Ist Zwei-Faktor wirklich nötig, wenn das Passwort stark ist?

Ja, weil ein starkes Passwort nicht vor Phishing schützt. Wer das Passwort auf einer gefälschten Seite eingibt, gibt es dem Angreifer. Der zweite Faktor stoppt genau diesen Fall, weil dem Angreifer der Code oder das Telefon fehlt.

Was kostet die Einführung?

In Microsoft 365 ist die Funktion enthalten, es entstehen nur Kosten für die Einrichtung und Einführung. Microsoft 365 einzurichten kostet bei uns 290 € einmalig; die laufende Pflege der Konten ist Teil der Betreuung ab 29 € je Arbeitsplatz und Monat.

Was tun, wenn ein Mitarbeiter sein Telefon verliert?

Der Zugang wird über eine benannte Person zurückgesetzt, nachdem die Identität geprüft wurde, und das neue Gerät wird registriert. Wer gespeicherte Wiederherstellungscodes hat, kommt auch ohne Zurücksetzen wieder hinein. Das gehört vor der Einführung geregelt.

Ist SMS als zweiter Faktor ausreichend?

Besser als nichts, aber nicht die erste Wahl. Rufnummern lassen sich übernehmen, SMS lassen sich abfangen. Eine Authentifizierungs-App ist der bessere Standard und genauso einfach zu bedienen.

Gilt das auch für Zugänge von Dienstleistern?

Ja, besonders dort. Ein dauerhafter Fernzugang ohne zweiten Faktor ist eines der häufigsten Einfallstore. Jeder Zugang sollte auf eine benannte Person ausgestellt sein und den zweiten Faktor verlangen.

Begriff

Zwei-Faktor-Authentifizierung

Aktualisiert: 13.10.2026

Zwei-Faktor-Authentifizierung verlangt neben dem Passwort einen zweiten Nachweis, meist eine Bestätigung in einer App auf dem Telefon oder einen zeitlich begrenzten Code. Wer das Passwort abfängt, kommt damit trotzdem nicht hinein. Es ist die einzelne Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung, die es in der IT-Sicherheit gibt, und sie kostet in den meisten Umgebungen nichts außer der Einrichtung. Zuerst gehört sie auf 4 Zugänge: E-Mail, Fernzugänge von außen, Cloud-Verwaltung und Onlinebanking.

Das Prinzip: Wissen, Besitz, Merkmal

Ein Nachweis kann auf drei Arten erbracht werden: durch etwas, das man weiß (Passwort), durch etwas, das man besitzt (Telefon, Schlüssel), oder durch ein Merkmal der Person (Fingerabdruck, Gesicht). Zwei-Faktor heißt, dass zwei dieser Arten verlangt werden. Zwei Passwörter sind kein zweiter Faktor, weil beide gewusst werden. Der Gewinn liegt darin, dass ein Angreifer, der nur eine Art in die Hand bekommt, nicht weiterkommt: Ein gestohlenes Passwort allein öffnet nichts mehr.

Welcher zweite Faktor taugt

Eine App auf dem Telefon, die eine Anmeldung bestätigt oder einen Code erzeugt, ist der übliche und gute Weg. SMS ist besser als nichts, aber angreifbar, weil sich Rufnummern übernehmen lassen. Am sichersten sind Hardware-Schlüssel zum Anstecken; für die meisten Betriebe ist das jedoch mehr Aufwand, als der Zugewinn rechtfertigt. Hat jemand kein Firmentelefon, ist ein Code auf dem privaten Gerät in der Praxis die gangbare Lösung, wenn das vorher offen besprochen wurde.

Wo sie zuerst hingehört

In dieser Reihenfolge: E-Mail, Fernzugänge von außen, Cloud-Verwaltung, Onlinebanking. E-Mail steht bewusst ganz oben, denn wer das Postfach hat, kann bei fast jedem anderen Dienst das Passwort zurücksetzen und braucht die übrigen Passwörter gar nicht. Danach folgen Zugänge von Dienstleistern und Verwaltungskonten wie das Administrator-Konto in Microsoft 365. Zuletzt kommen die übrigen Dienste, soweit sie den zweiten Faktor anbieten.

Was passiert, wenn das Telefon weg ist

Das ist die Frage, die vor der Einführung beantwortet sein muss. Es braucht einen Ersatzweg: gespeicherte Wiederherstellungscodes in einem Safe oder ein zweites registriertes Gerät, und eine benannte Person, die den Zugang zurücksetzen darf. Die Rücksetzung läuft nur nach Prüfung der Identität, nicht per Mail auf Zuruf. Wer das nicht geregelt hat, sperrt im schlimmsten Fall einen Mitarbeiter am Montagmorgen aus.

