Passwörter werden millionenfach geleakt. Nicht von Ihrem Computer – aus den Datenbanken der Dienste, denen Sie sie anvertraut haben. Der Angreifer probiert die geleakte Kombination aus E-Mail und Passwort dann überall durch, und weil die meisten Menschen dasselbe Passwort an mehreren Stellen benutzen, trifft er früher oder später. Die Zwei-Faktor-Authentifizierung stoppt genau dieses Szenario: Selbst mit dem richtigen Passwort stößt er auf ein zweites Schloss, für das er keinen Schlüssel hat.
Das Aktivieren dauert pro Konto zehn Minuten. Dieser Artikel führt Sie durch die drei Stellen, auf die es in Tschechien am meisten ankommt: Google, Seznam und die Bank.
Die kurze Antwort: Fangen Sie bei der Haupt-E-Mail an, nicht bei der Bank – die Bank verlangt den zweiten Faktor gesetzlich vorgeschrieben, die E-Mail läuft oft nur mit Passwort. Bei Google aktivieren Sie ihn im Google-Konto im Bereich Sicherheit, bei Seznam auf ucet.seznam.cz im Bereich Zabezpečení (Sicherheit). Wo es geht, wählen Sie eine Authenticator-App oder einen Passkey statt SMS. Und erzeugen Sie sich gleich beim Einrichten Backup-Codes und bewahren Sie sie außerhalb des Handys auf – sie sind Ihre Tür ins Konto, wenn das Handy einmal weg ist.
Warum bei der E-Mail anfangen und nicht bei der Bank
Das klingt unlogisch, aber von den drei Stellen ist die Bank die am wenigsten dringende. Die Anmeldung im Onlinebanking muss gesetzlich mit zwei Faktoren abgesichert sein, deshalb bestätigen Sie Zahlungen dort längst in der Mobil-App.
Die Haupt-E-Mail ist dagegen meist nur durch ein Passwort geschützt – und dabei ist sie der Generalschlüssel zu allem anderen. Wer Ihr Postfach übernimmt, lässt sich dorthin die Links zum Zurücksetzen der Passwörter für Onlineshops, soziale Netzwerke und die Foto-Cloud schicken. Wie so eine Wiederherstellung eines gekaperten Kontos aussieht und wie viele Tage sie kostet, beschreiben wir im Artikel gehackte E-Mail: was tun – und genau deshalb ist es besser, die zehn Minuten zu investieren, bevor es nötig wird.
SMS, App oder Passkey?
Den zweiten Faktor gibt es nicht nur in einer Variante. Die Methoden unterscheiden sich in Komfort und Widerstandsfähigkeit:
| Methode | So funktioniert sie | Schwachstelle |
|---|---|---|
| SMS-Code | Der Dienst schickt einen Einmalcode an Ihre Nummer | Der Code lässt sich am Telefon herauslocken oder auf dem Sperrbildschirm mitlesen, die Nummer lässt sich auf eine andere SIM übertragen |
| Bestätigungsaufforderung | Auf dem Handy erscheint „Sind Sie das?” und Sie tippen auf Ja | In der Eile bestätigt man versehentlich auch einen fremden Versuch |
| Authenticator-App | Google Authenticator und ähnliche erzeugen alle 30 Sekunden einen sechsstelligen Code, auch offline | Handyverlust ohne Backup und ohne Backup-Codes |
| Passkey / Hardware-Schlüssel | Die Anmeldung bestätigt das Gerät selbst per Fingerabdruck oder PIN, kryptografisch an die echte Webadresse gebunden | Braucht ein neueres Handy oder einen neueren Computer, den Schlüssel dürfen Sie nicht ersatzlos verlieren |
Praktische Empfehlung: Für die meisten Haushalte bietet eine Authenticator-App oder die Bestätigungsaufforderung das beste Verhältnis aus Sicherheit und Komfort, die SMS bleibt als Reserveweg. Einen Passkey ergänzen Sie überall dort, wo der Dienst ihn anbietet – er ist der einzige, der auch auf einer perfekt nachgebauten Betrugsseite standhält, weil er auf einer falschen Adresse schlicht nicht funktioniert.
Google Schritt für Schritt
- Öffnen Sie am Computer myaccount.google.com und melden Sie sich an.
- Wählen Sie im linken Menü Sicherheit.
- Klicken Sie unter „So melden Sie sich bei Google an” auf Bestätigung in zwei Schritten und bestätigen Sie mit dem Passwort.
- Google bietet zuerst die Aufforderung auf den Handys an, auf denen Sie angemeldet sind – nach dem Aktivieren erscheint bei jeder neuen Anmeldung eine Rückfrage auf dem Handy, die Sie mit einem Tippen bestätigen.
