Datensicherheit II: 2FA & Verschlüsselung
Warum ein perfektes Passwort allein nicht reicht: 2FA-Formen vergleichen und Verschlüsselung im Alltag (HTTPS, End-zu-Ende) verstehen.
- Sie können erklären, warum ein starkes Passwort allein nicht ausreicht und wie 2FA mit zwei verschiedenen Faktoren den Schutz erhöht.Verstehen
- Sie können SMS-Code, Authentifizierungs-App und Hardware-Schlüssel vergleichen und für ein Konto eine begründete Wahl treffen.Analysieren
- Sie können Verschlüsselung im Alltag (HTTPS, End-zu-Ende-Messenger) erkennen und deren Schutzgrenzen erklären.Verstehen
Dieses Modul zeigt die zwei wichtigsten Schutzmassnahmen des Alltags: Zweifaktor-Authentifizierung (warum ein Passwort allein nicht reicht und welche 2FA-Form zu Ihnen passt) und Verschlüsselung (was das Schloss im Browser bedeutet und was End-zu-Ende bei Messenger wirklich schützt).
Aufbauend auf Passwörtern und Phishing aus dem ersten Sicherheitsteil.
Das perfekte Passwort, das trotzdem nicht reicht
Stellen Sie sich vor: Ihr Passwort ist lang, kompliziert und nirgendwo sonst verwendet — perfekt. Trotzdem wird Ihr Konto übernommen. Wie? Bei grossen Diensten werden regelmässig Millionen von Passwörtern gestohlen und im Internet weiterverkauft. Ihr perfektes Passwort hilft dann nicht mehr — es ist einfach weg.
Deshalb braucht es einen zweiten Schutzwall: die Zweifaktor-Authentifizierung.
Zweifaktor-Authentifizierung (2FA)
Ein normaler Login prüft nur eines: Wissen Sie das Passwort? 2FA verlangt zusätzlich einen zweiten, unabhängigen Beweis. Es gibt drei Arten von Beweisen:
| Faktor | Beispiele |
|---|---|
| Wissen | Passwort, PIN, Sicherheitsfrage |
| Besitzen | Handy (Code), Hardware-Schlüssel |
| Sein | Fingerabdruck, Gesicht |
Merke: Zwei Faktoren derselben Art (Passwort + PIN) zählen nicht als 2FA — ein Dieb, der Ihr Passwort weiss, kennt meist auch die PIN-Muster.
Drei Wege für den zweiten Faktor
| Form | Stärken / Schwächen |
|---|---|
| SMS-Code | Bequem, funktioniert ohne App — aber abfangbar (SIM-Swap) und wenn man den Code auf einer Phishing-Seite eintippt, ist er verloren. |
| Authentifizierungs-App | Code entsteht lokal auf dem Gerät und gilt nur 30 Sekunden — kein Netz nötig. Guter Kompromiss aus Sicherheit und Aufwand. |
| Hardware-Schlüssel (USB/NFC) | Prüft kryptografisch, ob die echte Website vor ihm liegt — phishing-resistent. Kostet ca. 30–60 Franken, sicherste Variante. |
Die Sicherheitsreihenfolge: SMS < App < Hardware-Schlüssel.
Lokal gespeichert — melde dich an, um Antworten dauerhaft zu sichern.
LoginVerschlüsselung: Postkarte vs. Briefumschlag
Eine Postkarte kann jeder Postbote lesen — ein Briefumschlag schützt den Inhalt. Im Internet ist HTTP die Postkarte und HTTPS der Umschlag: Das Schloss in der Browser-Adresszeile zeigt, dass die Verbindung verschlüsselt ist — niemand auf dem Weg (WLAN-Hotspot, Provider) kann mitlesen.
Aber Vorsicht: HTTPS garantiert nur geschützte Übertragung, nicht, dass die Website seriös ist. Betrügerseiten haben genauso ein Schloss.
End-zu-Ende: Nicht einmal der Anbieter liest mit
Messenger wie Signal oder WhatsApp verschlüsseln End-zu-Ende (E2E): Nur Ihr Gerät und das Gerät der Empfängerin besitzen die Schlüssel. Der Anbieter transportiert nur unverständliche Daten — selbst er kann Ihre Nachrichten nicht lesen.
Wichtig zu wissen: Sichern Sie Ihre Chats zusätzlich in einer Cloud, gilt dieser Schutz für das Backup oft nicht mehr automatisch — die Chat-Sicherung kann schwächer verschlüsselt sein.
Lokal gespeichert — melde dich an, um Antworten dauerhaft zu sichern.
LoginWarning
Häufige Fehler
- Wiederherstellungs-Codes weggeworfen. Geht das Handy verloren, ist der Account versperrt. Lösung: Codes ausdrucken und an einem sicheren Ort aufbewahren.
- SMS als einziger zweiter Faktor beim wichtigsten Konto. SIM-Swap-Angriffe machen SMS zur schwächsten Variante. Lösung: Authentifizierungs-App oder Hardware-Schlüssel.
- «Das Schloss zeigt mir, dass die Seite seriös ist.» Phishing-Seiten haben auch HTTPS. Lösung: Adresse genau lesen und Absender prüfen.
- 2FA nicht aktiviert, weil «zu umständlich». Genau dieser Aufwand ist der Schutz. Lösung: App mit Bestätigungs-Push — einmal tippen statt Code ablesen.
Challenge
Aufgabe: Ihre 5 wichtigsten Konten
Überprüfen Sie Ihre fünf wichtigsten Online-Konten (Schul-Account, E-Mail, Social Media, Gaming, Cloud): Wo ist 2FA aktiviert, wo nicht?
Aktivieren Sie 2FA bei mindestens einem Konto — die Authentifizierungs-App ist der beste Kompromiss aus Sicherheit und Aufwand. Notieren Sie die Wiederherstellungs-Codes und bewahren Sie sie sicher auf.
Note
Das Wichtigste in vier Sätzen
- Ein Passwort kann gestohlen werden — 2FA verlangt zusätzlich Ihr Gerät oder Ihre Biometrie.
- Sicherheitsreihenfolge des zweiten Faktors: SMS < App < Hardware-Schlüssel.
- HTTPS schützt die Übertragung, nicht die Seriosität der Seite.
- End-zu-Ende: Nur Sender und Empfänger lesen mit — nicht mal der Anbieter.
Reflection
Reflexion
- Auf welchen Ihrer Konten ist 2FA noch nicht aktiv — und was hält Sie zurück?
- Was hat Sie an diesem Thema am meisten überrascht?
- Wem in Ihrem Umfeld würden Sie als Nächstes helfen, 2FA einzurichten — und mit welcher Variante?