Die Mehr-Faktor-Authentifizierung aktivieren Sie pro Konto in wenigen Minuten; MFA ist die geläufige Abkürzung dafür. Sie richtig einzurichten kostet zwei Schritte mehr, und genau diese beiden überspringen fast alle: die Wiederherstellungscodes sichern und ein zweites Verfahren hinterlegen.
Dieser Beitrag bringt das vollständige Vorgehen in die Reihenfolge, die das Risiko tatsächlich senkt. Er ist die praktische Umsetzung der Empfehlung Konten mit einem zweiten Faktor schützen.
Mehr-Faktor-Authentifizierung aktivieren: die Reihenfolge zählt
Eine Abhängigkeit entscheidet über die Reihenfolge: Die Wiederherstellung fast aller Konten läuft über die E-Mail.
Das bedeutet: Die Cloud oder die Bank zu schützen und das Postfach offen zu lassen bringt wenig. Wer in das Postfach gelangt, kann die Wiederherstellung der übrigen Dienste anstoßen und in vielen Fällen die MFA umgehen, die Sie dort eingeschaltet haben.
Die richtige Reihenfolge lautet deshalb:
- Haupt-E-Mail-Konto – die Wurzel von allem;
- Passwort-Manager – er schützt Dutzende von Zugangsdaten auf einmal;
- Bank und Bezahldienste;
- Cloud und Dokumentenarchive;
- berufliche Konten und digitale Identität;
- soziale Netzwerke;
- alles Übrige, nach und nach.
Haben Sie nur zwanzig Minuten, dann verwenden Sie sie auf die ersten beiden.
1. Vorbeugung: den zweiten Faktor einschalten
Das beste Verfahren wählen, das der Dienst anbietet
Was zu tun ist. In dieser Reihenfolge der Vorliebe:
| Verfahren | Wann Sie es wählen |
|---|---|
| Hardware-Schlüssel oder Passkey (Zugangsschlüssel) | Wenn der Dienst sie unterstützt und das Konto kritisch ist: der solideste Schutz |
| Authentifizierungs-App | Der gute Kompromiss für die meisten Konten |
| Push-Benachrichtigung | Bequem, verlangt aber Aufmerksamkeit, damit nichts aus Gewohnheit bestätigt wird |
| SMS | Nur, wenn es die einzige Möglichkeit ist – besser als nichts, aber das anfälligste Verfahren |
Den ausführlichen Vergleich finden Sie im Beitrag darüber, welchen zweiten Faktor wählen sollten.
Eine übertragbare Authentifizierungs-App einrichten
Was zu tun ist. Wählen Sie eine App, mit der sich die Codes auf ein neues Gerät exportieren oder abgleichen lassen. Das ist das wichtigste Kriterium bei der Wahl und zugleich das am wenigsten beachtete: Eine App, die die Codes an ein einziges Telefon bindet, macht aus einem kaputten Telefon den Verlust sämtlicher Zugänge.
Wo Sie die Einstellung finden. Suchen Sie in den Kontoeinstellungen nach „Sicherheit“, „Anmeldung und Sicherheit“, „Bestätigung in zwei Schritten“ oder „Zwei-Faktor-Authentifizierung“.
Die Wiederherstellungscodes sichern – sofort
Was zu tun ist. Während der Einrichtung zeigt der Dienst eine Liste von Einmalcodes an. Schließen Sie diese Anzeige nicht, ohne sie gesichert zu haben. Sie erscheint nur ein einziges Mal.
Wo Sie sie aufbewahren. Ausgedruckt, an einem sicheren Ort zu Hause oder im Büro. Oder in einem Passwort-Manager – aber nur, wenn dieser nicht von demselben zweiten Faktor geschützt ist, den Sie gerade einrichten.
Wo Sie sie nicht aufbewahren. In einer Notiz auf demselben Telefon. Als Foto in der Galerie. In dem Konto, das sie schützen sollen.
Ein zweites Verfahren hinterlegen
Was zu tun ist. Wo der Dienst es zulässt: ein zweites Gerät mit der Authentifizierungs-App, ein Hardware-Schlüssel als Reserve oder eine alternative Telefonnummer.
Warum das zählt. Es ist der schnellste Weg zurück, wenn das erste Gerät abhandenkommt, und es erspart Ihnen die offiziellen Wiederherstellungsverfahren.
