Cyberpediavon Brain
DEENFR

Das private E-Mail-Postfach mit Zwei-Faktor-Authentifizierung schützen

Zwei-Faktor-Authentifizierung im privaten E-Mail-Postfach aktivieren: Methoden, Notfallcodes, Weiterleitungen prüfen und typische Fallen.

In 30 Sekunden

Wo es passiert
Bei der Anmeldung an einem privaten E-Mail-Konto und dann, wenn eine gefälschte Nachricht, ein falscher Berater oder eine Flut von Benachrichtigungen dazu drängt, einen Code weiterzugeben oder eine Anfrage zu bestätigen.
Was der Angreifer will
Mit einem gestohlenen Passwort ins Postfach gelangen und den zweiten Schritt umgehen, indem er von der betroffenen Person einen Code oder eine Bestätigung erhält3.
Der Reflex
Zwei-Faktor-Authentifizierung für das E-Mail-Konto aktivieren, eine App oder einen Sicherheitsschlüssel der SMS vorziehen und niemals einen Code bestätigen oder weitergeben, den man nicht selbst ausgelöst hat.
Wenn die Zwei-Faktor-Authentifizierung schon aktiviert ist
Die Wiederherstellungsoptionen, die hinterlegten Methoden und die Weiterleitungsregeln des Postfachs prüfen.

Worum es geht

Ein Passwort allein schützt ein E-Mail-Postfach schlecht. Die CISA, die US-Behörde für Cybersicherheit, weist darauf hin, dass ein Passwort mehrfach verwendet, leichter erraten oder gestohlen werden kann und dass Angreifer es zu umgehen wissen1. Die Zwei-Faktor-Authentifizierung (auch MFA, 2FA oder Bestätigung in zwei Schritten genannt) fügt bei der Anmeldung einen zweiten Identitätsnachweis hinzu1.

Die CISA nennt das E-Mail-Konto an erster Stelle der Konten, für die man die Zwei-Faktor-Authentifizierung einrichten sollte1. Dienste schicken häufig einen Code oder einen Link an die Adresse des Kontos, um dessen Inhaber zu überprüfen2. Diese Seite erklärt die Methoden, die nötigen Schritte und die Fallen.

Direkte Fragen

Was ist Zwei-Faktor-Authentifizierung?

Es ist ein Verfahren, das mindestens zwei Nachweise aus drei Kategorien kombiniert: etwas, das man weiß (Passwort, PIN), etwas, das man besitzt (Authentifizierungs-App, Bestätigungs-SMS), und etwas, das man ist (Fingerabdruck, Gesicht)1. Wird das Passwort gestohlen, scheitert der Angreifer am zweiten Nachweis1.

Wo sollte man sie aktivieren?

Die CISA nennt zuerst E-Mail-Konten, danach Finanzdienste, soziale Netzwerke, Onlineshops sowie Spiele- und Streamingdienste1. Die Optionen finden sich in den Sicherheitseinstellungen des Kontos, unter unterschiedlichen Bezeichnungen: "Two Factor Authentication", "Multifactor Authentication" oder "Two Step Factor Authentication"1. Bietet der Dienst sie nicht an, rät die CISA, sie dort anzufragen1.

Sind alle Methoden gleichwertig?

Nein. Die CISA schreibt, "any MFA is better than no MFA", aber manche Methoden schützten besser als andere1. Sie bezeichnet FIDO/WebAuthn als die einzige weit verfügbare phishingresistente Authentifizierung: Wird der Nutzer von einer gefälschten Website getäuscht, blockiert das Protokoll den Versuch1. Sicherheitsschlüssel des Typs U2F, etwa der YubiKey, sind phishingresistent, weil der private Schlüssel das Gerät nie verlässt2.

Sollte man die SMS meiden?

Sie ist besser als nichts1, hat aber bekannte Schwächen. OWASP stuft sie unter den eingeschränkten Authentifikatoren ein, wegen der SS7-Abfangmöglichkeit, des SIM-Tauschs und der Rufnummernmitnahme2. Wer nur die SMS hat, sollte laut OWASP einen Wechsel zu einer App für zeitbasierte Einmalcodes (TOTP), zu Push-Benachrichtigungen oder zu WebAuthn/FIDO2 einplanen2.

1Wie es funktioniert1 min

Eine Authentifizierungs-App erzeugt einen kurzlebigen Zahlencode. Man installiert sie auf dem Smartphone, scannt einen vom Dienst bereitgestellten QR-Code, der den Ausgangswert (Seed) liefert, und gibt dann die angezeigten Codes ein2. Die RFC 6238 empfiehlt standardmäßig ein Intervall von 30 Sekunden2. Die Schwachstelle ist das Telefon: Ist das Gerät verloren, gestohlen oder der Akku leer, ist keine Anmeldung möglich, und Sicherungen des Seeds können schlecht aufbewahrt sein2.

Ein U2F-Hardwareschlüssel funktioniert anders. Es gibt nichts abzutippen: Man drückt eine Taste oder hält den Schlüssel an ein NFC-Lesegerät2.

