Zwei-Faktor-Authentifizierung bei der Krypto-Börse: Warum SMS die schwächste Variante ist

Die in diesem Artikel bereitgestellten Informationen dienen ausschließlich zu Informationszwecken und stellen keine Finanzberatung dar. Investitionen in Kryptowährungen sind mit einem hohen Risiko verbunden.

Die meisten Menschen schützen ihr Börsenkonto mit dem Verfahren, das die Börse ihnen bei der Anmeldung als Erstes anbietet: ein sechsstelliger Code per SMS. Das ist besser als gar nichts, und es ist die schwächste Zwei-Faktor-Authentifizierung, die es gibt. Der Grund ist aber ein anderer, als die meisten Ratgeber schreiben.

SIM-Swapping – der Angriff, bei dem jemand deine Rufnummer auf seine eigene SIM-Karte übertragen lässt – geht seit drei Jahren zurück. Beim FBI-Beschwerdezentrum IC3 gingen 2022 noch 2.026 Meldungen mit 72,7 Mio. US-Dollar Schaden ein, 2023 waren es 1.075 mit 48,8 Mio. Dollar, 2024 dann 982 mit 26,0 Mio. Dollar und 2025 nur noch 971 mit 17,4 Mio. Dollar (IC3 Annual Report 2023 und 2025). Das eigentliche Problem ist ein anderes: Gegen einen Angreifer, der dich in Echtzeit auf eine gefälschte Anmeldeseite lockt, hilft weder ein SMS-Code noch die Authenticator-App. Beide geben ihm genau den Code, den er in diesem Moment braucht.

Das Wichtigste in Kürze

• Einmalcodes über das Telefonnetz gelten in der US-Richtlinie NIST SP 800-63B-4 (Juli 2025) als „restricted authenticator" – als einziges Verfahren überhaupt in dieser Kategorie.
• Das BSI stellt fest, dass SMS-TAN und TOTP-Apps gegen Echtzeit-Phishing über einen zwischengeschalteten Proxy nichts ausrichten.
• SIM-Swapping-Schäden sind laut FBI von 48,8 Mio. Dollar (2023) auf 17,4 Mio. Dollar (2025) gefallen – der Angriff ist rückläufig, aber nicht verschwunden.
• Phishing und Spoofing waren 2025 mit 191.561 Meldungen der häufigste gemeldete Deliktstyp beim FBI-Beschwerdezentrum IC3.
• Passkeys und FIDO2-Sicherheitsschlüssel sind an die Domain gebunden, für die sie erzeugt wurden. Eine gefälschte Seite bekommt schlicht keine Antwort.
• Wer nur ein einziges 2FA-Verfahren hinterlegt und das Gerät verliert, sperrt sich selbst aus. Die Reihenfolge beim Einrichten entscheidet.

Warum SMS die schwächste Zwei-Faktor-Authentifizierung ist

Ein SMS-Code verlässt deine Kontrolle in dem Moment, in dem er das Mobilfunknetz betritt. Er hängt an einer Rufnummer, und eine Rufnummer ist ein Verwaltungsvorgang beim Mobilfunkanbieter – kein kryptografisches Geheimnis.

Genau hier setzt SIM-Swapping an: Der Angreifer überzeugt den Anbieter, die Nummer auf eine neue SIM zu portieren, meist mit erbeuteten Personendaten oder mithilfe eines bestochenen Mitarbeiters. Danach landen alle Codes bei ihm.

Die US-Richtlinie NIST SP 800-63B-4 vom Juli 2025 hält an einer Einstufung fest, die das Verfahren schon in der Vorgängerfassung von 2017 trug: Die Übermittlung eines Einmalcodes über das Telefonnetz gilt als eingeschränkt zulässig – zum Zeitpunkt der Veröffentlichung als einziges Verfahren in dieser Kategorie. Gemeint ist dabei der Kanal, nicht nur SMS; Sprachanrufe fallen genauso darunter.

Wer es weiter einsetzt, muss laut Richtlinie eine Risikobewertung dokumentieren und mindestens ein Verfahren anbieten, das nicht eingeschränkt ist. Zusätzlich soll er Indikatoren wie SIM-Wechsel oder Rufnummernportierung beobachten.

Für dich als Nutzer heißt das schlicht: Wenn deine Börse etwas Besseres anbietet, ist SMS die Rückfallebene, nicht die erste Wahl.

