Ein Passwort allein ist mir zu wenig
Selbst ein gutes Passwort kann irgendwann in falsche Hände geraten. Vielleicht durch ein Datenleck, vielleicht durch Phishing oder weil man sich auf einer gefälschten Seite angemeldet hat. Genau deshalb möchte ich bei wichtigen Accounts noch eine zweite Hürde haben.
Zwei-Faktor-Authentifizierung bedeutet vereinfacht: Das Passwort allein reicht nicht. Für die Anmeldung brauchst du noch etwas Zweites. Das kann ein Code aus einer App, eine Bestätigung auf einem Gerät oder eine andere Form der Anmeldung sein.
2FA-Codes sind gut, aber nicht perfekt
Ein Code aus einer Authenticator-App ist für mich deutlich besser als nur ein Passwort. Trotzdem kann auch so ein Code durch eine gute Phishing-Seite abgefragt werden. Wenn du den Code dort selbst eingibst, kann ein Angreifer versuchen, ihn direkt weiterzuverwenden.
SMS-Codes sind ebenfalls besser als gar keine zweite Absicherung, aber ich würde sie nicht als erste Wahl nehmen, wenn ein Dienst bessere Möglichkeiten anbietet.
Warum ich Passkeys mag
Passkeys lösen einen großen Teil dieses Problems anders. Du tippst kein geheimes Passwort und auch keinen sechsstelligen Code in eine Website ein. Stattdessen liegt der Zugangsschlüssel auf deinem Gerät oder in deinem Passwortmanager und wird nur für die richtige Website verwendet.
Genau das macht Passkeys so interessant. Eine gefälschte Website kann dich nicht einfach dazu bringen, denselben Passkey dort einzugeben. Für mich sind sie außerdem bequemer: Face ID, Touch ID oder die Geräte-PIN bestätigen und fertig.
Meine Reihenfolge bei einem neuen Account
- Passkey aktivieren, wenn der Dienst ihn ordentlich unterstützt
- ansonsten 2FA mit einer Authenticator-App einschalten
- SMS nur nehmen, wenn nichts Besseres angeboten wird
- Recovery-Codes sicher im Passwortmanager ablegen
- bei E-Mail, Cloud, Banking und wichtigen Social-Media-Accounts niemals auf die zweite Absicherung verzichten
Sicherheit darf auch bequemer werden
Früher war mehr Sicherheit oft gleichbedeutend mit mehr Aufwand. Noch ein Passwort, noch ein Gerät, noch ein Code. Passkeys drehen das für mich ein Stück weit um. Die sicherere Methode kann gleichzeitig die angenehmere sein.
Natürlich unterstützt noch nicht jeder Dienst Passkeys gut. Deshalb verschwinden normale Passwörter und 2FA-Codes nicht sofort. Aber sobald ich die Wahl habe, nehme ich heute lieber einen Passkey. Und bis dahin bleibt 2FA für mich bei wichtigen Accounts Pflicht.