Banking, Mail-Konto, Social Media - ueberall fordern Dienste eine Zwei-Faktor-Authentifizierung (2FA). Die Standardloesung ist die SMS mit dem Code, doch Sicherheitsexperten warnen: SMS-Verfahren sind angreifbarer als ihr Ruf. Wir vergleichen SMS-TAN und Authenticator-App in Sicherheit, Alltagskomfort und Kosten - und geben eine klare Empfehlung.
Wie 2FA grundsaetzlich funktioniert
Zwei-Faktor bedeutet: Zwei unterschiedliche Nachweise schuetzen ein Konto. Faktor 1 ist etwas, das Sie wissen (Passwort), Faktor 2 etwas, das Sie besitzen (Geraet) oder sind (Biometrie). Die klassische Kombination: Passwort plus Code, der an Ihr Handy geschickt wird.
| Verfahren | Uebertragung | Benoetigt Empfang? | Typische Dienste |
|---|---|---|---|
| SMS-Code | Mobilfunk-Netz | ja, Mobilfunkempfang | Banking, PayPal, WhatsApp, Amazon |
| Authenticator-App (TOTP) | lokal generierter Code, kein Netz | nein | Google, Microsoft, soziale Netze |
| Push-Benachrichtigung | Internet (WLAN oder Mobilfunk) | ja, Datenverbindung | Apple, Google-Prompt, Banking-Apps |
| Hardware-Key (FIDO2) | physischer Schluessel | nein | Profis, hochsensible Konten |
Der entscheidende Unterschied: SMS-Codes reisen durchs Mobilfunknetz, App-Codes entstehen direkt auf Ihrem Geraet. Was das fuer die Sicherheit bedeutet, zeigt der naechste Abschnitt.
Das SIM-Swap-Problem: Warum SMS das schwache Glied ist
Der Haken der SMS-Authentifizierung: Sie haengt an Ihrer Rufnummer - und die ist angreifbar. Beim sogenannten SIM-Swap (auch SIM-Hijacking) ueberredet der Taeuscher den Anbieter, Ihre Nummer auf eine neue SIM-Karte umzuziehen. Ab diesem Moment erhaelt ER Ihre SMS-Codes - und kann Ihre Konten uebernehmen, obwohl Ihr Passwort safe ist.
- Angriffsschritte:persoenliche Daten recherchieren > Kundenservice mit gefaelschten Identitaetsnachweisen kontaktieren > Nummer portieren lassen > SMS-Codes abfangen
- Schutz-Massnahmen der Anbieter: Portierungs-SMS an die alte Karte, Sperr-PIN fuer SIM-Aenderungen, Wartezeiten
- Ihr bester Schutz: Fuer kritische Konten gar nicht erst die SMS nutzen, sondern Authenticator-App oder Hardware-Key
Authenticator-Apps: sicherer und bequemer
Authenticator-Apps erzeugen alle 30 Sekunden einen neuen Code - vollstaendig offline, direkt auf dem Geraet. Kein Netz, keine SMS, keine Kosten, kein Angriffspunkt uebers Mobilfunknetz.
- Einrichtung: Konto oeffnen > Sicherheit > 2FA > 'Authenticator-App' > QR-Code scannen > ersten Code zur Bestaetigung eingeben
- Wichtig: Wiederherstellungs-Codes ausdrucken/sichern - sonst sind Sie bei Handyverlust ausgesperrt
- Neues Handy: Konten rechtzeitig uebertragen - Anleitung fuer die Google-Uebertragung und Alternativen: Daten aufs neue Handy uebertragen
Fuer Einsteiger wirkt der Wechsel von SMS zu App aufwendig - er dauert real 5 Minuten pro Konto und ist der groesste Einzelschritt fuer Ihre digitale Sicherheit. Grundlegende Schutzmassnahmen zusammengefasst: Smartphone-Sicherheitseinstellungen.
Wann SMS trotzdem die richtige Wahl ist
- Fuer Konten mit niedrigem Schaden (Foren, Newsletter-Anmeldungen): SMS ist besser als kein 2FA
- Als Uebergangsloesung, wenn die App-Einrichtung gerade nicht moeglich ist
- Fuer Personen, die keine App verwalten koennen oder wollen (hier zahlt Einfachheit)
Die klare Empfehlung fuer Banking, E-Mail-Hauptkonto und Cloud-Speicher: Authenticator-App oder Push-Verfahren. Die E-Mail-Adresse ist der Schluessel zu fast allem - wer sie verliert, verliert alles (Passwort-Resets laufen dorthin).
Haeufige Fragen
Kostet die SMS-TAN im Ausland etwas?
Der Empfang von SMS ist weltweit kostenlos. Kritischer ist das Senden: Manche Verfahren (etwa Bestaetigungs-SMS) kosten im Ausland Roaming-Gebuehren, und ohne Empfang kommt ueberhaupt kein Code an. Die Authenticator-App ist hier klar im Vorteil - sie funktioniert auch offline und im Flugmodus. Roaming-Grundlagen: Daten-Roaming erklaert.
Was passiert mit meinen 2FA-Codes, wenn das Handy kaputtgeht?
Ohne Backup sind App-Codes verloren - Sie muessen dann jeden Dienst ueber den Support mit Identitaetsnachweis wiederherstellen. Deshalb: Wiederherstellungs-Codes unbedingt beim Einrichten sichern (Papier, Tresor oder Passwort-Manager). Auch ein Backup des ganzen Geraets hilft: Handy-Backup erstellen.