiter Faktor schützt nur dann, wenn er nicht gemeinsam mit dem Passwort an einen Angreifer übermittelt wird.
Passkeys ersetzen das eingegebene Passwort durch Kryptografie
Passkeys verfolgen einen anderen Ansatz. Statt ein gemeinsames Geheimnis einzugeben, wird bei der Einrichtung ein kryptografisches Schlüsselpaar erzeugt.
Der öffentliche Schlüssel wird beim Online-Dienst hinterlegt. Der private Schlüssel bleibt auf dem Gerät, einem Sicherheitsschlüssel oder in einem geschützten Passkey-Speicher.
Bei der Anmeldung sendet der Dienst eine kryptografische Aufgabe. Der private Schlüssel bestätigt diese nach lokaler Freigabe. Der Dienst kann die Antwort mit dem öffentlichen Schlüssel prüfen.
Das eigentliche Geheimnis muss deshalb nicht an den Dienst übertragen und auch nicht in ein Formular eingegeben werden.
Die Freigabe erfolgt je nach Gerät beispielsweise über Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Diese lokale Entsperrmethode ist nicht selbst der Passkey. Sie erlaubt lediglich die Nutzung des gespeicherten privaten Schlüssels.
Warum Passkeys Phishing deutlich erschweren
Eine klassische Phishing-Seite versucht, eine echte Anmeldemaske möglichst genau nachzubauen. Wird dort ein Passwort eingegeben, kann es unmittelbar an Kriminelle gelangen.
Bei Passkeys fehlt dieses übertragbare Passwort.
Zudem ist ein Passkey an den jeweiligen Dienst gebunden. Eine täuschend ähnliche Internetadresse kann den für die echte Website registrierten Passkey nicht einfach für eine Anmeldung verwenden.
Auch die Wiederverwendung von Zugangsdaten entfällt. Für unterschiedliche Dienste werden unterschiedliche kryptografische Schlüssel verwendet.
Das macht Passkeys besonders interessant für Konten, bei denen sie als vollständiger Ersatz des Passworts angeboten werden.
Der belmedia-Beitrag „Passkeys erklärt: Chancen, Grenzen und praktische Nutzung im digitalen Alltag“ beschreibt die Technik, die Anmeldung und wichtige Grenzen des Verfahrens detaillierter.
Biometrische Daten werden beim Passkey nicht an die Website geschickt
Die Anmeldung per Fingerabdruck oder Gesichtserkennung führt leicht zu einem Missverständnis.
Der Onlinedienst erhält nicht das Fingerabdruckbild oder die biometrischen Gesichtsdaten. Die Prüfung findet lokal auf dem Gerät statt. Der Dienst erhält den kryptografischen Nachweis der erfolgreichen Anmeldung.
Auch eine PIN kann einen Passkey freigeben. Biometrie ist daher keine zwingende Voraussetzung.
Damit gewinnt jedoch der Geräteschutz an Bedeutung. Ein Smartphone oder Notebook mit schwacher Bildschirmsperre, veralteter Software oder unkontrolliertem Zugriff kann andere Risiken schaffen.
Aktuelle Betriebssysteme, automatische Gerätesperren und die Möglichkeit, ein verlorenes Gerät aus der Ferne zu sperren oder aus einem Konto zu entfernen, bleiben wichtige Bestandteile des Schutzes.
Passwort, Zwei-Faktor-Verfahren und Passkey lösen unterschiedliche Probleme
Ein starkes Passwort verhindert nicht automatisch Phishing. Zwei-Faktor-Authentisierung erschwert die Kontoübernahme zusätzlich, kann je nach Verfahren aber weiterhin manipulierbar sein. Passkeys reduzieren gerade das Risiko gestohlener oder wiederverwendeter Passwörter deutlich.
Daraus ergibt sich keine starre Rangliste für jedes Konto.
Wenn ein Dienst einen Passkey sauber unterstützt, ist dieser in vielen Fällen eine zeitgemässe Wahl. Wo Passkeys fehlen, bleiben einzigartige Passwörter aus einem Passwort-Manager kombiniert mit einer möglichst starken Zwei-Faktor-Anmeldung sinnvoll.
Bei besonders wichtigen Konten kann ein physischer Sicherheitsschlüssel eine zusätzliche oder alternative Möglichkeit darstellen.
Entscheidend ist, welche Anmelde- und Wiederherstellungsverfahren der konkrete Anbieter unterstützt.
Das E-Mail-Konto verdient besondere Priorität
Das zentrale E-Mail-Konto ist für die Sicherheit vieler weiterer Zugänge entscheidend.
Passwort-Rücksetzungen, Sicherheitswarnungen und Bestätigungslinks anderer Dienste laufen häufig dort zusammen. Wer das E-Mail-Konto übernimmt, kann dadurch versuchen, weitere Konten zurückzusetzen.
Eine starke Absicherung dieses Zugangs hat deshalb hohe Priorität.
Dasselbe gilt für das Konto des verwendeten Betriebssystems oder der Plattform, wenn darüber Passkeys, Passwörter oder Gerätesicherungen synchronisiert werden.
