Zwei-Faktor-Authentifizierung: Warum SMS-Codes keinen vollen Schutz bieten

Zur Sicherung von Finanzmitteln auf Mobilgeräten gewinnt die Zwei-Faktor-Authentifizierung an Bedeutung. Laut einem Bericht vom 1. November 2026 empfahl ein Dozent der Finanzuniversität bei der Regierung der Russischen Föderation die durchgängige Aktivierung entsprechender Sicherheitsabfragen für Bank-Applikationen.

Das Verfahren erfordert beim Kontozugriff neben dem Wissen – etwa einem Passwort – zwingend einen zweiten Faktor aus der Kategorie des Besitzes. Dazu zählen geräteseitige Bestätigungen auf einem Zweitgerät, biometrische Merkmale wie der Fingerabdruck oder separat generierte Codes.

Gleichzeitig wies der Finanzexperte darauf hin, dass ein per SMS versandter Einmalcode zwar eine zusätzliche Hürde darstelle, jedoch keine vollständige Sicherheitsgarantie biete.

Derartige Codes dürften grundsätzlich nicht an Dritte weitergegeben werden. Zudem stoße auch die Zwei-Faktor-Authentifizierung an Grenzen, sobald Betroffene durch Täuschung dazu gebracht werden, Überweisungen eigenhändig an Kriminelle auszuführen.

Das Innenministerium der Russischen Föderation warnte in diesem Zusammenhang vor betrügerischen Benachrichtigungen über vermeintliche versteckte Online-Abonnements, mit denen Angreifer über Phishing-Verweise versuchten, an die SMS-Bestätigungscodes der Opfer zu gelangen.

Behörden und Sicherheitsstellen warnen vor Angriffswegen

Auch internationale Behörden mahnen zu erhöhter Achtsamkeit beim digitalen Identitätsschutz. Im Rahmen des Monats der Cybersicherheit erklärte das Innenministerium der Ukraine in einer Mitteilung vom 31. Oktober 2026, dass Angreifer selbst bei kompromittierten Passwörtern eine zusätzliche Autorisierung benötigen, was unbefugte Zugriffe erheblich erschwere.

Das Ministerium verwies auf eigene Empfehlungen zur Wahl zuverlässiger Authentifizierungsmethoden sowie auf Veröffentlichungen zur Cyberhygiene des Staatlichen Sonderdienstes für Kommunikation.

Wer täglich Online-Banking, PayPal oder WhatsApp auf seinem Smartphone nutzt, sollte die grundlegenden Sicherheitsmechanismen seines Geräts genau kennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

In der Schweiz führten die Kantonspolizei Tessin und die Organisation Pro Senectute im Oktober 2026 Informationsveranstaltungen in Faido, Bedano, Mendrisio sowie in Augio im Calancatal durch, letztere unterstützt durch die Kantonspolizei Graubünden.

Für November 2026 kündigten die Stellen weitere Termine unter anderem in Gambarogno, Lugano, Cugnasco und Maggia an. Die Ermittler rieten dazu, unerwartete Links, QR-Codes sowie unaufgeforderte Anmeldebestätigungen abzuweisen, separate Passwörter zu verwenden und keinesfalls Bargeld an angebliche Bank- oder Polizeivertreter zu übergeben.

Grenzen klassischer Einmalkennwörter

Das britische National Cyber Security Centre sprach sich auf der Fachtagung CYBERUK in Glasgow dafür aus, anstelle herkömmlicher Passwörter und Einmalkennwörter verstärkt auf Passkeys zu setzen, sofern Dienste dies unterstützen.

Die auf FIDO2-Kryptografie basierende Technik nutze PINs, Gesichtserkennung oder Fingerabdrücke direkt auf dem Endgerät, ohne dass vertrauliche Anmeldedaten an Webseiten übertragen werden.SMS-Codes, E-Mail-Einmalkennwörter und Push-Nachrichten blieben anfällig für Phishing-Attacken.

Angesichts von Millionen gehackter Online-Konten pro Quartal wird die Abkehr von klassischen Passwörtern immer wichtiger für die digitale Sicherheit. Wie Sie die moderne Passkey-Technologie bei Diensten wie Amazon oder WhatsApp einfach einrichten, erfahren Sie in diesem kostenlosen Experten-Report. Passkey-Ratgeber jetzt gratis herunterladen

Kriminelle Akteure nutzen diverse Techniken, um Konten auch ohne Passwörter zu kompromittieren. Dazu zählen der Diebstahl aktiver Sitzungstokens, bösartige Browser-Erweiterungen, SIM-Karten-Übernahmen oder das gezielte Überfluten von Nutzern mit Login-Freigaben.

Zudem warnte die US-Bundespolizei FBI im September 2026 davor, dass Kriminelle über manipuliertes Rechte-Phishing bei Drittanbieter-Anbindungen Zugriffe teils selbst nach einer Änderung des regulären Passworts aufrechterhalten können.

Sicherheitsanalysten raten vor diesem Hintergrund, aktive Sitzungen regelmäßig zu überprüfen, Berechtigungen externer Anwendungen einzuschränken und bei Anmeldebestätigungen auf Authenticator-Apps zurückzugreifen. Bei Softwarelösungen kommt es dabei auch auf zeitnahe Aktualisierungen an.

So schloss Microsoft nach Hinweisen des Unternehmens Enclave eine Schwachstelle im Android-Ableger seiner Authenticator-App ab Version 6.2606.4246, über die manipulierte Anwendungen zuvor Zugriffstoken ohne Sonderrechte abfangen konnten.

Parallel berichteten PlayStation-Nutzer über Support-Tricks zur Umgehung von Schutzmechanismen, woraufhin Betroffenen die Kontrolle von Transaktionsverläufen und Kontoeinstellungen nahegelegt wurde.