- Ergänzen Sie auf derselben Seite eine zweite Methode: die Authenticator-App. Installieren Sie auf dem Handy Google Authenticator (oder eine andere Authenticator-App), lassen Sie sich am Computer den QR-Code anzeigen und scannen Sie ihn in der App. Mit dem Abtippen des sechsstelligen Codes bestätigen Sie die Kopplung.
- Scrollen Sie zu Backup-Codes, lassen Sie zehn Einmalcodes erzeugen und drucken Sie sie aus oder schreiben Sie sie auf Papier ab. Speichern Sie sie nicht in den Notizen desselben Handys.
- Wenn Sie ein neueres Handy oder einen Computer mit Fingerabdruck oder Windows Hello haben, ergänzen Sie im Sicherheitsbereich auch einen Passkey – die Anmeldung bestätigen Sie dann per Fingerabdruck, ganz ohne Abtippen.
Ab diesem Moment verlangt Google den zweiten Faktor nur noch bei der Anmeldung von einem neuen Gerät oder Browser. Den heimischen Computer können Sie sich merken lassen; an fremden Computern bestätigen Sie das niemals.
Seznam Schritt für Schritt
Seznam Email ist in Tschechien nach wie vor das verbreitetste Postfach – und die Angreifer wissen das.
- Melden Sie sich auf ucet.seznam.cz an.
- Öffnen Sie den Bereich Zabezpečení (Sicherheit).
- Aktivieren Sie die dvoufázové ověření (Zwei-Faktor-Authentifizierung). Seznam bietet den Code per SMS an oder – bequemer – die Mobil-App Klíč od Seznamu („Schlüssel von Seznam”): Die Anmeldung bestätigen Sie dann nur mit einem Tippen auf dem Handy, ohne Codes abzutippen.
- Prüfen Sie beim Aktivieren, ob beim Konto eine aktuelle Telefonnummer und ein Ersatzkontakt für die Wiederherstellung hinterlegt sind. Eine alte Nummer, deren SIM Sie nicht mehr haben, ist ein häufiger Grund für ausgesperrte Konten.
- Auch hier gilt: Sichern Sie sich den Reservezugang (Codes oder verifizierte Nummer) sofort, nicht erst, wenn das Handy verschwunden ist.
Wenn Sie die App Klíč nicht nutzen wollen, lassen Sie wenigstens die SMS aktiv – bei Seznam ist das immer noch ein entscheidender Fortschritt gegenüber dem nackten Passwort, mit dem sich die meisten der über geleakte Datenbanken gekaperten Postfächer anmelden.
Bank: den zweiten Faktor haben Sie schon, prüfen Sie ihn
Bei der Bank aktivieren Sie die Zwei-Faktor-Authentifizierung nicht – Sie haben sie verpflichtend. Trotzdem lohnen sich fünf Minuten Kontrolle:
- Bestätigung in der App statt SMS. Die meisten Banken bieten eine eigene Bestätigungs-App an (George klíč, KB Klíč, ČSOB Smart klíč). Sie ist sicherer und bequemer als das Abtippen von SMS-Codes – wenn Sie noch auf SMS unterwegs sind, stellen Sie in den Einstellungen des Bankings um.
- Zahlungslimits. Setzen Sie das Tageslimit so, dass es Ihren tatsächlichen Ausgaben entspricht. Wenn etwas schiefgeht, ist das Limit die letzte Notbremse.
- Bestätigen Sie nur, was Sie selbst ausgelöst haben. Wenn in der App eine Anfrage zur Bestätigung einer Anmeldung oder Zahlung auftaucht, die Sie gerade nicht veranlasst haben, ist das ein Angriff – lehnen Sie sie ab.
- Codes und Bestätigungen werden niemandem diktiert. Weder „dem Bankberater”, noch „der Polizei”, noch „dem Microsoft-Techniker”. Genau darauf bauen die Telefonbetrügereien, die wir im Artikel Anruf von der Bank? Betrug auseinandernehmen.
Und noch etwas: Über die Bankovní identita (die tschechische Bank-Identität) melden Sie sich heute auch beim Portál občana oder im Steuerportal (daňový portál) an. Die Absicherung der Bank schützt also mehr als nur Geld – sie ist zugleich Ihre Unterschrift gegenüber Behörden. Schützen Sie das Handy mit der Banking-App per PIN oder Fingerabdruck und geben Sie es niemals entsperrt aus der Hand.
Wo Sie ihn sonst noch aktivieren sollten
Wenn E-Mail und Bank erledigt sind, gehen Sie noch vier Kontogruppen durch, bei denen ein Diebstahl wehtut:
- Soziale Netzwerke (Facebook, Instagram, LinkedIn) – ein gestohlenes Profil nutzen Angreifer für Betrügereien an Ihren Freunden, und es zurückzubekommen ist meist zäh.
- Cloud mit Fotos und Dokumenten (iCloud, OneDrive, Dropbox) – bei Google haben Sie das zusammen mit dem Postfach erledigt, die anderen haben eigene Sicherheitseinstellungen.
