SMS
Besser als nichts, wenn der Dienst nichts anderes anbietet. Für E-Mail und Banken sollten Sie eine sicherere Variante wählen.
Eberprot P / comparisons
Vergleiche
Der erste Vergleich in diesem Bereich: Methoden zur Bestätigung der Kontoanmeldung. Kurzfazit: Jeder zweite Faktor ist besser als nur ein Passwort; am besten vor Phishing schützen Hardware-Schlüssel und Passkeys, SMS ist die anfälligste Variante.
Der Vergleich beruht auf offenen Standards (RFC 6238, FIDO2/WebAuthn) und den Empfehlungen von NIST SP 800-63B. Die einzelnen Dienste unterstützen unterschiedliche Methoden – prüfen Sie die Einstellungen Ihres Kontos.
Kriterien
- Phishing-Resistenz: Lässt sich der Code auf einer gefälschten Website abgreifen?
- Abhängigkeit vom Mobilfunkanbieter und der SIM-Karte
- Funktion ohne Internet auf dem Gerät
- Aufwand der Wiederherstellung bei Verlust des Geräts
- Komfort bei der täglichen Anmeldung
- Verbreitung der Unterstützung durch Dienste
Vergleichstabelle
| Kriterium | Nur Passwort | Code per SMS | App (TOTP) | Hardware-Schlüssel / Passkey |
|---|---|---|---|---|
| Phishing-ResistenzObjektives Kriterium | Nein | Nein: Der Code kann auf einer gefälschten Website eingegeben werden | Nein: Der Code kann auf einer gefälschten Website eingegeben werden | Ja: Die Signatur ist an die Adresse der echten Website gebunden |
| Abhängig von SIM und MobilfunkanbieterObjektives Kriterium | Nein | Ja: anfällig für das betrügerische Neuausstellen der SIM | Nein | Nein |
| Funktioniert ohne Internet auf dem GerätObjektives Kriterium | — | Mobilfunkempfang nötig | Ja: Der Code wird anhand der Uhrzeit berechnet | Ja |
| Wiederherstellung bei VerlustEinschätzung der Redaktion | Über das Zurücksetzen des Passworts | Einfach: neue SIM für dieselbe Nummer | Backup-Codes oder Übertragung nötig | Zweiter Schlüssel oder Ausweichmethode nötig |
| KomfortEinschätzung der Redaktion | Hoch | Hoch | Mittel | Hoch nach der Einrichtung |
| Unterstützung durch DiensteEinschätzung der Redaktion | Überall | Sehr breit | Breit | Wachsend, aber nicht überall |
Was für wen geeignet ist
Authenticator-App
Eine vernünftige Standardwahl: unabhängig vom Mobilfunkanbieter und funktioniert ohne Netz. Speichern Sie unbedingt die Backup-Codes.
Passkey
Bequem und phishing-resistent, sofern der Dienst ihn unterstützt. Wird über den Passwortmanager oder das Geräte-Ökosystem synchronisiert.
Hardware-Schlüssel
Für die wertvollsten Konten: E-Mail, Domains, berufliche Administratorkonten. Kaufen Sie zwei Schlüssel: einen Haupt- und einen Ersatzschlüssel.
Worauf Sie achten sollten
- Bewahren Sie Backup-Codes getrennt vom Smartphone auf – zum Beispiel ausgedruckt
- Übertragen Sie den Authenticator vor einem Smartphone-Wechsel, sonst verlieren Sie den Zugang
- Erlaubt ein Dienst die Anmeldung per SMS unter Umgehung eines stärkeren Faktors, ist der Gesamtschutz nur so gut wie SMS
- Kein Faktor hilft, wenn Sie die Anmeldung selbst auf Bitten des „Kundendienstes“ bestätigen
Quellen und Prüfung
- RFC 6238: TOTP – zeitbasierter Einmalpasswort-Algorithmus
- Spezifikationen der FIDO Alliance (FIDO2/WebAuthn)
- NIST SP 800-63B: Digital Identity Guidelines
Die Oberflächen von Programmen und Diensten ändern sich. Wir nennen die Versionen, mit denen wir die Befehle geprüft haben; in anderen Versionen können die Schritte abweichen.