SMS-Verifizierung vs. Authenticator-Apps: Was ist sicherer?

Zwei Faktoren, zwei völlig unterschiedliche Bedrohungsmodelle

Wenn ein Dienst nach einem zweiten Faktor fragt, bittet er Sie um einen Nachweis zwei Dinge: dass Sie das Passwort kennen und dass Sie etwas anderes besitzen. Das „etwas anderes" unterscheidet sich zwischen SMS und Authenticator-Apps, und die Unterschiede sind nur relevant, wenn Sie konkrete Angriffsszenarien betrachten.

SMS bittet den Messaging-Anbieter des Dienstes, einen Einmalcode an eine Telefonnummer zu senden. Der Besitz wird durch den Empfang des Codes auf dem Gerät etabliert, das diese Nummer kontrolliert – was entscheidend ist: Das ist derjenige, der die SIM-Karte oder das Routing der virtuellen Nummer kontrolliert, nicht unbedingt Sie.

Authenticator-Apps wie Google Authenticator, Authy, Aegis oder 2FAS generieren Codes lokal auf einem Gerät mit einem gemeinsamen Geheimnis, das bei der Registrierung ausgetauscht wurde. Der Besitz wird durch das Halten des Geräts mit dem Geheimnis etabliert. Der Code reist nicht über das Netz zu Ihnen – er wird in Ihrer Tasche berechnet.

Ein einzelner Unterschied – von einem Netz ankommende Codes versus lokal berechnete Codes – ist die Quelle fast jeder Sicherheitslücke zwischen den beiden Methoden. Die Bedrohungen, gegen die sie schützen, die Bedrohungen, denen sie nicht standhalten, und die Wiederherstellungswege fließen alle von dort.

Wie SMS-Einmalcodes angegriffen werden

Die SMS-Angriffsfläche ist ungewöhnlich breit, da die SMS mehrere Systeme berührt, bevor sie Sie erreicht.

SIM-Swapping ist der bekannteste Angriff und bleibt 2026 wirksam. Ein Angreifer manipuliert einen Carrier-Mitarbeiter – oder besticht ihn – um Ihre Nummer auf eine SIM-Karte zu portieren, die der Angreifer kontrolliert. Sobald die SIM sein Eigen ist, landen jeden SMS, die zu Ihnen gekommen wären, einschließlich Ihrer Passwort-Reset-Codes, in seinem Schoß. Die Berichterstattung über hochkarätige SIM-Swap-Diebstähle hat nicht nachgelassen; die Technik ist profitabel genug, dass halborganisierte Banden sie weiterhin nutzen.

SS7-Abfangtechniken nutzen Schwachstellen im Inter-Carrier-Signalisierungsprotokoll, das die Telefonnetze der Welt seit den 1980er Jahren verbindet. Mit Zugang zu einem SS7-Gateway – das diskret auf grauen Märkten verkauft wird – kann ein Angreifer das SMS-Routing umleiten, ohne Ihre SIM anzutasten. Dies erfordert mehr Geschick als SIM-Swapping und ist außerhalb gezielter Angriffe seltener, wurde aber gegen Banken mehrfach demonstriert.

Carrier-Insiderbedrohungen und Phishing von Support-Mitarbeitern ist eine verwandte Kategorie. Die Support-Tools des Carriers sind aus Sicht des Carriers gewöhnliche CRM-Software. Ein motivierter Angreifer, der die Sitzung eines Support-Agenten phisht, kann Portierungen durchführen, Routing ändern und SMS-Protokolle lesen.

Smishing ist der einfachste Angriff: Ein Angreifer sendet Ihnen eine gefälschte SMS, die wie eine legitime Verifizierungsanfrage aussieht, in der Hoffnung, dass Sie einen Code in eine Phishing-Seite eingeben. Dies ist der einzige Angriff hier, gegen den Authenticator-Apps auch nicht versagen, da Authenticator-Codes auch phished werden können, wenn der Benutzer getäuscht wird.

Der gemeinsame Faden: SMS hängt von mehreren Systemen ab, die Sie nicht kontrollieren, und jedes einzelne kann mit einem Fehler ausreichen. Authenticator-Codes hängen nur von einem Gerät ab, das Sie physisch halten.

Wo Authenticator-Apps scheitern

Authenticator-Apps sind nicht unverwundbar. Sie haben ihre eigenen Ausfallarten.

