Nach dieser Anleitung tragen Ihre wichtigsten Konten einen zweiten Riegel, ohne dass ein verlorenes Handy Sie aussperrt. Ersatzgerät und ausgedruckte Notfallcodes liegen bereit, bevor sie gebraucht werden. Rechnen Sie mit zwei Stunden für die zehn wichtigsten Konten. Danach kostet die Pflege zweimal im Jahr zehn Minuten.
Was Sie brauchen
Die Ausstattung ist überschaubar. Entscheidend ist, dass Sie den Ersatzweg gleich mitplanen.
- Ein Smartphone oder Tablet für die Authenticator-App
- Ein zweites Gerät oder eine App mit verschlüsseltem Backup
- Optional zwei Sicherheitsschlüssel für die kritischsten Konten
- Drucker oder Papier und Stift für die Wiederherstellungscodes
- Einen abschließbaren Ort außerhalb aller Geräte
- Zwei ungestörte Stunden
Ein Passwort-Manager ist keine Voraussetzung, erleichtert aber jeden weiteren Schritt. Wie er aufgesetzt wird, steht in Passwörter verwalten.
Schritt 1: Konten nach Schadenshöhe sortieren
Nicht jedes Konto verdient denselben Aufwand. Fragen Sie pro Dienst nur eines: Was richtet ein Fremder damit an? Die Reihenfolge ergibt sich dann fast von selbst.
Zuerst das E-Mail-Postfach. Es ist der Generalschlüssel, weil die Funktion „Passwort vergessen" bei fast allen anderen Diensten dorthin zurückführt. Danach folgen Bank und Bezahldienste, dann der Cloud-Speicher mit Dokumenten und Fotos, zuletzt soziale Netzwerke und Shops.
Halten Sie diese Reihenfolge ein. Wer bei Social Media beginnt, sichert die Fassade und lässt die Haustür offen.
Schritt 2: Verfahren verstehen und auswählen
Zweiter Faktor ist nicht gleich zweiter Faktor. Die Unterschiede im Schutzniveau sind erheblich.
| Verfahren | Wie es funktioniert | Einordnung |
|---|---|---|
| Sicherheitsschlüssel | Kleines Gerät per USB oder Funk, prüft zusätzlich die Adresse der Website | Stärkster Schutz, greift auch gegen gefälschte Anmeldeseiten |
| Authenticator-App | Erzeugt offline alle 30 Sekunden einen sechsstelligen Code | Guter Schutz, für die meisten Konten die richtige Wahl |
| Push-Bestätigung | Anfrage erscheint auf dem Handy, Bestätigung per Fingertipp | Bequem, aber anfällig fürs gedankenlose Wegtippen |
| Code per SMS | Anbieter schickt den Code an die Rufnummer | Schwächste Variante, Nummern lassen sich umleiten |
Die Rangfolge ist eindeutig: Schlüssel vor App, App vor SMS. Für den Alltag reicht die Authenticator-App fast überall aus. Hardwareschlüssel lohnen sich dort, wo ein Verlust existenziell wäre, also bei E-Mail und Bank.
Schritt 3: Authenticator-App doppelt absichern
Ein Zweitfaktor auf genau einem Gerät ist eine Sollbruchstelle. Fällt das Handy in den See, sind alle gesicherten Konten gleichzeitig zu. Planen Sie den Ersatzweg deshalb vor der ersten Aktivierung.
Es gibt zwei Wege. Entweder Sie scannen den QR-Code beim Einrichten mit zwei Geräten gleichzeitig, dann erzeugen beide dieselben Codes. Oder Sie nutzen eine App mit verschlüsseltem Backup und schützen dieses Backup mit einem eigenen, starken Passwort. Beides zusammen ist zulässig.
Ein Detail entscheidet über die Wirkung: Das Backup-Passwort darf nicht im selben Tresor liegen wie die Kontopasswörter. Sonst öffnet ein einziger Einbruch beide Schlösser.
Schritt 4: Zweiten Faktor Konto für Konto aktivieren
Die Einstellung heißt je nach Dienst Zwei-Faktor-Authentifizierung, Bestätigung in zwei Schritten oder Anmeldebestätigung. Zu finden ist sie fast immer unter Sicherheit oder Anmeldung in den Kontoeinstellungen.