Prüfen, ob es funktioniert
Ein letzter Schritt, den kaum jemand macht und der fünf Minuten kostet: Melden Sie sich einmal ab und wieder an und durchlaufen Sie den zweiten Schritt vollständig. So verstehen Sie den Ablauf in Ruhe statt unter Zeitdruck.
2. Erkennung: die Hinweise lesen, die die MFA erzeugt
Der zweite Faktor schützt nicht nur, er informiert. Jeder Anmeldeversuch mit dem richtigen Passwort erzeugt eine Anfrage, die bei Ihnen ankommt.
Jede unerwartete Anfrage als Hinweis behandeln
Was zu tun ist. Erhalten Sie eine Bestätigungsanfrage, die Sie nicht ausgelöst haben, dann bestätigen Sie sie nicht – und lassen Sie es nicht beim Ignorieren bewenden. Die Anfrage bedeutet, dass jemand Ihr Passwort hat; es gehört gewechselt.
Niemals aus Gewohnheit bestätigen
Push-Benachrichtigungen werden mit einer Geste bestätigt, und genau deshalb werden sie nebenbei bestätigt. Fragen Sie sich vor jeder Bestätigung: Melde ich mich in diesem Augenblick irgendwo an?
Wo der Dienst es anbietet, bevorzugen Sie das Verfahren, bei dem Sie eine auf dem Bildschirm angezeigte Zahl eintippen müssen, statt nur auf „bestätigen“ zu tippen: Das macht eine automatische Zustimmung unmöglich.
Die hinterlegten Verfahren durchsehen
Alle paar Monate lohnt ein Blick darauf, welche Authentifizierungsverfahren Ihren Konten zugeordnet sind. Ein zusätzliches Verfahren, das Sie nicht wiedererkennen, ist ein ernstes Zeichen: Es dient dazu, den Zugang auch nach einem Passwortwechsel zu behalten.
Die vollständige Liste der Anzeichen steht im Beitrag verdächtige Bestätigungsanfragen.
3. Reaktion: was zu tun ist, wenn etwas nicht stimmt
Auch hier entscheidet die Reihenfolge über das Ergebnis.
- Bestätigen Sie die Anfrage nicht. Das ist der erste und wichtigste Schritt.
- Wechseln Sie das Passwort dieses Kontos, von einem Gerät aus, dem Sie vertrauen. Die erhaltene Anfrage sagt ja gerade, dass das Passwort bekannt ist.
- Sehen Sie die hinterlegten Authentifizierungsverfahren durch und entfernen Sie, was Sie nicht wiedererkennen.
- Erzeugen Sie die Wiederherstellungscodes neu: Die bisherigen könnten gesehen worden sein.
- Beenden Sie fremde Sitzungen und Geräte, nachdem Sie das Passwort gewechselt haben.
- Sehen Sie nach, wo Sie dieses Passwort oder eine Abwandlung davon verwendet haben, und wechseln Sie es auch dort.
4. Wiederherstellung: wenn der zweite Faktor weg ist
- Versuchen Sie es mit einem zweiten Gerät, auf dem das Konto noch angemeldet ist: oft der schnellste Weg.
- Verwenden Sie die Wiederherstellungscodes, sofern Sie sie gesichert haben.
- Prüfen Sie, ob ein alternatives Verfahren hinterlegt ist: ein zweites Gerät, ein Schlüssel, eine Nummer.
- Stoßen Sie das offizielle Wiederherstellungsverfahren des Dienstes an, wenn nichts davon greift. Rechnen Sie mit Identitätsprüfungen und mit Fristen, die eine Woche überschreiten können.
- Beginnen Sie beim Haupt-E-Mail-Konto: Ist es zurück, werden die übrigen Konten einfacher.
- Richten Sie die MFA auf dem neuen Gerät neu ein und sichern Sie diesmal die Codes.
Was dieses Szenario konkret bedeutet, beschreibt der Beitrag den zweiten Faktor verloren.
Ein Plan in zwei Sitzungen
Sitzung 1 – die Wurzel (20 Minuten)
- Die Mehr-Faktor-Authentifizierung aktivieren, beim Haupt-E-Mail-Konto, mit einer Authentifizierungs-App.