Phishing funktioniert dennoch. Eine gut gestaltete gefälschte Login-Seite kann Sie in Echtzeit nach Ihrem Passwort und Ihrem TOTP-Code fragen, und ein Skript hinter der Seite sendet beides an den echten Dienst, bevor das 30-Sekunden-Fenster abläuft. Dies ist der dominante Angriff auf Authenticator-geschützte Konten 2026 und der Grund, warum WebAuthn / Passkeys TOTP langsam ablösen.

Geräteverlust ist ohne Backup tödlich. Wenn Sie Google Authenticator auf einem einzelnen Telefon einrichten, das Telefon verlieren und keine Wiederherstellungscodes speichern, werden Sie aus jedem Konto gesperrt. Die Wiederherstellung hängt vom Support-Team jedes Dienstes ab, das oft Tage dauert und Identitätsnachweise verlangt.

Cloud-synchronisierte Authenticator-Apps führen eine neue Angriffsfläche ein. Authy hatte 2024 berüchtigt einen Datenschutz, der an Konten gebundene Telefonnummern leakte. Authenticator-Apps, die mit iCloud oder Google Drive synchronisieren, setzen Ihre Seeds jedem aus, der diesen Account kompromittieren kann. Der Trade-off ist real: Gerät verlieren oder Cloud verlieren, wählen Sie, was Sie weniger stört.

Malware auf dem Gerät. Ein kompromittiertes Telefon kann TOTP-Codes aus Screenshots oder Bildschirmaufzeichnungen auslesen. Dies ist ein spezialisierter Angriff und selten gegen normale Benutzer, aber für hochwertige Ziele dokumentiert.

OTP-Wiederverwendung und Zeitabweichung. Wenn sich die Uhr eines Geräts driftet, validieren Codes nicht. Wenn dasselbe Geheimnis auf zwei Geräten registriert ist und eines gestohlen wird, produzieren beide gültige Codes, bis das Geheimnis widerrufen wird.

Ein Vergleich nebeneinander

Lesen Sie diese Tabelle richtig: Es ist nicht „Authenticator gewinnt alle Reihen." SMS gewinnt bei Zugänglichkeit, Kontowiederherstellung und Zero-Config-Einrichtung. Für einen gelegentlichen Forum-Login ist SMS in Ordnung. Für Ihre Bank, Ihre E-Mail oder Ihren Crypto-Exchange ist die Reihe, die zählt, „resistent gegen SIM-Swap", und da verliert SMS schlecht.

Wann SMS 2FA die richtige Wahl ist

Es gibt echte Fälle, in denen SMS 2FA die bessere Option ist:

• Der Benutzer hat kein Smartphone. Ältere Verwandte, bestimmte Arbeitsplätze, jeder mit einem Feature-Phone. SMS ist der einzige zweite Faktor, den sie verwenden können.
• Kontowiederherstellung ist dominant. Für schwach bewertete Konten übersteigt die Kosten für Aussperrung (kann Rezept-Seiten-Login nicht abrufen) die Kosten eines Angriffs (jemand stiehlt Ihre gespeicherten Rezepte).
• Das Bedrohungsmodell ist opportunistisch, nicht gezielt. Zufällige Angreifer SIM-Swap nicht zufällige Menschen; sie gehen auf hochwertige Ziele aus. Wenn Sie kein hochwertige Ziel sind, wehrt SMS opportunistische Angriffe ausreichend ab.
• Sie verwenden eine virtuelle Nummer. Eine virtuelle Telefonnummer für ein spezifisches Konto, nie an Ihre echte Identität gebunden, ist erheblich schwieriger SIM-zu-swappen, da der Angreifer zuerst identifizieren muss, welcher Provider sie hostet. Dies eliminiert nicht das SS7-Risiko, hebt aber den Standard des häufigsten Angriffs erheblich. Viele Benutzer registrieren Konten über den SMS-Aktivierungsfluss genau, so dass die Verifizierungslinie von ihrer primären Nummer entkoppelt ist.

Das Muster „virtuelle Nummer für niedrige Einsätze-Konten" wird zunehmend verbreitet: Verwenden Sie SMS 2FA pro Konto mit Wegwerf-Nummern, und reservieren Sie TOTP oder Hardware-Schlüssel für Konten mit Geld oder Korrespondenz.

