---
title: "Zwei-Faktor-Authentifizierung (2FA)"
description_de: "2FA ist eine Form der MFA mit genau zwei Faktoren, häufig Passwort und Authenticator-App."
description_en: "2FA is a form of MFA with exactly two factors, often password and authenticator app."
url: /wissen/glossar/2fa
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was ist Zwei-Faktor-Authentifizierung?"
---
# Zwei-Faktor-Authentifizierung (2FA)
Zwei-Faktor-Authentifizierung (2FA) verbindet genau zwei Nachweise beim Login — fast immer Passwort plus Bestätigung auf dem Smartphone — und schließt die Lücke, die allein Passwörter offen lassen.
## Was bedeutet 2FA?
2FA ist die häufigste Ausprägung von [MFA](/wissen/glossar/mfa) in KMU: Nutzer geben Zugangsdaten ein und bestätigen anschließend per App, SMS oder Hardware-Token. Microsoft nennt das in Entra ID „Multi-Faktor“, technisch sind es oft exakt zwei Schritte. Wichtig ist die Unabhängigkeit: Wer nur das Passwort kennt, reicht nicht.
Nicht jede 2FA-Methode ist gleich sicher. SMS kann abgefangen werden; Authenticator-Apps mit Bestätigungsdialog sind robuster; FIDO2-Schlüssel widerstehen [Phishing](/wissen/glossar/phishing) am besten, weil sie Anmeldedomain prüfen. Für Standardnutzer reicht meist die App — für Global Admins lohnt sich Hardware.
In der Praxis bedeutet 2FA: Nach Passwort-Eingabe erscheint Push auf dem Handy oder Code aus Authenticator. Nutzer müssen verstehen, MFA-Prompts nur bei selbst ausgelöster Anmeldung zu bestätigen — Angreifer nutzen „MFA-Müdigkeit“ und hoffen auf blindes Tippen.
## Warum ist 2FA relevant für KMU?
Viele KMU haben noch immer identische oder schwache Passwörter in [Microsoft 365](/wissen/microsoft-365) und Branchensoftware. 2FA ist der schnellste Hebel gegen Account-Takeover — oft in einem Nachmittag aktivierbar, wenn Kommunikation stimmt.
Branchen mit hohem Wechsel — [Personaldienstleister](/wissen/branchen/personaldienstleister) — profitieren zusätzlich: 2FA erschwert es, alte Zugangsdaten weiterzuverwenden, wenn Passwörter nicht überall rotiert wurden. Kombiniert mit sauberem Offboarding sinkt das Risiko spürbar.
Rollout gelingt mit Pilotgruppe, Cheat-Sheet und Helpdesk am ersten Tag. Wer 2FA über Nacht für alle erzwingt ohne Kommunikation, erzeugt Lockouts am Montagmorgen — und untergräbt Akzeptanz für weitere Security-Maßnahmen.
Account-Takeover ist der häufigste Weg zu [Ransomware](/wissen/glossar/ransomware) und Betrug — 2FA stoppt einen Großteil, bevor Schadcode überhaupt ins Gespräch kommt. Für [Teams](/wissen/glossar/teams) ohne Security-Abteilung ist 2FA die verständlichste Maßnahme: einmal erklärt, täglich genutzt, messbar im Admin-Portal.
Authenticator-App vor SMS — bessere Sicherheit und oft weniger Support bei Roaming. Nutzer ohne Smartphone: Hardware-Token oder Ausnahmeprozess mit GF-Freigabe. 2FA in Schulung als Normalität framen — nicht als Strafe für IT-Sicherheit.
## Typische Fehler
* 2FA nur per SMS ohne Alternative bei schlechtem Empfang
* Nutzer sollen privates Handy nutzen, ohne klare Policy und Ersatzgerät-Regel
* Phishing-Schulung fehlt — Nutzer bestätigen MFA-Prompts blind
* 2FA in [M365](/wissen/microsoft-365) aktiv, aber nicht in [VPN](/wissen/glossar/vpn) oder Admin-Tools
## Praxisbeispiel
Eine Steuerkanzlei führt 2FA mit Microsoft Authenticator ein. Vorab erklärt die GF in der Teambesprechung den Ablauf und zeigt Live-Demo. Zwei Testnutzer melden Probleme mit altem Handy — IT stellt Regel für Firmenhandy-Wechsel auf. Nach Rollout blockiert ein Phishing-Versuch einen Login, weil der Angreifer den App-Prompt nicht bestätigen kann.
## Verwandte Begriffe
* [Multi-Faktor-Authentifizierung](/wissen/glossar/mfa)
* [Passwort-Manager](/wissen/glossar/passwort-manager)
* [Zugriffsrechte steuern](/wissen/it-sicherheit/zugriffsrechte)
## FAQ
### Ist 2FA dasselbe wie MFA?
2FA ist immer [MFA](/wissen/glossar/mfa), aber [MFA](/wissen/glossar/mfa) kann theoretisch mehr als zwei Faktoren kombinieren — im Alltag meinen beide Begriffe meist Passwort plus App.