Warum ein Passwort heute nicht mehr ausreicht
11. September 2026
Verfasst von Julia Schreiber
Bild: KI-generiert mit Microsoft Copilot
Passwörter sind seit Jahrzehnten ein fester Bestandteil der digitalen Welt. Sie schützen unsere E-Mail-Postfächer, Cloud-Dienste und zahlreiche weitere Geschäftsanwendungen. Doch ein Passwort allein ist heute kein Sicherheitskonzept mehr.
Ein Grund hierfür ist die veränderte Bedrohungslage: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die IT-Sicherheitslage in Deutschland weiterhin als angespannt. In seinem Lagebericht 2025 weist das BSI zugleich darauf hin, dass viele kleine und mittlere Unternehmen ihr eigenes Risiko unterschätzen. Cyberkriminelle suchen sich nicht zwangsläufig die größten Unternehmen als Ziel aus. Oft werden diejenigen angegriffen, bei denen sich mit möglichst geringem Aufwand möglichst viel erreichen lässt. Und hier kommen Passwörter ins Spiel. Denn ein Passwort bietet nämlich nur so lange Schutz, bis es in die falschen Hände gerät.
Wenn Zugangsdaten in falsche Hände geraten
Die Gründe für Passwort-Diebstahl sind bekannt, denn Phishing, Datenlecks und betrügerische Nachrichten („Social Engineering“) gehören längst zum Alltag der Cybersicherheit. Gleichzeitig erleichtert KI den Cyberkriminellen die Erstellung täuschend echter Nachrichten und Anmeldeseiten.
Die entscheidende Frage lautet deshalb nicht mehr, ob ein Passwort stark genug ist. Entscheidend ist, was passiert, wenn es kompromittiert wird.
MFA ist heute der Mindeststandard
Eine der einfachsten Möglichkeiten, Accounts zusätzlich abzusichern, ist die die Multi-Faktor-Authentifizierung (MFA). Dabei wird neben dem Passwort ein weiterer Faktor verwendet, zum Beispiel eine Bestätigung per Smartphone oder einen Hardware-Token. Selbst wenn Cyberkriminelle ein Passwort ergaunern, können sie sich dadurch nicht ohne Weiteres anmelden.
Dass dieser zusätzliche Schutz einen deutlichen Unterschied machen kann, zeigen verschiedene Auswertungen. So berichtet Microsoft, dass mehr als 99,9 Prozent der kompromittierten Konten keine MFA aktiviert hatten. Auch Google nannte in einer im Jahr 2019 gemeinsam mit mehreren US-Universitäten durchgeführten Studie ähnliche Zahlen: Ein zweiter Faktor bei der Anmeldung verhindere demnach 100 Prozent der automatisierten Bot-Angriffe, 96 Prozent der Phishing-Angriffe und 76 Prozent der gezielten Angriffe. Neben dem BSI stuft auch die amerikanische Cybersicherheitsbehörde CISA die MFA als eine der wirksamsten Schutzmaßnahmen gegen unbefugte Zugriffe ein.
Dennoch lohnt ein genauer Blick. Denn MFA ist nicht gleich MFA.
Nicht jedes MFA-Verfahren bietet das gleiche Sicherheitsniveau
Im Juni 2026 hat das BSI verschiedene MFA-Verfahren hinsichtlich ihrer Widerstandsfähigkeit gegen Phishing-Angriffe bewertet. Dabei zeigt sich ein klares Bild: Moderne Passkey-Verfahren schneiden deutlich besser ab als klassische TAN- oder Code-Verfahren.
| Verfahren | Bewertung des BSI mit Begründung |
|---|---|
| E-Mail-TAN | Schlecht. Der per E-Mail übermittelte Code kann bei modernen Phishing-Angriffen abgefangen und missbraucht werden. Ähnliche Risiken gelten für Angriffe aus der Ferne. |
| SMS-TAN | Schlecht. SMS-Codes können durch Echtzeit-Phishing sowie Angriffe auf Mobilfunkdienste bzw. Schwächen im Übertragungsprotokoll abgefangen oder umgeleitet werden. |
| PushTAN-Apps | Mittel. Zwar erfolgt die Bestätigung über ein separates Gerät, das Verfahren bietet aber je nach Umsetzung nur eingeschränkten Schutz gegen moderne Phishing-Angriffe. |
| TOTP-Apps (Authenticator-Codes) | Schlecht. Einmalcodes aus Authenticator-Apps können bei Echtzeit-Phishing abgefangen und direkt für eine Anmeldung genutzt werden. |
| Synced Passkeys | Gut. Passkeys sind an die jeweilige Website gebunden und dadurch wirksam gegen klassische und moderne Phishing-Angriffe geschützt. |
| Device-bound Passkeys (z.B. mit FIDO2-Standard) | Gut. Der kryptografische Schlüssel bleibt auf dem Gerät und kann nicht auf einer gefälschten Website eingesetzt werden. |
| ChipTAN | Mittel. Der zweite Faktor bietet begrenzten Schutz bei in Echtzeit erfolgenden Phishing-Angriffen, ist aber gut gegen Angriffe aus der Ferne geeignet. |
Quelle: BSI, Bewertungstabellen „IT Sicherheit“ im Rahmen der Technischen Bewertung von Verfahren zur Zwei-Faktor-Authentisierung (veröffentlicht am 29.06.2026)
Die Übersicht verdeutlicht, dass klassische Verfahren wie E-Mail-, SMS- oder Authenticator-Codes zwar deutlich sicherer sind als ein Passwort allein. Unter bestimmten Umständen können diese Codes jedoch durch moderne Angriffsverfahren (wie sogenannte Adversary-in-the-Middle-Angriffe) abgefangen und missbraucht werden.