Typische Fehler bei der Einführung

Erstens: Zwei-Faktor wird eingeschaltet, ohne es zu erklären, und die Belegschaft sucht Umwege. Zweitens: Der Administrator nimmt sich aus und meldet sich weiter nur mit Passwort an, ausgerechnet das wichtigste Konto. Drittens: Alle Codes landen auf einem Gerät, das gleichzeitig den Zugang öffnet. Viertens: Ältere Verfahren zur Mail-Anmeldung bleiben offen und umgehen den zweiten Faktor. Fünftens: Niemand prüft nach, wer sich tatsächlich registriert hat. Der Beitrag IT-Sicherheit in der kleinen Firma zeigt die Reihenfolge für Betriebe.

In der Praxis

In einem Betrieb mit Microsoft 365 ist die Zwei-Faktor-Anmeldung bereits enthalten und muss nur eingeschaltet und ausgerollt werden. Der Aufwand liegt nicht in der Technik, sondern in der Einführung: Menschen brauchen eine Erklärung, warum es sie gibt, und eine Regel für den Fall, dass jemand sein Telefon verliert. Beides bereiten wir vor, bevor die Umstellung läuft, sonst steht am nächsten Morgen die halbe Belegschaft vor der Anmeldung. Bei fünfzehn Personen gelingt die Einführung in einem halben Tag, wenn die Reihenfolge stimmt: erst Verwaltungskonten, dann Abteilung für Abteilung, jeweils mit einem Ansprechpartner vor Ort. Die Einrichtung von Microsoft 365 mit Schutz für alle Konten ist als Festpreis für 290 € einmalig beschrieben, siehe Microsoft 365 einrichten.

Richtpreise, netto zzgl. USt. Stand: Oktober 2026 · IT-Betreuung Kosten

Der verbreitete Irrtum

„Unsere Passwörter sind lang genug.“ Länge hilft gegen Raten, nicht gegen Abfangen. Bei Phishing gibt der Nutzer das Passwort selbst heraus, und genau dort ist der zweite Faktor der Unterschied zwischen einem Ärgernis und einem Vorfall.

Zwei-Faktor-Anmeldung in österreichischen Betrieben

Für österreichische Betriebe ist der zweite Faktor aus drei Gründen aktuell. Erstens kommen Phishing-Mails längst auf Deutsch mit österreichischen Absendern und Bezug auf Finanzamt, Post oder Hausbank. Zweitens verlangt die DSGVO in Art. 32 angemessene Schutzmaßnahmen, und ein Postfach ohne zweiten Faktor ist im Streitfall schwer zu verteidigen. Drittens fragen Auftraggeber zunehmend in Fragebögen nach dem Schutz der Zugänge; wie die Lieferkettenpflichten aus dem NISG 2026 kleine Betriebe indirekt erreichen, erklärt der Beitrag NIS2 in der Lieferkette.

Florin Feier aus Lenzing führt die Zwei-Faktor-Anmeldung per Fernwartung ein oder begleitet die Umstellung vor Ort in Vöcklabruck, Gmunden, Salzburg, Linz, Wels und im Salzkammergut. Die Schutzmaßnahmen im Überblick finden Sie unter IT-Sicherheit; wo Ihr Betrieb steht, zeigt der IT-Sicherheitstest, und ein Beispiel aus der Region ist die Seite IT-Service in Salzburg. Auch der Zugang von außen lässt sich mit einem zweiten Faktor absichern; wie das beim VPN mit Zwei-Faktor einrichten aussieht, steht auf der Einrichtungsseite.

Häufige Folgefragen

Ist Zwei-Faktor wirklich nötig, wenn das Passwort stark ist?: Ja, weil ein starkes Passwort nicht vor Phishing schützt. Wer das Passwort auf einer gefälschten Seite eingibt, gibt es dem Angreifer. Der zweite Faktor stoppt genau diesen Fall, weil dem Angreifer der Code oder das Telefon fehlt.
Was kostet die Einführung?: In Microsoft 365 ist die Funktion enthalten, es entstehen nur Kosten für die Einrichtung und Einführung. Microsoft 365 einzurichten kostet bei uns 290 € einmalig; die laufende Pflege der Konten ist Teil der Betreuung ab 29 € je Arbeitsplatz und Monat.
Was tun, wenn ein Mitarbeiter sein Telefon verliert?: Der Zugang wird über eine benannte Person zurückgesetzt, nachdem die Identität geprüft wurde, und das neue Gerät wird registriert. Wer gespeicherte Wiederherstellungscodes hat, kommt auch ohne Zurücksetzen wieder hinein. Das gehört vor der Einführung geregelt.
Ist SMS als zweiter Faktor ausreichend?: Besser als nichts, aber nicht die erste Wahl. Rufnummern lassen sich übernehmen, SMS lassen sich abfangen. Eine Authentifizierungs-App ist der bessere Standard und genauso einfach zu bedienen.
Gilt das auch für Zugänge von Dienstleistern?: Ja, besonders dort. Ein dauerhafter Fernzugang ohne zweiten Faktor ist eines der häufigsten Einfallstore. Jeder Zugang sollte auf eine benannte Person ausgestellt sein und den zweiten Faktor verlangen.

Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.

Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.