2FA (Zwei-Faktor-Authentifizierung)

Die Zwei-Faktor-Authentifizierung (2FA) erweitert die klassische Passwort-Anmeldung um einen zweiten Sicherheitsfaktor – meist einen zeitlich begrenzten Code, der über einen separaten Kanal wie WhatsApp, SMS oder eine Authenticator-App zugestellt wird. Sie reduziert das Risiko erfolgreicher Account-Übernahmen drastisch.

Was ist 2FA?

Die Zwei-Faktor-Authentifizierung (englisch two-factor authentication, kurz 2FA) ist ein Sicherheitsverfahren, bei dem ein Nutzer zur Anmeldung an einem Konto zwei unabhängige Nachweise erbringen muss. Klassisch sind das ein Wissensfaktor (Passwort) und ein Besitzfaktor (z.B. ein zeitlich begrenzter Code, der an ein Gerät zugestellt wird). Manche Workflows ergänzen einen Inhärenzfaktor (Biometrie wie Fingerabdruck oder Gesichtserkennung) und sprechen dann von Mehr-Faktor-Authentifizierung (MFA).

Das BSI empfiehlt 2FA für alle Online-Konten mit personenbezogenen oder finanziellen Daten. Bei Banken, Versicherern und Behörden ist 2FA seit der Zahlungsdiensterichtlinie PSD2 (für Zahlungstransaktionen) sowie der eIDAS-Verordnung (für qualifizierte elektronische Signaturen) gesetzlich vorgeschrieben.

Gängige 2FA-Verfahren

  • SMS-OTP – ein Einmalpasswort per SMS auf die Mobilfunknummer des Nutzers. Allgegenwärtig, aber anfällig für SIM-Swapping.
  • WhatsApp-OTP – derselbe Code über ein Authentication-Template via WhatsApp Business API. Günstiger als SMS in DACH und durch Ende-zu-Ende-Verschlüsselung sicherer.
  • Email-OTP – Code per E-Mail. Schneller einzurichten, aber abhängig von der Sicherheit des Mail-Postfachs.
  • Authenticator-App (TOTP) – z.B. Google Authenticator, Authy, Microsoft Authenticator. Generiert lokal alle 30 Sekunden einen neuen Code. Phishing-resistenter als Versandkanäle, erfordert aber App-Installation.
  • Hardware-Token / Passkey – z.B. YubiKey, FIDO2-Schlüssel. Höchste Sicherheitsstufe, höchste Anschaffungskosten.

Kosten von 2FA in DACH 2026

Die Versandkosten unterscheiden sich erheblich je nach Kanal und Empfängerland. Eine SMS nach Deutschland kostet inklusive Anbieter-Gebühr zwischen 0,085 € und 0,100 € pro Nachricht; ein WhatsApp Authentication-Template in dieselbe Region nur 0,0496 € bis 0,0706 €. In Österreich und der Schweiz fällt der Unterschied noch deutlicher aus – WhatsApp ist dort bis zu 72 Prozent günstiger. Voller Kostenvergleich im Artikel 2FA-Kosten 2026: SMS vs. WhatsApp im DACH-Vergleich.

Welches 2FA-Verfahren ist am sichersten?

Das US-NIST hat in der Special Publication 800-63B SMS-OTP als restricted markiert – weiterhin erlaubt, aber als 2FA-Faktor mit erhöhtem Restrisiko. Hauptangriffsvektor ist SIM-Swapping. Authenticator-Apps und Hardware-Tokens gelten als phishing-resistent und sind für Hochrisiko-Anwendungen Standard. WhatsApp Authentication liegt sicherheitstechnisch zwischen SMS und App: Authentication-Templates dürfen keine Links enthalten (eingebauter Phishing-Schutz), die Nachrichten sind Ende-zu-Ende-verschlüsselt, der Account ist an Geräte gebunden.

Best Practice: Hybride 2FA-Strategie

In der Praxis empfehlen sich gestaffelte Konzepte:

  • Login-Standard: WhatsApp Authentication mit SMS-Fallback – günstig, sicher, hohe Zustellrate.
  • Hochrisiko-Workflows (Überweisungen, Passwort-Reset, Adressänderung): Authenticator-App oder Hardware-Token.
  • Notfall-Recovery: Backup-Codes plus Identitätsverifizierung beim Support.

2FA mit SendSeven umsetzen

Über die SendSeven-Plattform versenden Sie 2FA-Codes per WhatsApp Authentication-Template, SMS oder Email – aus einer einzigen REST-API. Routing-Regeln für hybride Workflows lassen sich entweder im eigenen Backend abbilden oder ohne Code über den Flow Builder konfigurieren. EU-Hosting in Frankfurt, AVV nach Art. 28 DSGVO, transparenter Pass-Through der Meta-Listpreise ohne Aufschlag.