2FA richtig umgesetzt für Krypto-Konten

Die beste 2FA für Krypto-Konten ist ein Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn), gefolgt von einer Authenticator-App (TOTP); SMS ist mit großem Abstand nur die letzte Notlösung. Der Grund ist einfach: SMS lässt sich per SIM-Swap aus der Ferne abgreifen, TOTP-Codes können in Echtzeit abgephisht werden, aber ein Hardware-Schlüssel prüft die tatsächliche Domain der Website, bevor er irgendetwas signiert. Und welchen zweiten Faktor Sie auch wählen: Er zählt nur, wenn das E-Mail-Konto, an dem alles hängt, mindestens genauso gut abgesichert ist.

Warum 2FA bei Krypto wichtiger ist als irgendwo sonst

Wenn jemand Ihr Bankkonto leerräumt, rufen Sie die Bank an, widersprechen der Überweisung und bekommen das Geld in der Regel zurück. Wenn jemand Ihr Börsenkonto leerräumt, wird die Auszahlung innerhalb von Minuten auf einer Blockchain abgewickelt, und es gibt keinen Rückbuchungsmechanismus. Kryptobörsen leisten nach schweren Sicherheitspannen auf ihrer Seite manchmal Kulanzerstattungen, aber Sie sollten davon ausgehen, dass die Kompromittierung Ihrer Zugangsdaten Ihr Verlust ist.

Diese Asymmetrie verändert die Rechnung. Ein Passwort allein – selbst ein starkes – ist ein Single Point of Failure, der durch ein Datenleck, ein wiederverwendetes Passwort oder einen Infostealer auf Ihrem Laptop abfließen kann. Zwei-Faktor-Authentifizierung bedeutet, dass ein Angreifer zwei unabhängige Dinge kompromittieren muss. Die Qualität Ihrer 2FA bestimmt, wie unabhängig diese beiden Dinge tatsächlich sind.

Die drei Optionen im Ranking

SMS-Codes: besser als nichts, aber kaum

SMS-2FA sendet einen 6-stelligen Code an Ihre Telefonnummer. Das Problem: Ihre Telefonnummer gehört Ihnen nicht wirklich – sie ist ein Eintrag in der Datenbank Ihres Mobilfunkanbieters, und Anbieter lassen sich überreden, sie umzuziehen. Bei einem SIM-Swap-Angriff ruft jemand bei Ihrem Anbieter an (oder besticht einen Mitarbeiter), gibt sich mit einem verlorenen Handy als Sie aus, portiert Ihre Nummer auf die eigene SIM-Karte und erhält fortan Ihre Codes. SIM-Swaps wurden bei Krypto-Diebstählen eingesetzt, bei denen für ein einzelnes Opfer achtstellige Summen zusammenkamen, und oft erfährt der Angreifer, dass Sie ein lohnendes Ziel sind, weil Ihre Nummer bei einem Datenleck zusammen mit der E-Mail-Adresse einer Kryptobörse offengelegt wurde.

Nutzen Sie SMS nur, wenn ein Dienst nichts anderes anbietet, und wenn ein Dienst SMS zur Kontowiederherstellung verwendet, betrachten Sie das als das tatsächliche Sicherheitsniveau des Kontos – unabhängig davon, welche Login-2FA Sie eingerichtet haben.

Authenticator-Apps (TOTP): die solide Mitte

TOTP-Apps (Aegis, Google Authenticator und andere) erzeugen alle 30 Sekunden einen neuen 6-stelligen Code aus einem Geheimnis, das auf Ihrem Gerät gespeichert ist. Nichts läuft über das Mobilfunknetz, SIM-Swaps sind daher irrelevant. Zwei Schwächen bleiben:

• Phishing in Echtzeit. Eine gefälschte Login-Seite einer Börse kann nach Ihrem Passwort und Ihrem TOTP-Code fragen und beides innerhalb des 30-Sekunden-Fensters an die echte Seite weiterreichen. TOTP verifiziert Sie, nicht die Seite.
• Umgang mit Backups. Das TOTP-Geheimnis (meist bei der Einrichtung als QR-Code angezeigt) ist selbst eine Zugangsberechtigung. Sichern Sie es in einem Cloud-Konto, kontrolliert jeder, der dieses Cloud-Konto kontrolliert, Ihre 2FA. Sichern Sie es gar nicht, sperrt ein verlorenes Handy Sie aus.

Ein sinnvolles Vorgehen: Nutzen Sie eine App, die verschlüsselte lokale Exporte unterstützt, bewahren Sie den Export (oder die ursprünglichen Einrichtungs-QR-Codes) offline auf, und notieren Sie die einmaligen Wiederherstellungscodes jedes Dienstes auf Papier – nicht in demselben Passwortmanager, der das Passwort enthält.

Hardware-Sicherheitsschlüssel: das starke Ende

Ein FIDO2/WebAuthn-Schlüssel (YubiKey und ähnliche, etwa 25–60 US-Dollar) signiert eine Challenge, die kryptografisch an die anfragende Domain gebunden ist. Landen Sie auf binannce.com statt auf binance.com, erzeugt der Schlüssel schlicht eine Signatur, die die echte Seite niemals akzeptieren wird – die Phishing-Resistenz ist im Protokoll eingebaut, statt von Ihrer Aufmerksamkeit um 23 Uhr abzuhängen. Es gibt kein gemeinsames Geheimnis, das sich von einem Server stehlen ließe, und nichts, was jemand Ihnen über die Schulter lesen könnte.