Für Unternehmen ergibt sich daraus eine interessante Entwicklung. Die Frage lautet heute nicht mehr nur, ob MFA eingesetzt wird. Zunehmend gewinnt auch die Wahl des Verfahrens an Bedeutung.
Passkeys als der nächste Standard?
Passkeys gelten als einer der aussichtsreichsten Kandidaten für die nächste Generation der Benutzeranmeldung. Im Gegensatz zu klassischen MFA-Verfahren, bei denen ein Passwort um einen zweiten Faktor ergänzt wird, ersetzen Passkeys das Passwort vollständig.
Der praktische Vorteil liegt in der höheren Sicherheit und Benutzerfreundlichkeit. Anstatt Passwörter und zusätzliche Codes einzugeben, kann man sich beispielsweise per Fingerabdruck, Gesichtserkennung oder Geräte-PIN anmelden.
Ein weiterer Vorteil: Passkeys funktionieren nur für die Website oder Anwendung, für die sie ursprünglich erstellt wurden. Selbst wenn Nutzer auf eine täuschend echte Phishing-Seite gelangen, können sie den Passkey dort nicht verwenden. Genau deshalb bewertet das BSI Passkeys hinsichtlich des Schutzes vor Phishing-Angriffen besonders positiv.
Je nach Einsatzszenario lassen sich unterschiedliche Varianten nutzen. Viele Anbieter setzen auf geräteübergreifend synchronisierte Passkeys (Synced Passkeys), die sich komfortabel auf mehreren Geräten nutzen lassen. Für besonders schützenswerte Konten, etwa Administratorzugänge, kommen zusätzlich hardwaregebundene Varianten auf Basis des FIDO2-Standards infrage.
Werden Passkeys Passwörter ersetzen?
Derzeit steht für die meisten Unternehmen die flächendeckende Einführung von MFA im Vordergrund. Die Entwicklung zeigt jedoch eindeutig, wohin die Reise geht: weg vom Passwort, hin zu Phishing-resistenten Anmeldeverfahren. Wer sich heute mit MFA beschäftigt, sollte deshalb auch das Thema Passkeys im Blick haben.
Zur besseren Einschätzung des eigenen Sicherheitsstatus sind folgende Fragen hilfreich:
- Ist MFA für alle Benutzerkonten aktiviert? Werden neue Konten automatisch mit MFA abgesichert?
- Sind Administrator-Konten besonders abgesichert?
- Nutzen externe Dienstleister MFA?
- Werden noch SMS- oder E-Mail-Codes verwendet?
- Ist bekannt, welche Anwendungen MFA noch nicht unterstützen?
- Gibt es bereits einen Plan, Passkeys für besonders schützenswerte Konten einzuführen?
Möchten Sie herausfinden, wie gut Ihre Benutzerkonten aktuell geschützt sind? Bereits ein geringer Aufwand kann das Risiko einer Kontoübernahme erheblich reduzieren.
Wir unterstützen Sie dabei, bestehende Anmeldungsverfahren zu bewerten, MFA konsequent einzuführen und den Einsatz von Passkeys sinnvoll zu planen.
FAQ
Nein. Selbst starke Passwörter können durch Phishing, Datenlecks oder Social Engineering in falsche Hände geraten. Ein zusätzlicher Faktor erschwert eine Kontoübernahme erheblich.
Ja. MFA sollte nicht nur für Administratoren, sondern grundsätzlich für alle Benutzerkonten eingesetzt werden. Besonders kritisch sind Konten von Geschäftsführung, Finanzabteilung, Personalwesen und externen Dienstleistern.
Das BSI bewertet Passkeys hinsichtlich des Schutzes vor Phishing-Angriffen besonders positiv. Klassische Verfahren wie SMS-TAN oder Einmalcodes bieten zwar zusätzlichen Schutz, gelten jedoch als weniger widerstandsfähig gegen moderne Angriffe.
Vollständig vermutlich nicht sofort. Viele Hersteller treiben den Einsatz von Passkeys jedoch aktiv voran, um Anmeldungen sicherer und gleichzeitig komfortabler zu gestalten. Auch BSI empfiehlt den Einsatz, insbesondere für Unternehmen, die unter die NIS-2-Gesetzgebung fallen.