2Was Sie tun1 min
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung noch heute für Ihr E-Mail-Postfach1.
  • Wählen Sie eine Authentifizierungs-App oder einen Sicherheitsschlüssel statt der SMS2. Wird nur die SMS angeboten, nehmen Sie sie lieber als nichts1.
  • Bewahren Sie die Notfallcodes sicher auf. OWASP nennt unter den gängigen Wiederherstellungsmethoden Einmalcodes, die bei der Registrierung ausgegeben werden2.
  • Schützen Sie das Passwort. Die CISA verlangt lange Passwörter (mindestens 16 Zeichen), zufällig und einmalig, aufbewahrt in einem Passwortmanager4.
  • Kontrollieren Sie die Wiederherstellungsoptionen: Telefonnummer, Ersatzadresse, registrierte Geräte. OWASP vermerkt, dass das Ändern eines Authentifizierungsfaktors ein Vorgang ist, den Angreifer zur Kontoübernahme nutzen, und dass der Dienst den Nutzer bei jeder Änderung über einen anderen Kanal benachrichtigen muss2. Eine solche Benachrichtigung, die Sie nicht selbst ausgelöst haben, ist ein Warnsignal.
  • Suchen Sie nach Weiterleitungen. Ein Angreifer kann eine Regel anlegen, die Nachrichten an eine andere Adresse weiterleitet, und diese Regel sichert ihm den Zugriff auf die E-Mails sogar nach einem Zurücksetzen der Zugangsdaten durch die Administratoren5. Öffnen Sie im Postfach die Einstellungen für Regeln und Weiterleitungen und löschen Sie alles, was Sie nicht selbst angelegt haben.
3Die Fallen2 min

Benachrichtigungen im Dauerfeuer

Ein Angreifer, der das Passwort kennt, kann die Anmeldung immer wieder auslösen und das Opfer mit Benachrichtigungen, SMS und Anrufen überschwemmen, in der Hoffnung, dass es irgendwann aus Ermüdung zustimmt: Das ist die "MFA fatigue"3. MITRE nennt Gruppen, die diese Methode eingesetzt haben, darunter LAPSUS$ und Scattered Spider3. Die Regel: Bestätigen Sie nur Anmeldungen, die Sie gerade selbst gestartet haben. Fehlt eine phishingresistente MFA, rät die CISA, den Abgleich von Zahlen (Number Matching) in Betracht zu ziehen, um solche Angriffe zu blockieren1.

Der Code, den ein falscher Berater verlangt

Eine Phishing-Nachricht kann dazu auffordern, eine Nummer anzurufen, wo der Gesprächspartner das Opfer auf eine schädliche Adresse lenkt oder dazu bringt, ein Fernzugriffswerkzeug zu installieren6. Einen Code, der per SMS oder E-Mail eintrifft, gibt man an niemanden weiter: Er dient dem Nachweis, dass Sie der Inhaber des Kontos sind. MITRE weist darauf hin, dass per SMS oder E-Mail gesendete Codes abgefangen werden können, wenn das Gerät oder der Dienst nicht gesichert ist7.

Gefälschte Sicherheitsnachrichten

Phishing ist Social Engineering auf elektronischem Weg: Der Angreifer gibt sich als vertrauenswürdige Quelle aus6. Eine gefälschte Warnmeldung kann auf eine Kopie der Anmeldeseite verweisen. Werkzeuge wie evilginx2 fangen dann die Authentifizierungstoken ab und umgehen Formen der Authentifizierung, die nicht phishingresistent sind7. Ein FIDO-Schlüssel blockiert dieses Szenario1. Im Zweifel klicken Sie nicht: Öffnen Sie den Dienst, indem Sie die Adresse selbst eintippen.

Die entführte Telefonnummer

Beim SIM-Tausch überzeugt der Angreifer den Mobilfunkanbieter, die Nummer des Opfers zu übertragen, sodass er die Codes per SMS oder Anruf empfangen kann2. OWASP empfiehlt, unerwartete Nummernwechsel oder SIM-Ersetzungen zu überwachen2.

Der deaktivierte zweite Schritt

Nachdem ein Angreifer in ein Konto gelangt ist, kann er die Zwei-Faktor-Authentifizierung deaktivieren oder seine eigene Methode registrieren8. Prüfen Sie von Zeit zu Zeit die Liste der Methoden und Geräte, die in Ihrem E-Mail-Konto registriert sind.

Merkblatt

Kennung
CP-559
Flügel
5. Büroalltag und Reflexe
Brain-Kompetenz
Social Engineering durchschauen (outsmart_social_engineering)
Brain-Reflex
cr-064
Schema
G5 · Entscheidungsbaum Reflex
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. CISA, „More than a Password | CISA“. https://www.cisa.gov/MFA (abgerufen am 3. November 2026)
  2. OWASP, „Multifactor Authentication - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1621/ (abgerufen am 3. November 2026)
  4. CISA, „Require Strong Passwords | CISA“. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1114/003/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1111/ (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1556/006/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Das private E-Mail-Postfach mit Zwei-Faktor-Authentifizierung schützen“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/

BibTeX 
@misc{brain_cp559_de_2026,
  author = {Brain},
  title = {Das private E-Mail-Postfach mit Zwei-Faktor-Authentifizierung schützen},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0