Was die Zwei-Faktor-Authentifizierung per Authenticator-App leistet – und was nicht

Eine TOTP-App wie Aegis, Ente Auth oder der Authenticator deines Passwortmanagers erzeugt den Code auf dem Gerät selbst, aus einem geteilten Geheimnis und der aktuellen Uhrzeit. Der Code wird also nicht über einen fremden Kanal zugestellt und kann auf dem Transportweg nicht abgefangen werden. SIM-Swapping läuft dagegen ins Leere.

Das ist ein echter Fortschritt, und für die allermeisten Konten ist es der richtige Kompromiss aus Aufwand und Schutz.

Der blinde Fleck bleibt trotzdem. Das BSI formuliert es in seiner Bewertung der 2FA-Verfahren deutlich: E-Mail- und SMS-TAN-Verfahren sowie TOTP bieten keinen Schutz, wenn der zweite Faktor durch einen Echtzeit-Proxy des Angreifenden abgefangen werden kann.

Der Ablauf ist unspektakulär. Du klickst auf einen Link, landest auf einer Seite, die aussieht wie deine Börse, gibst Passwort und den sechsstelligen Code ein. Die gefälschte Seite reicht beides in derselben Sekunde an die echte Börse weiter und ist drin. Dein Code war gültig – nur nicht dort, wo du dachtest.

Zwei-Faktor-Authentifizierung mit Passkey oder Sicherheitsschlüssel

Passkeys und FIDO2-Sicherheitsschlüssel lösen genau dieses Problem, und zwar nicht durch einen besseren Code, sondern dadurch, dass es keinen Code mehr gibt.

Beim Einrichten erzeugt dein Gerät ein Schlüsselpaar. Der öffentliche Teil geht an die Börse, der private bleibt im Gerät oder auf dem Stick. Beim Anmelden signiert das Gerät eine Zufallszahl der Gegenstelle. Entscheidend ist, dass diese Signatur fest an die Domain gebunden ist, für die der Schlüssel angelegt wurde.

Kraken beschreibt den Mechanismus in seiner Dokumentation so, dass Betriebssystem und Browser sicherstellen, dass ein Passkey ausschließlich für die Website verwendet werden kann, für die er erstellt wurde. Eine nachgebaute Seite unter einer anderen Adresse fragt also ins Nichts – dein Gerät antwortet ihr gar nicht erst. Das BSI stuft Passkeys entsprechend als resistent gegen übliche Phishing-Angriffe ein.

Zwei Bauformen sind zu unterscheiden:

• Gerätegebundener Passkey oder Hardware-Sicherheitsschlüssel – der private Schlüssel verlässt das Gerät nie. Höchster Schutz, aber du brauchst zwingend einen zweiten Schlüssel als Ersatz.
• Synchronisierter Passkey – der Schlüssel liegt im Schlüsselbund von Apple, Google oder deinem Passwortmanager und ist auf allen deinen Geräten verfügbar. Bequemer, dafür hängt die Sicherheit am Schutz dieses Kontos.

Zwei-Faktor-Authentifizierung im Vergleich: welches Verfahren wogegen schützt

Die Spalte zum Echtzeit-Phishing ist die, auf die es ankommt. Alles außer der letzten Zeile lässt sich von einem Angreifer weiterreichen, der zwischen dir und der Börse sitzt – bei der Push-Bestätigung mit etwas mehr Aufwand, weil der Angreifer den Anmeldeversuch selbst auslösen muss.

Zwei-Faktor-Authentifizierung einrichten, ohne sich auszusperren

Der häufigste Schaden bei 2FA ist nicht der Angriff, sondern das verlorene Gerät. Wer den einzigen TOTP-Eintrag auf einem Telefon hatte, das im Meer liegt, steht vor demselben Problem wie ein Bestohlener – nur ohne Täter.

Die Reihenfolge, die das verhindert:

1. Erst den Ersatz, dann den Wechsel. Zweiten Sicherheitsschlüssel kaufen oder zweites Gerät mit derselben TOTP-App vorbereiten, bevor du SMS abschaltest.
2. Wiederherstellungscodes ausdrucken. Die meisten Börsen zeigen sie nur ein einziges Mal an. Auf Papier, an einen anderen Ort als das Gerät – nicht als Screenshot in der Fotomediathek.
3. Beide Verfahren hinterlegen, wo es geht. Viele Börsen erlauben mehrere 2FA-Methoden parallel. Passkey plus TOTP schlägt Passkey allein.
4. Erst danach SMS entfernen, falls die Börse das zulässt. Solange SMS aktiv bleibt, ist es der schwächste Weg ins Konto – und Angreifer nehmen immer den schwächsten.
5. Auszahlungsadressen auf eine Allowlist setzen. Damit läuft selbst ein erfolgreicher Einbruch ins Leere, wenn die Zieladresse nicht freigegeben ist.

