Wenn Sie auf dieser gesamten Website nur eine einzige Sache tun, dann diese. Jede andere Maßnahme hier senkt das Risiko am Rand; diese hier entfernt eine ganze Angriffskategorie, und es ist die Kategorie, die tatsächlich Menschen passiert, die diese Arbeit machen. Sie kostet weniger als ein Paar Schuhe und dauert einen Nachmittag.
01Warum ein Code gestohlen werden kann und ein Schlüssel nicht
Sie haben den Angriff gesehen, auch wenn er bei Ihnen nicht funktioniert hat. Eine E-Mail oder Nachricht besagt, dass es ein Problem mit Ihrem Konto gibt. Der Link führt zu einer Seite, die eine pixelgenaue Kopie der echten Anmeldung ist. Sie geben Ihr Passwort ein. Es wird nach Ihrem Authenticator-Code gefragt. Sie geben auch den ein.
Hinter den Kulissen meldet sich der Server des Angreifers im selben Moment bei der echten Website an und leitet alles, was Sie eingeben, in Echtzeit weiter. Ihr Code war echt. Er war dreißig Sekunden lang gültig. Sie haben ihn nur ins falsche Fenster eingegeben, und dreißig Sekunden sind reichlich.
Eine App erzeugt eine Zahl aus einem gemeinsamen Geheimnis und einer Uhr. Sie hat keine Ahnung, welche Website Sie gerade ansehen, also kann sie eine echte Anmeldeseite nicht von einer Kopie unterscheiden. Der Code ist nicht die Schwäche, das menschliche Auge ist es. Jede Verteidigung, die davon abhängt, dass Sie eine gefälschte Domain erkennen, wird irgendwann versagen, denn die Fälschungen sind sehr gut und Sie werden müde sein.
Ein Sicherheitsschlüssel funktioniert anders. Wenn du ihn bei einer Website registrierst, speichert er ein Geheimnis, das an die echte Domain dieser Website gebunden ist. Beim Login sendet die Website eine Challenge; der Schlüssel signiert sie, aber erst nachdem er geprüft hat, dass die anfragende Domain mit der Domain übereinstimmt, bei der er registriert wurde. Eine ähnlich aussehende Domain fragt an, und der Schlüssel antwortet einfach nicht. Es gibt nichts weiterzuleiten, nichts einzutippen und nichts, was du falsch machen kannst.
Google hat seine gesamte Belegschaft – Zehntausende Menschen – auf Sicherheitsschlüssel umgestellt und danach null erfolgreiche Phishing-Übernahmen von Mitarbeiterkonten gemeldet. Das ist der stärkste Beleg in der Verbrauchersicherheit für eine einzelne Maßnahme, und deshalb steht dieser Leitfaden an erster statt an fünfter Stelle.
02Was auf dem Schlüssel ist
Ein YubiKey 5 ist nicht eine einzige Sache. Er ist mehrere unabhängige Sicherheitsgeräte im selben Stück Plastik, und die meisten Menschen nutzen eines davon und wissen nie, dass die anderen existieren. Hier ist alles, in klaren Worten.
| Funktion | Verwenden? | Wofür sie da ist |
|---|---|---|
| FIDO2 / WebAuthn | Ja, das ist der richtige | Der moderne Standard. Phishing-sicherer Login und die Grundlage von Passkeys. Das wirst du bei Google, Microsoft, GitHub, Cloudflare, Proton und den meisten Dingen verwenden, die wichtig sind. |
| Passkeys (residente Schlüssel) | Ja | Dasselbe, aber der Schlüssel speichert auch die Kontoidentität, sodass du dich anmelden kannst, ohne überhaupt einen Benutzernamen oder ein Passwort einzugeben. Der Speicherplatz ist begrenzt – siehe Hinweis unten. |
| U2F | Automatisch | Die ältere Version derselben Idee. Wird noch von einigen Websites verwendet; der Schlüssel übernimmt das, ohne dass du wählen musst. |
| OATH-TOTP | Situationsabhängig | Speichert deine gewöhnlichen sechsstelligen Codes auf dem Schlüssel statt in einer Handy-App, abrufbar über Yubico Authenticator. Nützlich für Websites, die FIDO2 nicht unterstützen. Es ist immer noch ein Code und immer noch phishing-anfällig, er schützt das Geheimnis, nicht die Anmeldung. |
| Challenge-Response (HMAC-SHA1) | Ja, mit KeePassXC | Macht deine Passwortdatenbank nur mit dem physischen Schlüssel öffnungsfähig. Behandelt im KeePassXC-Leitfaden, dies ist die Kombination, die beide Werkzeuge erheblich stärker macht. |