- Die Wiederherstellungscodes sichern, außerhalb des Telefons.
- Ein zweites Verfahren hinterlegen, sofern verfügbar.
- Dasselbe beim Passwort-Manager tun.
Mit dieser einen Sitzung haben Sie die beiden Konten geschützt, von denen alle übrigen abhängen.
Sitzung 2 – Geld, Unterlagen, Beruf (20 Minuten)
- Die MFA bei Bank und Bezahldiensten einschalten.
- Danach in der Cloud und bei den beruflichen Konten.
- Die Wiederherstellungscodes jedes Kontos sichern, am selben Ort wie die ersten.
- Notieren Sie sich, welche Konten eine aktive MFA haben: Das hilft Ihnen, falls Sie sie einmal wiederherstellen müssen.
Wo Sie die Einstellung finden, Dienst für Dienst
Die Bezeichnungen wechseln, die Stelle fast nie. In der Regel sind es drei Schritte.
| Schritt | Wonach Sie suchen |
|---|---|
| 1. Das Profil öffnen | Das Zeichen mit Ihrer Initiale oder Ihrem Bild, oben rechts |
| 2. In die Einstellungen gehen | „Einstellungen“, „Konto“, „Konto verwalten“ |
| 3. Den Sicherheitsbereich suchen | „Sicherheit“, „Anmeldung und Sicherheit“, „Privatsphäre und Sicherheit“ |
In diesem Bereich heißt der Punkt, den Sie einschalten, auf eine dieser Weisen:
- Bestätigung in zwei Schritten – die verbreitetste Formulierung;
- Zwei-Faktor-Authentifizierung oder 2FA;
- Mehr-Faktor-Authentifizierung oder MFA;
- Anmeldung in zwei Schritten, Anmeldebestätigung, zweistufige Anmeldung.
Alles dasselbe. Finden Sie den Punkt nicht, suchen Sie im Hilfebereich des Dienstes nach „Bestätigung in zwei Schritten“ zusammen mit dem Namen des Dienstes.
Eine Anmerkung zu Bankdiensten. Bei Bank und Zahlungen ist die starke Authentifizierung häufig schon gesetzlich vorgeschrieben und in die App eingebaut. Dann müssen Sie nichts einschalten; prüfen Sie aber, ob das Verfahren die App der Bank ist und nicht eine SMS, wo Sie die Wahl haben.
Der Sonderfall Passwort-Manager
Er verdient eine eigene Anmerkung, denn er ist das einzige Konto, dessen Einrichtung eine zusätzliche Überlegung verlangt.
Der Passwort-Manager verwahrt die Zugangsdaten für alles Übrige – häufig auch die Wiederherstellungscodes der anderen Dienste. Daraus folgen zwei Regeln:
- Die Wiederherstellungscodes des Passwort-Managers dürfen nicht im Passwort-Manager liegen. Sie gehören nach draußen: ausgedruckt, an einem sicheren Ort.
- Überlegen Sie, ob Sie den zweiten Faktor des Passwort-Managers von der App trennen, die Sie für alles Übrige nutzen. Liegen Authentifizierungs-App und Passwort-Manager auf demselben Telefon, wird dieses Telefon zu einer einzelnen Abhängigkeit.
Es ist das Konto, bei dem sich das solideste verfügbare Verfahren am meisten lohnt: Unterstützt der Dienst einen Hardware-Schlüssel, ergibt er hier den größten Sinn.
Häufige Fehler
- Die Wiederherstellungscodes überspringen. Dieser Fehler verursacht fast alle Sperren.
- Sie am falschen Ort aufbewahren. Im Telefon oder in dem Konto, das sie schützen: Dann stehen sie nicht bereit, wenn sie gebraucht werden.
- Eine App ohne Übertragung wählen. Sie macht aus einem kaputten Telefon ein sehr viel größeres Problem.
- Die MFA überall einschalten, nur nicht beim Postfach. Das lässt die Tür der Wiederherstellung offen.
- Benachrichtigungen aus Gewohnheit bestätigen. Das macht aus dem Schutz einen bloßen Formschritt.
- Bei der SMS stehen bleiben, obwohl es Besseres gibt. Guter Ausgangspunkt, schlechter Endpunkt.
- Den Ablauf nie ausprobieren. Ihn im Bedarfsfall zum ersten Mal zu sehen ist die ungünstigste Lage.
