In Ruhe erklärt
Der zweite Nachweis kommt auf einem anderen Weg als das Passwort: als Code per SMS oder aus einer App, als Bestätigung auf einem Gerät, auf dem du schon angemeldet bist, oder über einen Sicherheitsschlüssel. Wer dein Passwort aus einem fremden Datenleck kennt, kommt ohne diesen Nachweis nicht hinein. Belegte Übernahmen von Kamerakonten liefen über das Passwort allein: Laut der US-Handelsbehörde FTC kamen Täter mit erbeuteten oder erratenen Passwörtern in rund 55.000 US-Kundenkonten eines Kameraherstellers, der eine Mehrfaktor-Anmeldung erst 2019 eingeführt habe.
Die Wege sind nicht gleich stark. Ein Code per E-Mail schützt nur so gut wie das Postfach. Einen SMS-Code empfängst du laut BSI besser nicht auf dem Gerät, mit dem du dich anmeldest; als besonders sicher nennt das BSI hardwaregestützte Verfahren. In einer Studie von Google (2019) blockte ein SMS-Code, den Google bei verdächtigen Anmeldungen an die hinterlegte Nummer schickte, 100 Prozent der automatisierten Angriffe, 96 Prozent des Massen-Phishings und 76 Prozent der gezielten Angriffe, eine Bestätigung auf dem Gerät 100, 99 und 90 Prozent. Gemessen wurden Googles automatische Zusatzprüfungen an Google-Konten, keine selbst eingeschaltete Zwei-Faktor-Anmeldung und keine Konten von Geräteherstellern.
Viele Dienste bieten die Zwei-Faktor-Anmeldung an, haben sie aber ab Werk ausgeschaltet, so das BSI. Bei Arlo ist sie laut dessen Hilfe Pflicht (Stand 17.09.2026), bei Ring laut einem Blogbeitrag von Ring seit dem 18.02.2020. Im Cybersicherheitsmonitor 2026 von BSI und Polizei gaben 40 Prozent der 3.060 Befragten ab 16 Jahren an, sie zu nutzen (2025: 34 Prozent).