- Onlineshops mit gespeicherter Zahlungskarte und Gaming-Konten (Steam, PlayStation) – überall dort, wo sich mit einem Klick Geld ausgeben lässt.
- Datová schránka (tschechisches Behördenpostfach) und staatliche Portale – wenn Sie sich dort nicht mit der Bankovní identita anmelden, prüfen Sie deren eigene Absicherung.
Der Ablauf ist überall gleich: Einstellungen, Bereich Sicherheit, Zwei-Faktor-Authentifizierung, Authenticator-App, Backup-Codes auf Papier.
Backup-Codes: die Versicherung für den Tag, an dem das Handy verschwindet
Die häufigste Sorge lautet: „Und was, wenn ich das Handy verliere? Dann sperre ich mich selbst aus.” Eine berechtigte Frage – und genau deshalb werden die Backup-Codes beim Einrichten erzeugt, nicht erst nach dem Verlust.
Grundsätze, die funktionieren:
- Drucken Sie sie aus. Papier in der Schublade oder im Umschlag bei den Dokumenten überlebt sowohl das Handy in der Badewanne als auch den geklauten Rucksack. Nicht in die Galerie des Handys fotografieren, das sie schützen sollen.
- Jeder Code gilt einmal. Streichen Sie einen Code durch, sobald Sie ihn benutzt haben; wenn nur noch wenige übrig sind, erzeugen Sie einen neuen Satz (der alte verliert damit seine Gültigkeit).
- Ergänzen Sie ein zweites Gerät. Die Authenticator-App können Sie auch auf einem Tablet haben, den Passkey auf dem Computer. Zwei unabhängige Wege bedeuten, dass der Ausfall eines Wegs nicht wehtut.
Wenn das Handy tatsächlich verschwindet: Melden Sie sich vom Computer aus mit einem Backup-Code an, entfernen Sie das verlorene Gerät in den Sicherheitseinstellungen des Kontos und beenden Sie alle aktiven Anmeldungen. Beim Wechsel auf ein neues Handy nehmen Sie die Authenticator-App mit – Google Authenticator kann Konten per QR-Code exportieren oder über das Google-Konto synchronisieren.
Was Sie vermeiden sollten
- Codes am Telefon diktieren. Ein Einmalcode ist wie die PIN zur Karte. Keine seriöse Institution will ihn hören.
- Fremde Aufforderungen bestätigen. Wenn eine Bestätigungsbenachrichtigung „aus dem Nichts” kommt, probiert gerade jemand Ihr Passwort aus. Ablehnen und Passwort ändern.
- Einen Code auf einer Seite eintippen, die ein Link aus einer E-Mail geöffnet hat. Eine Betrugsseite kann Passwort und Code binnen Sekunden an den Angreifer weiterleiten. Tippen Sie die Adresse von Hand ein oder gehen Sie über Lesezeichen – wie Sie gefälschte Seiten erkennen, zeigen wir im Artikel Phishing: so erkennen Sie es.
- Backup-Codes in Fotos oder Notizen des Handys. Fällt das Handy in fremde Hände, fallen sie mit.
- Eine einzige Methode ohne Reserve. Nur eine SMS an eine Nummer, die Sie in einem Jahr wechseln, ist eine Falle. Immer mindestens zwei Wege.
Wenn Sie das nicht allein angehen wollen
Drei Konten nach Anleitung einzurichten schafft ein geduldiger Abend. Nur ist die Lage oft verworrener: eine alte Wiederherstellungsnummer, das Postfach der Großmutter, seit zehn Jahren dasselbe Passwort, ein Computer voller Symbolleisten und Add-ons. Wenn Sie dazu keine Lust haben oder auf halbem Weg stecken geblieben sind, bestellen Sie eine Sicherheitsprüfung und Einrichtung bei Ihnen zu Hause – wir gehen gemeinsam E-Mail, Bank und Passwörter durch, aktivieren die Bestätigung, drucken die Backup-Codes aus und erklären, was bei einem Handyverlust passiert. Zur Orientierung: Einrichtung und Installation ab 600 Kč, Servicearbeit 1.200 Kč/Std., Anfahrt in Brno 700 Kč – Details im Preisverzeichnis.
Für Selbstständige und kleine Firmen ist die Zwei-Faktor-Authentifizierung nur ein Punkt auf einer längeren Liste – wer hat wo Zugriff, was passiert beim Ausscheiden eines Mitarbeiters, wo liegen die Backups. Dafür ist das IT-Audit für kleine Firmen gebaut (orientierend ab 3.600 Kč), und übersichtlich fasst es auch der Artikel Computer-Sicherheit für kleine Firmen in 7 Schritten zusammen.
Zehn Minuten heute oder zwei Wochen Kontowiederherstellung später. Die Zwei-Faktor-Authentifizierung ist einer der seltenen Fälle, in denen Sicherheit fast umsonst ist – man muss sie nur aktivieren, bevor man sie braucht.