| PIV / Smartcard | Fortgeschritten | Enthält Zertifikate. Wird für SSH-Schlüssel verwendet, die nicht vom Gerät kopiert werden können, und für einige Unternehmens- und Regierungssysteme. |
| OpenPGP | Fortgeschritten | Speichert GPG-Schlüssel auf der Hardware, sodass Signieren und Entschlüsseln auf dem Schlüssel stattfinden und der private Schlüssel niemals deinen Computer berührt. |
| Yubico OTP | Selten | Ein veraltetes Einmalpasswort-Verfahren, das älter ist als FIDO. Einige ältere Dienste verwenden es. Lass es in Ruhe, solange nichts danach verlangt. |
| Statisches Passwort | No | Gibt eine feste Zeichenfolge aus, wenn du den Schlüssel berührst. Eine Komfortfunktion aus einer anderen Ära. Verwende es nicht für irgendetwas, das wichtig ist. |
Resident Keys, also diejenigen, mit denen du dich ohne Benutzername anmelden kannst, belegen dauerhafte Plätze auf dem Gerät, und ihre Anzahl ist begrenzt. Ältere YubiKey-5-Firmware speichert etwa 25; neuere Firmware speichert deutlich mehr. Gewöhnliche FIDO2-Zweitfaktor-Registrierungen sind nicht auf diese Weise begrenzt, du kannst einen Schlüssel also bei Hunderten von Websites hinzufügen, ohne irgendetwas zu belegen. Wenn dir der Platz ausgeht, dann wegen Passkeys, nicht wegen 2FA.
03Welchen du kaufen solltest
Die Entscheidung dreht sich hauptsächlich um den Stecker am Ende und darum, ob du die Zusatzfunktionen möchtest. Wähle den Anschluss passend zu deinem Telefon und deinem Computer, und wenn sie sich unterscheiden, kaufe je einen für beide, statt einen Adapter mitzuführen, den du verlieren wirst.
| Modell | Am besten für | Hinweise |
|---|---|---|
| Security-Key-Serie (die blauen) | Die meisten Menschen | Nur FIDO2 und U2F, was genau der Teil ist, den du brauchst. Etwa die Hälfte des Preises eines YubiKey 5. Wenn du PGP, PIV oder die KeePassXC-Kopplung nicht nutzen willst, ist das die ehrliche Empfehlung. |
| YubiKey 5 NFC | USB-A-Computer + jedes Telefon | Der Schlüssel mit vollem Funktionsumfang. Halte ihn an ein Telefon für NFC, stecke ihn in einen Laptop für USB. Die Standardwahl, wenn du alles in der obigen Tabelle willst. |
| YubiKey 5C NFC | USB-C-Computer + jedes Telefon | Identisch, mit USB-C-Stecker. Wahrscheinlich der richtige, wenn dein Laptop neuer ist. |
| YubiKey 5Ci | iPhone mit Lightning | Hat sowohl USB-C als auch Lightning. Nur relevant für ältere iPhones; neuere haben USB-C und können ohnehin NFC nutzen. |
| YubiKey 5 Nano | Im-Laptop belassen | Winzig, sitzt dauerhaft bündig im Anschluss. Praktisch, und es entfällt der Vorteil der physischen Trennung: Wird der Laptop mitgenommen, wird der Schlüssel mitgenommen. |
| Bio-Serie | Gemeinsam genutzte Räume | Fingerabdruck statt PIN. Wirklich angenehm; teurer; überlege sorgfältig, ob ein biometrisches Merkmal die richtige Entsperrung für deinen Wohnort ist, denn in vielen Rechtsordnungen kann man leichter gezwungen werden, einen Fingerabdruck herauszugeben, als eine PIN. |
Ein einzelner Schlüssel ist ein einzelner Ausfallpunkt: Verlierst du ihn, kannst du dauerhaft aus deinen eigenen Konten ausgesperrt werden, was eine eigene Art von Katastrophe ist. Registriere beide Schlüssel bei jedem Konto, trage einen bei dir und bewahre den zweiten an einem physisch getrennten Ort auf, eine Schublade zu Hause, einen Safe, bei einer Person, der du vertraust. Der zweite Schlüssel ist der Notfallplan, und er kostet weniger als die Wiederherstellung.
Kein Marktplatz-Angebot, nicht gebraucht, kein Geschenk von jemandem, den du nicht gut kennst. Ein Sicherheitsschlüssel ist ein Gerät, dem du alles anvertrauen wirst; die Lieferkette ist Teil des Produkts. Yubicos Firmware ist bewusst nicht aktualisierbar, was gut gegen Manipulation ist und bedeutet, dass ein kompromittierter Schlüssel nie repariert, sondern nur ersetzt werden kann.
