Konto trotz Zwei-Faktor-Schutz übernommen: Die vier Wege am MFA vorbei – und dein Notfallplan
Zwei-Faktor-Schutz, kurz 2FA oder MFA, prüft vor allem eines: den Moment der Anmeldung. Was davor und danach passiert, deckt er nur teilweise ab. Genau dort setzen Angreifer 2026 an – mit Phishing-Seiten, die Codes in Echtzeit weiterreichen, mit Freigabe-Anfragen im Minutentakt, mit gestohlenen Sitzungen und mit vergessenen Wiederherstellungswegen.
Welche Anmeldemethode am besten vor Phishing schützt, haben wir in Phishing 2026: Die Erkennungsmerkmale fallen weg – die Schutzmaßnahmen nicht und in SMS-2FA: Warum es unsicher ist erklärt. Dieser Ratgeber geht einen Schritt weiter: Wie kommen Angreifer trotz eingerichtetem zweiten Faktor ins Konto – und was tust du in der ersten Stunde, wenn es passiert ist?
Die vier Wege im Überblick
| Weg | Was passiert | Was hilft | Was es nicht leistet |
|---|---|---|---|
| Echtzeit-Phishing | Eine gefälschte Seite reicht Passwort und Code sofort an den echten Dienst weiter | Passkeys oder Sicherheitsschlüssel | Ein Code aus SMS oder App schützt hier nicht – du gibst ihn ja selbst ein |
| Push-Bombing | Freigabe-Anfragen kommen so lange, bis jemand genervt bestätigt | Nur selbst gestartete Anmeldungen bestätigen, Zahlenabgleich | Hilft nicht, wenn das Passwort bereits bekannt bleibt |
| Sitzungsdiebstahl | Schadsoftware kopiert eine bestehende Anmeldung vom Rechner | Sauberes Gerät, Sitzungen beenden | Kein Anmeldeverfahren – auch kein Passkey – schützt eine bereits gestohlene Sitzung |
| Wiederherstellung | Das Konto wird über eine alte Mailadresse oder Nummer zurückgesetzt | Wiederherstellungswege prüfen, mehrere zweite Faktoren | Ein starker Login nützt wenig, wenn die Hintertür offen ist |
Weg 1: Echtzeit-Phishing
Das BSI hat im Juli 2026 die gängigen 2FA-Verfahren bewertet. Das Ergebnis ist deutlich: Vor Phishing-Angriffen in Echtzeit schützen E-Mail- und SMS-TAN sowie Codes aus Authenticator-Apps nicht, weil der zweite Faktor über einen zwischengeschalteten Server des Angreifers abgefangen werden kann. Die Passkey-Verfahren stuft das BSI dagegen als resistent gegen übliche Phishing-Angriffe ein.
Der Grund: Ein Passkey ist an die echte Adresse des Dienstes gebunden und funktioniert auf einer gefälschten Seite schlicht nicht. Einen Code dagegen tippst du überall ein, wo man dich danach fragt. Wenn ein wichtiger Dienst Passkeys anbietet, ist das der wirksamste Schritt gegen diesen Weg.
Weg 2: Push-Bombing
Bei Anmeldungen per Push-Freigabe erscheint eine Anfrage auf dem Handy, die du nur antippen musst. Die US-Cybersicherheitsbehörde CISA beschreibt das Muster, das Angreifer ausnutzen, als „MFA fatigue“ oder „Push Bombing“: Wer das Passwort kennt, löst so lange Anfragen aus, bis jemand aus Versehen oder genervt bestätigt.
Als Gegenmittel empfiehlt die CISA den Zahlenabgleich: Die Anmeldeseite zeigt eine Zahl, die du in der App eintippen musst. Wer den Anmeldebildschirm nicht vor sich hat, kann nicht bestätigen. Einige Dienste arbeiten inzwischen so. Die Regel für dich ist einfacher: Bestätige nur eine Anmeldung, die du in diesem Moment selbst gestartet hast. Eine unerwartete Anfrage heißt außerdem, dass jemand dein Passwort kennt – ändere es.
Weg 3: Sitzungsdiebstahl
Nach der Anmeldung merkt sich ein Dienst über einen Sitzungs-Token, dass du angemeldet bist. Wer diesen Token kopiert, kann die Sitzung auf einem anderen Gerät fortsetzen – ohne Passwort und ohne erneute 2FA-Abfrage. Der Cloudflare Threat Report 2026 beschreibt, dass Angreifer gezielt nach solchen gültigen Tokens suchen; Schadprogramme wie der Infostealer LummaC2 lesen sie direkt aus dem Browser aus. MFA prüft eben nur den Moment des Logins.
