2FA (Zwei-Faktor-Authentifizierung)
Die Zwei-Faktor-Authentifizierung (2FA) erweitert die klassische Passwort-Anmeldung um einen zweiten Sicherheitsfaktor, meist einen zeitlich begrenzten Code, der über einen separaten Kanal wie WhatsApp, SMS oder eine Authenticator-App kommt. Sie erschwert Kontoübernahmen deutlich, weil ein gestohlenes Passwort allein nicht mehr reicht.
Was ist 2FA?
Die Zwei-Faktor-Authentifizierung (englisch two-factor authentication, kurz 2FA) ist ein Sicherheitsverfahren, bei dem ein Nutzer zur Anmeldung an einem Konto zwei unabhängige Nachweise erbringen muss. Klassisch sind das ein Wissensfaktor (Passwort) und ein Besitzfaktor (z. B. ein zeitlich begrenzter Code, der an ein Gerät zugestellt wird). Manche Verfahren ergänzen einen Inhärenzfaktor (Biometrie wie Fingerabdruck oder Gesichtserkennung) und sprechen dann von Mehr-Faktor-Authentifizierung (MFA).
Das BSI empfiehlt 2FA für alle Online-Konten, sobald der Dienst sie anbietet. In manchen Bereichen ist sie zudem gesetzlich vorgeschrieben: Nach der Zahlungsdiensterichtlinie PSD2 brauchen elektronische Zahlungen grundsätzlich eine starke Kundenauthentifizierung.
Gängige 2FA-Verfahren
- SMS-Code: ein Einmalpasswort per SMS an die Mobilfunknummer des Nutzers. Funktioniert auf jedem Handy, ist aber anfällig für SIM-Swapping.
- WhatsApp-Code: derselbe Code über ein Authentication-Template der WhatsApp Business API, oft mit Button zum Kopieren. In DACH günstiger als SMS, und weil WhatsApp-Nachrichten verschlüsselt und an das Gerät gebunden sind, schwerer abzufangen. Der Nutzer braucht dafür WhatsApp.
- E-Mail-Code: schnell eingerichtet, aber nur so sicher wie das Postfach selbst.
- Authenticator-App (TOTP): z. B. Google Authenticator, Authy oder Microsoft Authenticator. Erzeugt lokal alle 30 Sekunden einen neuen Code, ohne Versandkosten, erfordert aber Installation und Einrichtung.
- Hardware-Token oder Passkey: z. B. YubiKey oder FIDO2-Schlüssel. Höchste Sicherheitsstufe, höherer Aufwand bei der Einführung.
Kosten von 2FA in DACH 2026
Für Apps und Hardware-Schlüssel fallen keine Kosten pro Code an. Bei Codes per Nachricht addieren sich zwei Teile: der Netz- bzw. Meta-Tarif des Empfängerlandes und die SendSeven-Gebühr pro ausgehender Nachricht. Typische Gesamtpreise pro Code, netto, vom API-Only-Tarif bis zum Basic-Tarif oberhalb der Inklusivnachrichten:
| Kanal | Deutschland | Österreich | Schweiz |
|---|---|---|---|
| SMS | 0,080 € bis 0,095 € | 0,055 € bis 0,070 € | 0,060 € bis 0,075 € |
| WhatsApp (Authentication) | 0,0506 € bis 0,0656 € | 0,0192 € bis 0,0342 € | 0,0192 € bis 0,0342 € |
Metas eigener Authentication-Tarif liegt in Deutschland bei 0,0456 €, in Österreich und der Schweiz bei 0,0142 € pro Nachricht. In allen drei Märkten ist ein WhatsApp-Code günstiger als ein SMS-Code. Voller Kostenvergleich im Artikel 2FA-Kosten 2026: SMS vs. WhatsApp im DACH-Vergleich.
Welches 2FA-Verfahren ist am sichersten?
Jeder zweite Faktor ist deutlich besser als keiner, die Verfahren unterscheiden sich aber. Der US-Standard NIST SP 800-63-4 (August 2025) stuft SMS- und Sprachcodes weiterhin als restricted ein: erlaubt, aber mit bekannten Risiken wie SIM-Swapping und Abfangen, weshalb Organisationen Alternativen anbieten sollen. WhatsApp-Codes umgehen das offene SMS-Netz: Authentication-Templates dürfen keine Links enthalten (eingebauter Phishing-Schutz), die Nachrichten sind verschlüsselt, und das Konto ist an das Gerät gebunden. Authenticator-Apps senden den Code nie über ein Netz, und Hardware-Token und Passkeys sind die einzigen verbreiteten Verfahren, die auch Echtzeit-Phishing widerstehen.
Kurz sortiert von sicher zu weniger sicher: Hardware-Token oder Passkey, Authenticator-App, WhatsApp-Code, SMS-Code, E-Mail-Code.
Best Practice: Hybride 2FA-Strategie
In der Praxis empfehlen sich gestaffelte Konzepte:
- Login-Standard: WhatsApp-Code mit SMS-Fallback, falls die Nummer nicht auf WhatsApp ist oder die Nachricht nicht zugestellt wird. Günstig, sicher, hohe Zustellrate.
- Hochrisiko-Workflows (Überweisungen, Passwort-Reset, Adressänderung): Authenticator-App oder Hardware-Token.
- Notfall-Recovery: Backup-Codes plus Identitätsprüfung beim Support.
- Kurze Gültigkeit: Codes laufen nach wenigen Minuten ab und funktionieren nur einmal.
2FA mit SendSeven umsetzen
Über die SendSeven-Plattform versenden Sie 2FA-Codes per WhatsApp-Authentication-Template, SMS oder E-Mail über eine einzige REST-API. Routing-Regeln für hybride Workflows bilden Sie im eigenen Backend ab oder ab dem Professional-Tarif ohne Code im Flow Builder. Die Plattform ist in der EU gehostet (Frankfurt), verschlüsselt bei der Übertragung und im Ruhezustand, ein AVV nach Art. 28 DSGVO ist inklusive. Metas Nachrichtenpreise rechnet Meta direkt mit Ihnen ab; der SendSeven-Preis besteht aus einer festen Grundgebühr mit Inklusivnachrichten und darüber einem festen Preis pro Nachricht, nie aus einem Prozentsatz auf Metas Tarif.