Der Ablauf ähnelt sich überall: Verfahren wählen, QR-Code scannen, den erzeugten Code einmal zur Bestätigung eintippen. Prüfen Sie danach sofort, ob eine schwächere Alternative aktiv geblieben ist. Viele Dienste lassen SMS still als Rückfallweg stehen. Ein Angreifer nimmt immer den schwächsten offenen Weg, also schalten Sie ihn ab, sobald die App läuft.
Schritt 5: Wiederherstellungscodes ausdrucken
Beim Aktivieren zeigt jeder ordentliche Dienst eine Liste einmalig nutzbarer Codes an. Diese Liste ist Ihr Notausgang. Drucken Sie sie aus, beschriften Sie das Blatt mit dem Kontonamen und legen Sie es an den sicheren Ort zu den übrigen Notfallpapieren.
Ein Screenshot auf dem Handy erledigt das nicht. Genau dieses Gerät ist ja der Fall, gegen den die Codes absichern sollen.
Schritt 6: Ersatzgerät oder zweiten Schlüssel hinterlegen
Wer mit Sicherheitsschlüsseln arbeitet, kauft grundsätzlich zwei. Einer bleibt am Schlüsselbund, der zweite liegt zu Hause im verschlossenen Ordner. Beide müssen bei jedem Konto einzeln registriert werden, sonst nützt der Ersatz nichts.
Für das zweite Gerät aus Schritt 3 gilt dasselbe: einmal registrieren, einmal die Anmeldung damit durchspielen, dann weglegen. Ungetesteter Ersatz ist kein Ersatz.
Schritt 7: Notfallzugang für Angehörige klären
Zwei Faktoren sperren zuverlässig aus, auch Menschen, die hineindürfen sollen. Nach einem Unfall steht die Familie sonst vor verschlossenen Konten. Halten Sie deshalb schriftlich fest, wo die Codeliste liegt und wer sie im Ernstfall benutzen darf.
Die Zugangsdaten selbst gehören nicht ins Testament. Wie sich das sauber trennen lässt, steht in Digitaler Nachlass.
Schritt 8: Alle sechs Monate testen
Eine Absicherung, die nie geprüft wurde, ist bloß eine Vermutung. Tragen Sie zwei feste Termine im Jahr ein. Melden Sie sich vom E-Mail-Konto ab und mit dem zweiten Faktor neu an. Kontrollieren Sie, ob das Ersatzgerät die passenden Codes liefert und die ausgedruckte Liste noch vollständig ist. Zehn Minuten reichen.
Häufige Fehler
Drei Muster führen fast immer zur Aussperrung.
Erstens: nur ein Gerät. Dann hängt der Zugang zu allem an einem Stück Glas und Metall. Zweitens: die Wiederherstellungscodes im selben Passwort-Manager wie das Passwort. Beide Faktoren hinter einem Schloss ergeben rechnerisch wieder einen Faktor. Drittens: die Rufnummer wechseln, ohne die SMS-gesicherten Konten umzustellen. Alte Nummern werden nach einer Weile neu vergeben, und dann empfängt jemand anderes Ihre Codes.
Vorher prüfen
Gehen Sie diese Punkte durch, bevor Sie das Thema abhaken:
- E-Mail-Konto als Erstes abgesichert
- Bank, Bezahldienste und Cloud-Speicher folgen
- Authenticator-App auf zwei Geräten oder mit verschlüsseltem Backup
- Backup-Passwort getrennt von den Kontopasswörtern verwahrt
- SMS als Rückfallweg deaktiviert, wo die App läuft
- Wiederherstellungscodes ausgedruckt und pro Konto beschriftet
- Codeliste außerhalb aller Geräte gelagert
- Zweiter Schlüssel oder Ersatzgerät registriert und einmal getestet
- Vertrauensperson kennt den Aufbewahrungsort der Notfallpapiere
- Halbjahrestermin für den Test im Kalender
Das passt dazu
Der zweite Faktor wirkt nur zusammen mit einem starken ersten. Wie Sie hundert Zettel durch einen Tresor ersetzen, steht in Passwörter verwalten. Damit die Absicherung im Ernstfall niemanden dauerhaft ausschließt, gehört Digitaler Nachlass dazu. Alle Bausteine im Zusammenhang zeigt die Übersicht Digitale Ordnung.