Gegen diesen Weg hilft kein Anmeldeverfahren, sondern nur ein sauberes Gerät. Infostealer kommen meist über gecrackte Software, gefälschte Downloads oder Anhänge auf den Rechner. Halte Betriebssystem und Browser aktuell, installiere Software nur aus vertrauenswürdigen Quellen und melde dich auf fremden oder geteilten Geräten immer ab, statt „angemeldet bleiben“ zu wählen. Und: Ein Passwortwechsel allein beendet eine gestohlene Sitzung nicht immer. Beende bei Verdacht zusätzlich alle aktiven Sitzungen in den Sicherheitseinstellungen des Dienstes.
Weg 4: Wiederherstellung als Hintertür
Das BSI betont, dass die Sicherheit der Wiederherstellung genauso wichtig ist wie das Anmeldeverfahren selbst. Ein Konto mit Passkey ist schwach, wenn es sich über eine alte Mailadresse, die du nicht mehr nutzt, oder eine abgegebene Telefonnummer zurücksetzen lässt.
Prüf in deinen wichtigsten Konten, welche Wiederherstellungswege hinterlegt sind, und entferne alles, was du nicht mehr kontrollierst. Hinterlege – wie das BSI rät – nach Möglichkeit mehrere zweite Faktoren, damit du dich bei einem verlorenen Handy nicht selbst aussperrst. Wiederherstellungscodes gehören ausgedruckt oder in einen Passwortmanager, nicht in eine unverschlüsselte Notiz. Und gib sie nie heraus, wenn dich jemand unaufgefordert kontaktiert – kein seriöser Support fragt danach.
Notfallplan: Die erste Stunde nach einer Übernahme
Das BSI und die Verbraucherzentrale beschreiben eine klare Reihenfolge. Sie gilt, solange du noch Zugriff auf das Konto hast:
- Gerät prüfen. Findet ein Virenscanner Schadsoftware, muss sie zuerst entfernt werden. Sonst kopiert sie dein neues Passwort und neue Sitzungen gleich wieder mit. Im Zweifel die folgenden Schritte von einem anderen, sauberen Gerät aus erledigen.
- Mit dem E-Mail-Konto beginnen. Darüber lassen sich andere Passwörter zurücksetzen. Neues, einzigartiges Passwort setzen.
- Alle aktiven Sitzungen beenden – auf allen Geräten.
- Einstellungen auf fremde Änderungen prüfen: automatische Weiterleitungen an fremde Adressen, Filterregeln, geänderte Wiederherstellungsdaten, neu hinzugefügte 2FA-Geräte.
- Verknüpfte Apps prüfen, die sich über dieses Konto anmelden, und unbekannte entfernen.
- Weitere Konten absichern, die dasselbe Passwort nutzten oder an dieser Mailadresse hängen.
- Bank informieren, wenn Zahlungsdaten betroffen sein könnten, und Kontobewegungen kontrollieren.
- Kontakte warnen, dass in deinem Namen Nachrichten verschickt worden sein könnten.
- Anzeige erstatten bei der Polizei, in vielen Bundesländern auch über die Onlinewache.
Hast du keinen Zugriff mehr, nutze den offiziellen Wiederherstellungsweg des Dienstes – über die Adresse, die du selbst eintippst, nicht über einen Link aus einer Nachricht.
Was ein VPN hier leistet – und was nicht
Ein VPN verschlüsselt deine Verbindung, etwa im öffentlichen WLAN. Gegen keinen der vier Wege hilft es direkt: Es erkennt keine gefälschte Anmeldeseite, verhindert keine Push-Freigabe, entfernt keinen Infostealer und schließt keine Wiederherstellungs-Hintertür. Nutze es als Schutz der Verbindung, nicht als Kontoschutz.
Häufige Fehler
| Fehler | Was stattdessen gilt |
|---|---|
| Eine 2FA-Abfrage als Beweis für eine echte Seite ansehen | Echtzeit-Phishing leitet auch die Abfrage weiter. Anmeldung selbst über die bekannte Adresse starten |
| Eine Push-Anfrage bestätigen, damit sie aufhört | Ablehnen – und das Passwort ändern, denn jemand kennt es |
| Nach einem Verdacht nur das Passwort ändern | Zusätzlich alle Sitzungen beenden, Weiterleitungen und Wiederherstellung prüfen |
| Das Passwort auf dem möglicherweise infizierten Rechner ändern | Erst das Gerät bereinigen oder ein anderes, sauberes Gerät nehmen |
| Passkeys für einen Schutz gegen Sitzungsdiebstahl halten | Passkeys schützen den Login, nicht eine bereits gestohlene Sitzung |
| Alte Wiederherstellungsadressen im Konto lassen | Nur Wege hinterlegen, die du selbst noch kontrollierst |
| Nur einen zweiten Faktor einrichten | Mehrere hinterlegen, damit ein verlorenes Handy dich nicht aussperrt |
| Wiederherstellungscodes am Telefon „zur Identifikation“ nennen | Kein seriöser Support fragt danach. Auflegen |
| Ein VPN als Schutz vor Kontoübernahme verstehen | Es schützt die Verbindung, nicht die Anmeldung |
Praktische Handlungsempfehlungen September 2026
In E-Mail- und Bankkonto die aktiven Sitzungen und Geräte ansehen und alles abmelden, was du nicht kennst.