Auch Passwort-Manager, Cloud-Speicher, E-Banking und geschäftliche Administrationskonten gehören zu den Zugängen, bei denen ein schwacher Anmeldeschutz besonders problematisch sein kann.
Kontowiederherstellung ist Teil des Sicherheitskonzepts
Ein Zugang ist nicht vollständig abgesichert, solange nur die normale Anmeldung betrachtet wird.
Fast jeder Dienst benötigt einen Weg für Situationen, in denen ein Passwort vergessen, ein Telefon verloren oder ein Sicherheitsschlüssel beschädigt wurde.
Genau diese Wiederherstellung kann zum schwächsten Teil des Systems werden.
Ein stark geschütztes Konto hilft wenig, wenn es sich allein über eine alte E-Mail-Adresse oder eine nicht mehr kontrollierte Mobilnummer zurücksetzen lässt.
Deshalb sollten hinterlegte Telefonnummern, alternative E-Mail-Adressen und registrierte Geräte regelmässig überprüft werden.
Wo Wiederherstellungscodes angeboten werden, sollten sie sicher und getrennt von den Geräten aufbewahrt werden, die sie im Notfall ersetzen sollen.
Vor dem Wechsel vollständig auf Passkeys den Notfallweg prüfen
Synchronisierte Passkeys können über einen Passkey-Anbieter auf mehreren eigenen Geräten verfügbar sein. Andere Passkeys bleiben bewusst an ein bestimmtes Gerät oder einen physischen Sicherheitsschlüssel gebunden.
Beide Modelle haben Vorteile.
Synchronisierung erleichtert den Wechsel auf ein neues Gerät. Ein gebundener Hardware-Schlüssel kann dagegen besonders klar kontrollierbar sein.
Vor dem Entfernen eines bestehenden Passworts oder zweiten Faktors sollte bekannt sein, wie der Zugang nach Verlust aller derzeit verwendeten Geräte wiederhergestellt werden kann.
Bei besonders wichtigen Konten kann es sinnvoll sein, mehrere zulässige Passkeys beziehungsweise einen zusätzlichen Sicherheitsschlüssel zu registrieren, sofern der Dienst dies unterstützt.
Phishing bleibt auch mit moderner Anmeldung ein Thema
Passkeys schützen sehr wirksam gegen bestimmte Formen des Passwort-Phishings. Sie verhindern jedoch nicht jede Form von Social Engineering.
Kriminelle können weiterhin versuchen, Menschen zu manipulieren, Geräte entsperren zu lassen, falsche Supportkontakte vorzutäuschen oder andere Wiederherstellungswege anzugreifen.
Links in unerwarteten Nachrichten verdienen deshalb weiterhin Misstrauen.
Sicherheitsoptionen wie Passkeys oder Zwei-Faktor-Verfahren sollten möglichst direkt über die regulären Einstellungen des jeweiligen Kontos aktiviert werden und nicht über einen überraschend zugestellten Link.
Auch nach einer erfolgreichen Umstellung bleibt Aufmerksamkeit wichtig. Unbekannte Geräte, neue Wiederherstellungsmethoden und unerwartete Sicherheitsmeldungen sollten kontrolliert werden.
Das deutschsprachige Video „Passkeys einrichten: Schritt für Schritt!“ vom Bundesamt für Sicherheit in der Informationstechnik zeigt kompakt, wie Passkeys als Alternative zum klassischen Passwort eingerichtet und für die Anmeldung genutzt werden.
Ein zeitgemässer Kontoschutz besteht aus mehreren Ebenen
Die Entwicklung führt klar weg vom Passwort als einzigem Sicherheitsmerkmal. Solange Passwörter erforderlich sind, sollten sie einzigartig sein und möglichst mit einem Passwort-Manager verwaltet werden.
Eine zusätzliche Authentisierung schützt Konten weiter, wenn ein Passwort bekannt wird. Dabei sind Authenticator-Verfahren und Sicherheitsschlüssel je nach Einsatz robuster als einfache Lösungen, die ausschliesslich auf SMS-Codes setzen.
Passkeys gehen einen Schritt weiter. Sie vermeiden das eingegebene Passwort und verbinden den Zugang kryptografisch mit dem echten Dienst. Damit werden Phishing und Credential Stuffing an einer zentralen Stelle erschwert.
Gleichzeitig bleibt der gesamte Zugang entscheidend: Gerät, Plattformkonto, Wiederherstellung, registrierte Faktoren und Sicherheitsmeldungen gehören zusammen.
Der sinnvollste Umstieg erfolgt deshalb schrittweise. Besonders wichtige Konten erhalten zuerst stärkere Schutzmechanismen. Alte Wiederherstellungsdaten werden entfernt, Notfallwege geprüft und verfügbare Passkeys eingerichtet.
So entsteht ein Kontoschutz, der nicht von einer einzelnen Technik abhängt, sondern mehrere typische Angriffspunkte gleichzeitig reduziert.
Bildquellen: Titelbild: Adobe Stock/Satori Studio; Bild 1: Adobe Stock/fizkes; Bild 2: Adobe Stock/Supatman; Bild 3: Adobe Stock/Garun Studios; Bild 4: Adobe Stock/DETHAL
