Ein Passwort allein
reicht nicht mehr.

Wie es funktioniert

Neben dem Passwort — etwas, das Du weißt — kommt ein zweiter Nachweis dazu: etwas, das Du hast. Ein Code aus einer App, ein Stecker, eine Bestätigung auf dem Telefon. Beides zusammen ist nötig.

• App mit Einmalcode: Eine App erzeugt alle 30 Sekunden eine sechsstellige Zahl. Braucht kein Netz, funktioniert überall, guter Standard für Betriebe.
• Bestätigung auf dem Telefon: Ein Fenster erscheint, man tippt auf Ja. Bequem, aber anfällig für Ermüdung — wer bei jeder Meldung tippt, bestätigt irgendwann auch eine fremde.
• Sicherheitsschlüssel zum Einstecken oder Auflegen: Das sicherste Verfahren, weil es an die richtige Adresse gebunden ist und auf einer gefälschten Seite gar nicht reagiert. Für die wichtigsten Zugänge die beste Wahl.
• Code per SMS: Besser als nichts, aber das schwächste Verfahren. Nummern lassen sich übernehmen. Nur nehmen, wenn nichts anderes angeboten wird.
• Passkeys: Der Nachfolger des Passworts — Anmeldung per Fingerabdruck oder Gesicht, ohne Passwort. Wo es angeboten wird, ist es sicherer und bequemer zugleich.

Wo es zuerst hingehört

1. E-Mail. Der wichtigste Zugang überhaupt. Wer das Postfach hat, kann bei fast jedem anderen Dienst das Passwort zurücksetzen.
2. Bank und Zahlungsdienste.
3. Hosting und Domainverwaltung. Wer dort hineinkommt, kann die Website übernehmen oder die Adresse umziehen.
4. Google-Unternehmensprofil und Werbekonten.
5. Der Passwortspeicher selbst.
6. Buchhaltung und Kundenverwaltung.

Was bei Verlust passiert

Das ist die Sorge, die viele vom Einschalten abhält — und sie ist mit einem Schritt erledigt.

• Wiederherstellungscodes ausdrucken und an einem sicheren Ort aufbewahren. Jeder Dienst zeigt sie einmal bei der Einrichtung. Wer sie überspringt, hat im Ernstfall ein Problem.
• Zwei Geräte einrichten, wo es geht — Telefon und Tablet, oder zwei Sicherheitsschlüssel.
• Die Codes nicht nur im Passwortspeicher ablegen, wenn dieser selbst über dasselbe Telefon geschützt ist.
• Beim Gerätewechsel vorher umziehen, nicht hinterher. Die meisten Apps können exportieren.

Einführung ohne Widerstand

1. Selbst anfangen, damit Du erklären kannst, wie es sich anfühlt.
2. Eine App für alle festlegen, statt jedem die Wahl zu lassen.
3. Mit den drei wichtigsten Zugängen beginnen, nicht mit allen.
4. Wiederherstellungscodes im selben Termin ausdrucken und ablegen.
5. Erklären, warum: Ein übernommenes Postfach bedeutet gefälschte Rechnungen an Deine Kunden, in Deinem Namen. Das überzeugt mehr als jede Richtlinie.

Der Aufwand ist einmalig etwa zehn Minuten je Zugang. Danach kostet es beim Anmelden ein paar Sekunden — und auf bekannten Geräten meist gar nichts.