Wann Authenticator-Apps unverzichtbar sind

Wenn eine der folgenden Aussagen auf Ihr Konto zutrifft, ist eine Authenticator-App (oder besser, ein Hardware-Schlüssel) die richtige Grundlinie:

• Das Konto hält Geld – Bank, Makler, Crypto-Exchange, Zahlungsprozessor
• Das Konto hält langfristige Korrespondenz – E-Mail, besonders die E-Mail, die andere Konten sichert
• Das Konto wird für die Arbeit verwendet – Corporate SSO, Quellcode-Kontrolle, Cloud-Infrastruktur
• Das Konto enthält regulierte Daten – Gesundheitswesen, Regierungsdienste
• Das Konto würde Sie persönlich gefährden, wenn es verletzt würde – primäre soziale Medien, Dating-Apps oder alles an Ihre echte Identität gebunden

Für diese dominiert das SIM-Swap-Risiko alles andere. Koppeln Sie den Authenticator mit WebAuthn / einem Hardware-Schlüssel, wo unterstützt. Für Crypto-Exchanges spezifisch ist die Rechnung anders: Sie benötigen normalerweise beide, da Exchanges SMS als Fallback selbst nach TOTP-Einrichtung verlangen.

Hybrid-Setups, die tatsächlich funktionieren

Das stärkste praktische Setup für die meisten Benutzer ist geschichtet:

1. TOTP über eine gesicherte Authenticator als primärer zweiter Faktor. Aegis mit verschlüsselten lokalen Backups, 2FAS mit iCloud oder Authy, wenn Sie das Cloud-Vertrauensmodell akzeptieren.
2. Wiederherstellungscodes auf Papier gedruckt Offline gespeichert. Die meisten Dienste geben Ihnen 8 bis 16 Codes bei TOTP-Einrichtung. Behandeln Sie sie wie Bargeld.
3. Eine virtuelle SMS-Nummer auf dem Konto, isoliert von Ihrer primären Leitung, nur für Dienste, die sie als Fallback verlangen. Die Nummer muss nicht Ihre „echte" Nummer sein – sie muss einfach erreichbar sein. Verwenden Sie eine langfristige Mieternummer für Stabilität oder eine dedizierte DID für Konten, auf die Sie oft zugreifen.
4. Ein Hardware-Schlüssel (YubiKey, Feitian) oben drauf für Konten, die ihn unterstützen. Phishing-resistent auf eine Weise, die nichts anderes hier ist.

Dieses Setup kostet vielleicht zwanzig Dollar pro Jahr (Mieternummer plus optionaler Hardware-Schlüssel) und schützt Sie vor jedem realistischen Angriff, ausgenommen vollständiger Gerätekompromiß.

Was zuerst migriert wird, wenn Sie heute anfangen

Wenn Sie dies lesen und Ihre Konten sind alle nur SMS, tun Sie dies in dieser Reihenfolge:

1. E-Mail zuerst. Dies ist das Recovery-Konto für alles andere. Wechseln Sie diese Woche zu TOTP.
2. Finanzkonten zweiten. Bank, Makler, Zahlungsprozessoren. Einige Banken widerlegen sich weiterhin TOTP – drängen Sie sie, oder wählen Sie eine Bank, die sie anbietet.
3. Alles an Ihre echte Identität gebunden. Primäre soziale Medien, Regierungsportale, Gesundheitswesen.
4. Langfristige Wert-Konten. Cloud-Speicher, Code-Repositories, alles, über das Sie arbeiten würden.
5. Alles andere. SMS ist in Ordnung für den langen Schwanz. Wenn Sie Hunderte von Konten haben, ist das Werfen von virtuellen Nummern daran schneller, als jedes in TOTP einzuschreiben.

Der Punkt all dessen ist nicht, dass SMS unsicher und Authenticator-Apps sicher sind. Es ist, dass sie gegen unterschiedliche Bedrohungen scheitern, und die richtige Wahl hängt davon ab, was Sie schützen. Für eine externe Perspektive auf die zugrunde liegenden SS7-Schwächen ist die Wikipedia-Zusammenfassung von SS7-Angriffen ein fairer Ausgangspunkt.

Wählen Sie den zweiten Faktor, der der Bedrohung entspricht. Schichten Sie sie, wo es wichtig ist. Und wenn Sie SMS überhaupt verwenden, tun Sie es zumindest auf einer Nummer, die nicht auch Ihre primäre Leitung ist – diese eine Änderung schließt den einfachsten Angriffsvektor ohne laufende Kosten.