04Die Einrichtung, in der richtigen Reihenfolge
Die Reihenfolge ist wichtig. Beginne mit dem Konto, das alle anderen zurücksetzen kann, und stelle sicher, dass du dich dabei nicht selbst aussperrst.
-
Beginne mit deiner E-Mail
Jedes andere Konto, das du besitzt, wird über es wiederhergestellt, was es zum eigentlichen Ziel macht. Gehe zu den Sicherheitseinstellungen deines E-Mail-Anbieters und füge beide Schlüssel hinzu, bevor du irgendetwas anderes anfasst. Wenn dein E-Mail-Anbieter keine Sicherheitsschlüssel unterstützt, ist das ein Grund, den Anbieter zu wechseln, nicht ein Grund, dies zu überspringen.
-
Registriere beide Schlüssel gleichzeitig
Erledige es in einem Durchgang, bei jedem Konto. Der Fehler, den Leute machen, ist, jetzt einen Schlüssel zu registrieren und „den Ersatz später hinzuzufügen“ – später kommt nie, und dann geht der erste Schlüssel durch eine Waschmaschine.
-
Speichere die Wiederherstellungscodes richtig
Jede Website gibt dir eine Reihe von Einmal-Wiederherstellungscodes. Diese umgehen deinen Schlüssel vollständig, also verdienen sie dieselbe Sorgfalt wie der Schlüssel selbst. Lege sie in deinen Passwortmanager, oder drucke sie aus und bewahre sie an einem physisch sicheren Ort auf. Fotografiere sie nicht, und lass sie nicht in einem Downloads-Ordner liegen.
-
Überprüfe jetzt die schwächeren Methoden
Wenn SMS-Codes weiterhin als Fallback bestehen, kann ein SIM-Swap den Schlüssel umgehen. Sobald beide Schlüssel funktionieren, schalte SMS überall ab, wo der Dienst es zulässt. Behalte einen Authenticator-Code nur dort, wo du ihn als Wiederherstellungspfad brauchst, schütze seinen Seed und seine Wiederherstellungscodes in deinem Passwortmanager, und entferne niemals eine Methode, bevor du die verbleibenden Wege zurück getestet hast.
-
Arbeite die Liste ab
Nach E-Mail: dein Passwortmanager, wenn er Schlüssel unterstützt, dann Cloud-Speicher, dann Social-Media-Konten, von denen du postest, dann alles mit hinterlegter Zahlungsmethode, dann Code-Hosting. Alles Übrige kann auf einen ruhigen Abend warten.
-
Teste den Ersatzschlüssel, bevor du ihn weglegst
Melde dich ab und wieder an, und zwar gezielt mit dem Backup-Schlüssel. Ein ungetestetes Backup ist eine Vermutung.
05Wovor es dich nicht schützt
Ein Sicherheitsschlüssel ist die stärkste einzelne Kontrolle, die einem normalen Menschen zur Verfügung steht, und er ist trotzdem begrenzt. Er besiegt Phishing. Er besiegt Folgendes nicht.
- Phishing-Seiten, egal wie überzeugend, einschließlich Echtzeit-Relay-Angriffen.
- Credential Stuffing, dein Passwort aus einem Datenleck einer anderen Seite ist für sich genommen jetzt nutzlos.
- Passwort-Raten und -Spraying.
- Die meisten SIM-Swap-Angriffe, sobald SMS als Fallback entfernt ist.
- Malware, die bereits auf deinem Computer ist. Wenn etwas deine Sitzung überwacht, nachdem du dich angemeldet hast, hat der Schlüssel seine Aufgabe bereits erfüllt und wurde umgangen.
- Diebstahl von Session-Cookies. Ein Angreifer, der ein aktives Sitzungstoken stiehlt, muss sich überhaupt nicht anmelden.
- Der Wiederherstellungsweg. Wenn der Support dazu überredet werden kann, dein Konto zurückzusetzen, ist dein Schlüssel irrelevant. Dies ist mittlerweile der häufigste Weg, wie kontogeschützte Konten kompromittiert werden.
- Physische Beschlagnahmung von dir und dem Schlüssel zusammen.
- Konten, die du vergessen hast zu schützen, denn dorthin werden Angreifer als Nächstes gehen.
Sie schließt die Haustür vollständig, und der Angreifer wechselt zu den Fenstern. Das ist immer noch eine enorme Verbesserung, die Haustür war der Ort, an dem fast der gesamte Verkehr stattfand, aber es ist ein Grund, den Rest dieser Seite weiterzulesen, anstatt hier aufzuhören.
