Das Wichtigste in Kürze
- Ein Passwort allein schützt schlecht: Es kann abgefischt, erraten oder bei einem anderen Dienst gestohlen werden.
- Das Bundesamt für Cybersicherheit (BACS) empfiehlt, die Zwei-Faktor-Authentisierung überall einzuschalten, wo es geht – besonders beim E-Mail-Konto.
- Passkeys sind an die echte Website gebunden und lassen sich auf einer gefälschten Seite nicht verwenden. Sie sind damit die sicherste Anmeldung für den Alltag.
- Plane den Ernstfall: Richte einen zweiten Passkey oder Ersatzcodes ein, bevor das Handy verloren geht.
Warum ein Passwort allein nicht reicht
Die meisten Angriffe auf kleine Betriebe sind keine raffinierten Hacks, sondern gestohlene Zugangsdaten. Drei Wege sind besonders häufig:
- Phishing: Eine täuschend echte E-Mail führt auf eine gefälschte Anmeldeseite. Wer dort sein Passwort eintippt, gibt es den Angreifern.
- Wiederverwendung: Wird ein Online-Shop gehackt, probieren Angreifer die erbeuteten Kombinationen aus E-Mail und Passwort automatisch bei anderen Diensten aus. Wer überall dasselbe Passwort hat, verliert so mehrere Konten auf einmal.
- Schwache Passwörter: Kurze oder naheliegende Passwörter lassen sich mit Programmen in kurzer Zeit erraten.
Das BACS rät deshalb zu einem eigenen Passwort für jeden Dienst mit mindestens 12 Zeichen – und zusätzlich zu einem zweiten Faktor.
Der zweite Faktor: App statt SMS
Bei der Zwei-Faktor-Authentisierung brauchst du neben dem Passwort etwas, das nur du besitzt – meistens dein Handy. Selbst wenn jemand dein Passwort kennt, kommt er ohne diesen zweiten Faktor nicht hinein. Es gibt verschiedene Varianten:
| Methode | So funktioniert es | Einschätzung |
|---|---|---|
| SMS-Code | Code per SMS aufs Handy | Besser als nichts, aber am schwächsten: SMS lassen sich umleiten, und der Code kann auf einer Phishing-Seite abgefangen werden. |
| Authenticator-App | Die App zeigt alle 30 Sekunden einen neuen sechsstelligen Code (z. B. Microsoft Authenticator, Google Authenticator) | Gut und weit verbreitet. Auch dieser Code kann auf einer gefälschten Seite eingetippt und missbraucht werden. |
| Passkey | Anmeldung mit Fingerabdruck, Gesicht oder PIN des Geräts | Am sichersten: an die echte Website gebunden, nichts zum Abtippen und Abfangen. |
Passkeys: sicherer und einfacher zugleich
Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar nach dem Standard FIDO2 bzw. WebAuthn. Der geheime Teil bleibt auf deinem Gerät oder in deinem Passwortmanager, die Website kennt nur den öffentlichen Teil. Du bestätigst die Anmeldung so, wie du dein Gerät entsperrst: mit Windows Hello, Face ID oder Touch ID, mit der PIN deines Handys – oder mit einem Sicherheitsschlüssel am USB-Anschluss.
Der grosse Vorteil: Ein Passkey ist an die Adresse der echten Website gebunden. Auf einer gefälschten Seite funktioniert er schlicht nicht, und es gibt kein Geheimnis, das du versehentlich preisgeben könntest. Die FIDO Alliance, die den Standard entwickelt, nennt die Phishing-Resistenz ausdrücklich als zentrales Ziel.
Passkeys gibt es in zwei Formen:
- Synchronisiert: Der Passkey liegt in deinem Apple-, Google- oder Microsoft-Konto bzw. im Passwortmanager und steht auf all deinen Geräten zur Verfügung. Praktisch – geht ein Gerät verloren, ist der Passkey nicht weg.
- Gerätegebunden: Der Passkey verlässt ein bestimmtes Gerät nie, zum Beispiel einen Sicherheitsschlüssel. Sehr sicher, aber du brauchst einen zweiten Schlüssel als Reserve.
Den Ernstfall vorher planen
Der zweite Faktor schützt dich – und kann dich aussperren, wenn das Handy kaputt oder weg ist. Plane deshalb von Anfang an eine Reserve ein:
- Richte, wo möglich, zwei Faktoren ein, zum Beispiel einen Passkey auf dem Laptop und einen auf dem Handy, oder Passkey plus Authenticator-App.
- Bewahre Ersatz- oder Wiederherstellungscodes, die viele Dienste anbieten, offline auf – ausgedruckt an einem sicheren Ort, nicht als Foto auf dem Handy.
- Schütze dein E-Mail-Konto besonders gut. Über «Passwort vergessen» ist es der Schlüssel zu fast allen anderen Konten.