- Das Telefon wechseln, ohne vorher zu übertragen. Das gehört getan, solange das alte Gerät noch arbeitet.
Checkliste für die Umsetzung
Phase 1 – die Wurzel
- ☐ MFA beim Haupt-E-Mail-Konto aktiv
- ☐ MFA beim Passwort-Manager aktiv
- ☐ Wiederherstellungscodes beider Konten außerhalb des Telefons gesichert
Phase 2 – was zählt
- ☐ MFA bei Bank, Cloud und beruflichen Konten aktiv
- ☐ Wiederherstellungscodes für jedes davon gesichert
- ☐ Zweites Verfahren hinterlegt, wo es möglich ist
Phase 3 – Fortbestand
- ☐ Die Authentifizierungs-App lässt die Übertragung zu
- ☐ Ich habe eine Übersicht der Konten mit aktiver MFA
- ☐ Ich weiß, was in welcher Reihenfolge zu tun ist, wenn ich das Telefon verliere
Phase 4 – Pflege
- ☐ Hinterlegte Authentifizierungsverfahren in den letzten sechs Monaten durchgesehen
- ☐ Kontaktdaten für die Wiederherstellung aktuell
- ☐ Keine Bestätigungsanfrage bestätigt, die ich nicht selbst ausgelöst habe
Ein kurzes Szenario
Jan muss das Telefon wechseln. Bevor er das alte aus dem Verkehr zieht, erledigt er drei Dinge.
Er öffnet die Authentifizierungs-App und überträgt die Codes auf das neue Gerät, solange beide arbeiten. Er sieht nach, ob er die Wiederherstellungscodes der wichtigsten Konten hat. Und er prüft, ob er vom neuen Telefon aus in das Postfach kommt.
Erst dann setzt er das alte Gerät zurück.
Zehn Minuten, in der richtigen Reihenfolge. Hätte er zuerst zurückgesetzt, hätte er jedes Konto über die offiziellen Verfahren zurückholen müssen.
Bezug zum Framework Cyber Welfare
Dieser Beitrag berührt alle drei Säulen – Kompetenzen, digitales Bewusstsein und Sicheres Verhalten.
| Säule | Beitrag dieses Inhalts |
|---|---|
| Kompetenzen | Den zweiten Faktor vollständig einrichten, Wiederherstellung eingeschlossen |
| Bewusstsein | Verstehen, warum das Postfach vor jedem anderen Konto geschützt gehört |
| Sicheres Verhalten | Eine nicht ausgelöste Anfrage nie bestätigen, auch nicht, um die Meldung loszuwerden |
Referenzstufe: FL2 – Einsteiger für die Aktivierung, FL3 – Selbstständig für Wiederherstellung und Gerätewechsel.
Fazit
Die Mehr-Faktor-Authentifizierung aktivieren ist die einzelne Handlung, die das Gesamtrisiko Ihrer Konten am stärksten senkt. Sie kostet wenige Minuten und beginnt beim Postfach.
Der einzige Schritt, den Sie nicht überspringen sollten, ist der mit den Wiederherstellungscodes. Überspringen Sie ihn, tauschen Sie ein Risiko gegen ein anderes.
Empfohlener erster Schritt. Die Mehr-Faktor-Authentifizierung aktivieren Sie am besten jetzt gleich bei Ihrem Haupt-E-Mail-Konto – und sichern Sie die Wiederherstellungscodes, bevor Sie die Anzeige schließen. Es ist die am besten angelegte Viertelstunde dieser ganzen Reihe.
Wo Sie gerade stehen, zeigt Ihnen die Selbstbewertung der digitalen Resilienz.
Verwandte Inhalte
- Konten mit einem zweiten Faktor schützen – die Empfehlung, auf die sich dieser Beitrag bezieht
- welchen zweiten Faktor wählen – die Wahl zwischen SMS, App, Benachrichtigungen und Schlüsseln
- verdächtige Bestätigungsanfragen – worauf Sie achten, um es rechtzeitig zu bemerken
- den zweiten Faktor verloren – was Ihnen die Wiederherstellungscodes ersparen
Einen Begriff nachschlagen
Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:
- Zwei-Faktor-Authentifizierung (2FA) – wie der zweite Schritt technisch abläuft
Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.