Was die Zwei-Faktor-Authentifizierung nicht abdeckt

2FA schützt den Zugang zu einem Konto bei einem Dienstleister. Sie schützt nicht die Coins, die du selbst verwahrst – dort gibt es kein Konto und keine Anmeldung, sondern nur den privaten Schlüssel. Wie du den absicherst, steht ausführlich in unserem Ratgeber zur sicheren Aufbewahrung der Seed Phrase; Stahlplatte, Passphrase und Multisig lösen dort das, was 2FA auf der Börse löst.

Und sie schützt nicht davor, dass du selbst überweist. Die verbreitetste Masche nach dem MiCA-Stichtag arbeitet genau damit: eine angebliche Aufforderung der Börse, das Guthaben wegen neuer Regeln „in Sicherheit" zu bringen. Woran du diese Nachrichten erkennst, haben wir am Beispiel der Phishing-Aufforderungen zur Auszahlung auseinandergenommen. Wer beides sauber trennt – Kontoschutz hier, Verwahrung dort –, deckt den Großteil der realistischen Angriffe ab.

Wenn du ohnehin über einen Wechsel nachdenkst: Welche Anbieter in der EU eine MiCA-Zulassung haben und welche Sicherheitsfunktionen sie anbieten, steht im Überblick der regulierten Krypto-Börsen. Die Zulassung sagt nichts über die Qualität der 2FA aus – aber sie sagt, wem gegenüber du im Streitfall Ansprüche hast.

Häufige Fragen

Ist die Zwei-Faktor-Authentifizierung per SMS besser als gar keine? Ja, deutlich. Ein gestohlenes Passwort allein reicht damit nicht mehr aus. SMS ist die schwächste Stufe, nicht die nutzlose – wenn deine Börse nichts anderes anbietet, ist sie besser als der Verzicht.

Was passiert, wenn ich mein Telefon mit der Authenticator-App verliere? Ohne Wiederherstellungscodes oder ein zweites eingerichtetes Gerät bleibt nur der Support der Börse, mit Identitätsnachweis und Wartezeit. Deshalb gehören die Codes auf Papier, bevor du das Verfahren aktivierst.

Sind Passkeys sicher, wenn sie in der Cloud synchronisiert werden? Der Phishing-Schutz bleibt in beiden Bauformen gleich, weil er an der Domainbindung hängt. Beim synchronisierten Passkey verlagert sich das Risiko auf dein Apple-, Google- oder Passwortmanager-Konto – das braucht dann selbst starken Schutz.

Brauche ich 2FA auch für meine eigene Wallet? Nein, dort gibt es sie technisch nicht. Eine selbstverwahrte Wallet kennt kein Konto, das man sperren könnte, sondern nur den privaten Schlüssel. Was dort schützt, sind Passphrase, Multisig und ein sauber verwahrtes Backup.

Warum bietet meine Börse keinen Sicherheitsschlüssel an? FIDO2 kostet Umsetzungsaufwand, und viele Anbieter priorisieren es niedrig, weil die wenigsten Nutzer danach fragen. Prüf vor dem Einrichten, welche Verfahren dein Anbieter in den Sicherheitseinstellungen führt – die Auswahl unterscheidet sich stark.

Quellen

• FBI Internet Crime Complaint Center: 2025 IC3 Annual Report (PDF, SIM-Swap- und Phishing-Zahlen 2023–2025)
• FBI Internet Crime Complaint Center: 2023 IC3 Annual Report (PDF, SIM-Swap-Zahlen für 2022)
• NIST: SP 800-63B-4, Digital Identity Guidelines (PDF, Abschnitte zu eingeschränkten Authentifikatoren)
• BSI: Wie sicher und einfach sind Verfahren der Zwei-Faktor-Authentisierung?
• Kraken Support, Hilfeartikel „What is a Passkey?" (support.kraken.com/articles/what-is-a-passkey)