Kaufen Sie zwei Schlüssel, registrieren Sie beide bei jedem Konto, das sie unterstützt, und bewahren Sie den zweiten getrennt auf. Ein einzelner registrierter Schlüssel, der kaputtgeht oder verschwindet, ist die häufigste selbstverschuldete Aussperrung bei dieser Methode. Beachten Sie, dass ein FIDO2-Sicherheitsschlüssel und eine Hardware-Wallet unterschiedliche Geräte sind, die unterschiedliche Probleme lösen: Der Schlüssel authentifiziert Logins, die Wallet signiert Blockchain-Transaktionen. Manche Hardware-Wallets können auch als FIDO2-Schlüssel dienen, was bequem ist, das Risiko aber in einem Gerät bündelt.

Ihre E-Mail ist der Vertrauensanker

Fast jede Börse lässt Sie das Passwort per E-Mail zurücksetzen, und viele lassen Sie über einen E-Mail-basierten Wiederherstellungsprozess die 2FA deaktivieren, teils kombiniert mit einer erneuten Identitätsprüfung. Das heißt: Ihr Postfach steht am Anfang der gesamten Kette. Ein Angreifer, der Ihre E-Mail kontrolliert, kann sich oft in Konten vorarbeiten, deren 2FA Sie sorgfältig eingerichtet haben.

Praktische Konsequenzen:

• Sichern Sie Ihre E-Mail mit der stärksten 2FA ab, die sie unterstützt – idealerweise mit Hardware-Schlüsseln. Googles Advanced Protection Program ist eine vernünftige Wahl für ein ausschließlich für Krypto genutztes Gmail-Konto.
• Entfernen Sie Ihre Telefonnummer als Wiederherstellungsmethode bei diesem E-Mail-Konto, sofern der Anbieter das erlaubt; andernfalls kehrt das SIM-Swap-Problem durch die Hintertür zurück.
• Erwägen Sie eine eigene E-Mail-Adresse, die nur für Börsen verwendet wird, nie öffentlich genannt und nie für Newsletter oder Einkäufe wiederverwendet. Das verkleinert die Angriffsfläche und macht Phishing-Versuche leichter erkennbar: Jede „Börsen“-Mail, die an Ihrer Alltagsadresse eintrifft, ist per Definition gefälscht.

SIM-Swap-Schadensbegrenzung über 2FA hinaus

Selbst wenn Sie keine SMS-Codes mehr verwenden, kann Ihre Telefonnummer Ihnen noch schaden, wenn sie in Wiederherstellungsabläufe eingebunden ist. Fragen Sie Ihren Mobilfunkanbieter nach einer Port-out-PIN oder einer Nummernsperre, die vor der Übertragung der Nummer eine zusätzliche Zugangsberechtigung verlangt. Prüfen Sie dann jede Börse und Ihren E-Mail-Anbieter: Kontrollieren Sie, was der Ablauf „Ich habe mein 2FA-Gerät verloren“ tatsächlich verlangt. Eine Plattform, die die 2FA allein mit einer SMS-Bestätigung und einem Selfie deaktiviert, hat Ihnen ihre tatsächliche Sicherheitsobergrenze verraten.

Gehen Sie außerdem davon aus, dass Ihre Nummer und E-Mail-Adresse bereits in Leak-Datensätzen stehen. Angreifer gleichen geleakte Kundenlisten von Börsen mit Telefonnummern ab; dort aufzutauchen macht aus Ihnen ein ausgewähltes statt eines zufälligen Ziels. Das ist ein Grund, die Guthaben auf Börsen überschaubar zu halten und langfristige Bestände in die Self-Custody (Selbstverwahrung) zu verlagern – ein Thema, das an anderer Stelle in diesem Lernpfad behandelt wird.

Ein konkretes Setup, das funktioniert

Für jemanden, der etwa 20.000 US-Dollar auf zwei Börsen hält:

1. Kaufen Sie zwei FIDO2-Hardware-Schlüssel. Registrieren Sie beide bei Ihrem E-Mail-Konto und bei jeder Börse, die Sicherheitsschlüssel unterstützt.
2. Richten Sie bei Diensten, die nur TOTP unterstützen, eine Authenticator-App ein, exportieren Sie ein verschlüsseltes Backup und schreiben Sie die Wiederherstellungscodes jedes Dienstes auf Papier, das Sie zusammen mit Ihren anderen Offline-Dokumenten aufbewahren.
3. Entfernen Sie SMS überall, wo es möglich ist, als 2FA-Methode und als Wiederherstellungsmethode.
4. Richten Sie bei Ihrem Mobilfunkanbieter eine Port-out-PIN ein.
5. Bewahren Sie den zweiten Hardware-Schlüssel an einem zweiten Ort auf – im Haus eines vertrauenswürdigen Familienmitglieds oder in einem Bankschließfach.
6. Testen Sie einmal im Jahr einen Login mit dem Ersatzschlüssel und prüfen Sie, ob Ihre Wiederherstellungscodes noch der Realität entsprechen.

Die Gesamtkosten liegen unter 120 US-Dollar und einem Nachmittag. Gemessen an dem, was es schützt, ist das die günstigste Versicherung im Kryptobereich.