06Wenn Sie keinen YubiKey möchten
YubiKey ist der Standard, weil er am weitesten unterstützt und am gründlichsten geprüft wird, nicht weil er die einzige Option ist. Wir nehmen von keinem dieser Anbieter Geld.
Nitrokey
Deutsch, mit Open-Source-Firmware und Hardware-Designs, die Wahl, wenn "Ich möchte es inspizieren können" Ihnen wichtiger ist als maximale Kompatibilität. Wird als Alternative im Abschnitt zu Sicherheitsschlüsseln des Leitfadens behandelt.
nitrokey.com ↗Token2
Schweizer, preiswert, FIDO2-fokussiert. Eine vernünftige Möglichkeit, zwei Schlüssel mit knappem Budget zu kaufen, ohne zu einer unbekannten Marke zu greifen.
token2.com ↗Ihr Telefon als Passkey
Moderne Telefone können als FIDO2-Authentifikator fungieren, was Ihnen den gleichen Phishing-Schutz kostenlos bietet. In einer bestimmten Hinsicht schwächer: Das Telefon ist das Gerät, das am wahrscheinlichsten abgenommen, entsperrt oder kompromittiert wird. Gut als zweiter Faktor, nicht als Ihr einziger.
07Fragen, die Leute tatsächlich stellen
Was passiert, wenn ich den Schlüssel verliere?
Nichts, wenn Sie es richtig gemacht haben: Sie verwenden den zweiten Schlüssel und entfernen dann den verlorenen aus jedem Konto und registrieren einen Ersatz. Genau deshalb besteht der Leitfaden darauf, zwei zu kaufen. Wenn nicht, greifen Sie auf Ihre Wiederherstellungscodes zurück, und wenn Sie auch diese nicht haben, sind Sie auf den Kontowiederherstellungsprozess des Anbieters angewiesen, der Wochen dauern kann und manchmal fehlschlägt.
Kann jemand, der meinen Schlüssel stiehlt, in meine Konten gelangen?
Nicht von allein. Der Schlüssel ist ein zweiter Faktor, die Person braucht weiterhin dein Passwort, und bei den meisten Konfigurationen zusätzlich die PIN des Schlüssels, die das Gerät nach wenigen Fehlversuchen sperrt. Ein gestohlener Schlüssel ist für dich ein Ärgernis, kein Sicherheitsvorfall. Entferne ihn trotzdem aus deinen Konten.
Muss ich ihn überallhin mitnehmen?
Nur wenn du dich irgendwo neu anmeldest. Die meisten Websites lassen dich ein Gerät als vertrauenswürdig markieren, sodass du den Schlüssel im Alltag selten berührst – typischerweise beim Einrichten eines neuen Rechners oder nach dem Löschen deiner Cookies. Die NFC-Modelle funktionieren durch Antippen eines Telefons, was die meiste Hürde beseitigt, die man sich vorstellt.
Ist ein Passkey dasselbe?
Ein Passkey ist dieselbe Kryptografie mit derselben Phishing-Resistenz. Der Unterschied ist, wo er liegt. Ein Passkey in deinem Telefon oder in einem Browserkonto wird über die Cloud eines Unternehmens synchronisiert, was praktisch ist und bedeutet, dass die Stärke dieses Kontos zur Stärke deines Passkeys wird. Ein Passkey auf einem Hardware-Schlüssel kann nicht synchronisiert, kopiert oder extrahiert werden. Für Konten, die wichtig sind, nutze Hardware.
Welche Konten sollten zuerst einen bekommen?
E-Mail, immer. Dann dein Passwort-Manager, dann alles, worüber du veröffentlichst, dann alles, wo Geld liegt. Wenn du zu diesem Thema dokumentierst oder berichtest, ist das Konto, von dem aus du postest, für einen Gegner mehr wert als deine Bank – es zu verlieren bedeutet, dass jemand anderes in deinem Namen spricht, was durch eine Rückbuchung nicht rückgängig gemacht werden kann.
08Quellen und weiterführende Literatur
- Yubico — offizielle Website und Modellvergleich yubico.com
- FIDO Alliance, der FIDO2 / WebAuthn-Standard fidoalliance.org
- Nitrokey — Open-Source-Alternative für Hardware und Firmware nitrokey.com
- EFF Surveillance Self-Defense — Kontosicherheit ssd.eff.org
- Privacy Guides — Multi-Faktor-Authentifizierung privacyguides.org
Zuletzt geprüft: 25. September 2026