Wiederherstellungswege aufräumen: alte Mailadressen und Nummern entfernen, einen zweiten Faktor zusätzlich hinterlegen, Wiederherstellungscodes sicher aufbewahren.
Wo angeboten, Passkeys einrichten – sie sind laut BSI resistent gegen übliches Phishing.
Keine Push-Anfrage bestätigen, die du nicht selbst ausgelöst hast. Nach einer unerwarteten Anfrage sofort das Passwort ändern.
Software nur aus vertrauenswürdigen Quellen installieren und auf geteilten Geräten immer abmelden.
Den Notfallplan speichern, bevor du ihn brauchst – mit der Reihenfolge Gerät, E-Mail, Sitzungen, Einstellungen.
Fazit
Zwei-Faktor-Schutz ist unverzichtbar, aber er bewacht nur die Tür, nicht das Haus. Echtzeit-Phishing reicht Codes weiter, Push-Bombing setzt auf Ermüdung, Infostealer stehlen die fertige Sitzung, und alte Wiederherstellungswege öffnen die Hintertür. Passkeys schließen den ersten Weg, Aufmerksamkeit den zweiten, ein sauberes Gerät den dritten und aufgeräumte Kontoeinstellungen den vierten.
Wenn es trotzdem passiert, zählt die Reihenfolge: erst das Gerät, dann das E-Mail-Konto, dann alle Sitzungen beenden und die Einstellungen auf fremde Änderungen prüfen.
Quellen und weiterführende Informationen
- BSI: Wie sicher und einfach sind Verfahren der Zwei-Faktor-Authentisierung? Stand Juli 2026 – E-Mail-, SMS-TAN und TOTP nicht gegen Echtzeit-Phishing geschützt, Passkeys resistent gegen übliches Phishing, Wiederherstellung gleich wichtig
- BSI: Zwei-Faktor-Authentisierung – Empfehlung, mehrere zweite Faktoren zu hinterlegen
- BSI: Notfallplan gehacktes E-Mail-Konto – Hilfe für Betroffene, Reihenfolge der Maßnahmen
- Verbraucherzentrale: Account gehackt? So erlangen Sie die Kontrolle zurück, Stand Oktober 2025 – Passwörter ändern, Sitzungen abmelden, Weiterleitungen prüfen, Anzeige, Bank, Kontakte
- CISA: Implementing Number Matching in MFA Applications, Oktober 2022 – Definition von MFA Fatigue und Push Bombing, Zahlenabgleich als Gegenmittel
- Security-Insider: Session-Token-Diebstahl macht MFA wirkungslos, Mai 2026 – Auswertung des Cloudflare Threat Report 2026, Infostealer LummaC2
Transparenzhinweis: Grundlage dieses Artikels sind Veröffentlichungen des BSI, der Verbraucherzentrale, der US-Behörde CISA und etablierter Fachpresse. Wir testen und messen nicht selbst und bewerten keine einzelnen Anbieter von Konten, Authenticator-Apps oder VPN-Diensten.
IT-Sicherheit: Die beschriebenen Maßnahmen senken Risiken, schließen sie aber nicht aus. Welche Anmeldeverfahren, Sitzungsübersichten und Wiederherstellungswege ein Dienst anbietet, ist unterschiedlich; maßgeblich sind die Sicherheitseinstellungen des jeweiligen Dienstes. Bei Verdacht auf Schadsoftware kann professionelle Hilfe nötig sein.
Aktualität: Stand September 2026. Angriffsmethoden und Schutzfunktionen ändern sich laufend; die BSI-Bewertung der 2FA-Verfahren wird regelmäßig aktualisiert.
Affiliate-Hinweis: Enthält dieser Artikel Links zu Produkten oder Händlern, kann es sich um Affiliate-Links handeln: Bei einem Kauf darüber erhält vpnsafe.de eine Provision, ohne dass sich dein Preis erhöht. Genannte Markennamen sind Warenzeichen der jeweiligen Inhaber und dienen der sachlichen Information; es handelt sich um keine bezahlte Empfehlung.
Affiliate-Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * oder als Amazon-Partnerlink gekennzeichnet). Bei einem Kauf über diese Links erhalten wir eine kleine Provision – für dich entstehen dabei keine zusätzlichen Kosten. Wir empfehlen nur Produkte, die wir für sinnvoll halten.