Beispiel: Das Handy fällt ins Wasser
Sandra führt ein Grafikbüro mit zwei Mitarbeitenden. Ihr Handy ist nach einem Ausflug an den See unbrauchbar. Weil sie für Buchhaltung, E-Mail und E-Banking zusätzlich einen Passkey mit Windows Hello auf ihrem Laptop eingerichtet hat, arbeitet sie am nächsten Morgen normal weiter. Auf dem neuen Handy richtet sie danach die Authenticator-App neu ein und löscht den alten Eintrag.
Praktische Schritte für dein Team
- Persönliche Konten: Jede Person hat ihr eigenes Login. Geteilte Zugänge machen nicht nachvollziehbar, wer was getan hat, und lassen sich beim Austritt kaum sauber sperren.
- Passwortmanager einführen: Er erzeugt und speichert für jeden Dienst ein eigenes, starkes Passwort. Schütze ihn selbst mit einem langen Master-Passwort und einem zweiten Faktor.
- Zwei-Faktor überall einschalten: zuerst E-Mail, E-Banking, Buchhaltung und Cloud-Speicher, dann alles Weitere.
- Passkeys nutzen, wo angeboten: Immer mehr Dienste unterstützen sie – Microsoft, Google, Apple und viele Business-Anwendungen.
- Austritte regeln: Beim Austritt einer Person Konten sofort sperren, Passwörter geteilter Geräte ändern und Firmengeräte zurücknehmen.
So geht's in Easly
In Easly liegen Rechnungen, Belege und Personaldaten. Deshalb ist ein zweiter Faktor bei Easly keine Option, sondern Pflicht:
- Sicherer Erstzugang: Nach der Bestellung erhältst du einen Einmal-Link per E-Mail. Damit setzt du dein Passwort und richtest sofort die Authenticator-App als zweiten Faktor ein; Passkeys ergänzt du danach unter Einstellungen → Sicherheit. Ein Passwort per E-Mail gibt es nicht.
- Zwei Faktoren sind Pflicht: Ohne Passkey oder Authenticator-App kommst du nur bis zur Einrichtungsseite. Passwörter müssen mindestens 12 Zeichen lang sein.
- Anmelden mit Passkey: Mit einem Passkey meldest du dich ganz ohne Passwort an – per Windows Hello, Face ID, Touch ID oder Sicherheitsschlüssel. Du kannst mehrere Passkeys und zusätzlich eine Authenticator-App hinterlegen.
- Kein versehentliches Aussperren: Den letzten verbleibenden zweiten Faktor kannst du nicht entfernen.
- Schutz gegen Durchprobieren: Nach mehreren Fehlversuchen sperrt Easly die Anmeldung vorübergehend.
- Handy verloren? Melde dich bei uns. Wir schicken dir nach einer Prüfung einen neuen Einmal-Link an deine hinterlegte E-Mail-Adresse, mit dem du den zweiten Faktor neu einrichtest. Am schnellsten geht es aber ohne uns: mit einem zweiten Passkey als Reserve.
- Support nur mit deinem Code: Brauchst du Hilfe, erstellst du einen Freigabe-Code, gültig für höchstens 72 Stunden und jederzeit widerrufbar. Ohne diesen Code kommt der Support nicht in deine Instanz.
Häufige Fragen
Ist ein SMS-Code als zweiter Faktor sicher genug?
Ein SMS-Code ist deutlich besser als gar kein zweiter Faktor. Sicherer sind aber eine Authenticator-App und vor allem Passkeys, weil SMS umgeleitet und Codes auf gefälschten Seiten abgefangen werden können.
Was passiert mit meinem Passkey, wenn ich das Handy verliere?
Ist der Passkey in deinem Apple-, Google- oder Microsoft-Konto bzw. im Passwortmanager synchronisiert, steht er auf deinen anderen Geräten weiter zur Verfügung. Gerätegebundene Passkeys sind mit dem Gerät weg – deshalb gehört immer ein zweiter Faktor als Reserve dazu.
Kann ein Passkey gestohlen werden?
Der geheime Teil eines Passkeys verlässt dein Gerät bzw. deinen Passwortmanager nicht, und die Website speichert nur den öffentlichen Teil. Wird ein Dienst gehackt, gibt es dort kein Passwort zu stehlen. Schütze aber dein Gerät und dein Apple-, Google- oder Microsoft-Konto selbst gut, denn damit entsperrst du die Passkeys.
Brauche ich als Einzelfirma wirklich einen Passwortmanager?
Ja, gerade dann. Er ist die einfachste Art, für jeden Dienst ein eigenes, starkes Passwort zu haben, ohne sich etwas merken zu müssen. Viele Passwortmanager speichern auch Passkeys.
Stand der Angaben: siehe oben. Grundlagen: Empfehlungen des Bundesamts für Cybersicherheit (BACS) zu Passwörtern und Zwei-Faktor-Authentisierung sowie die Beschreibung von Passkeys der FIDO Alliance. Dieser Artikel ersetzt keine individuelle Sicherheitsberatung.