FACHBEITRAG · 24. FEBRUAR 2026
Passkeys und MFA: Warum der zweite Faktor allein nicht vor Phishing schützt
INSIGHT · 24. FEBRUARY 2026
Passkeys and MFA: Why a second factor alone does not stop phishing
Mehrfaktor-Authentisierung erhöht den Schutz eines Kontos. Dennoch sind nicht alle Verfahren gegenüber gefälschten Anmeldeseiten gleich widerstandsfähig. Entscheidend ist auch, ob ein Anmeldenachweis an den vorgesehenen Dienst gebunden wird.
Einmalcodes können weitergereicht werden
Ein auf einer täuschend ähnlichen Seite eingegebener Einmalcode kann unter bestimmten Angriffsbedingungen in Echtzeit an den echten Dienst weitergeleitet werden. Dass ein Code nur kurz gültig ist, verhindert dieses Vorgehen nicht grundsätzlich. Auch unüberlegt bestätigte Push-Anfragen können ein Risiko darstellen.
Phishing-resistente Verfahren auf Basis von FIDO und WebAuthn verwenden dagegen kryptografische Schlüssel und eine Bindung an den vorgesehenen Dienst. Der private Schlüssel wird bei der Anmeldung nicht als Passwort an die Webseite übertragen. Die konkrete technische Umsetzung und der Schutz des Endgeräts bleiben wichtig.
Passkeys brauchen einen geregelten Lebenszyklus
Zur Einführung gehören mehr Fragen als die reine Anmeldung: Wie werden neue Geräte registriert? Was geschieht bei Verlust? Welche Wiederherstellungsverfahren stehen bereit? Und wie werden ausgeschiedene Personen oder ausgemusterte Geräte berücksichtigt?
Wiederherstellung und Ausnahmen können schwächer sein als das reguläre Verfahren. Deshalb sollten Ersatzwege, Serviceprozesse und administrative Zugriffe gemeinsam betrachtet werden. Eine starke Hauptanmeldung nützt weniger, wenn ein leicht manipulierbarer Ersatzprozess sie umgeht.
Die Grenzen benennen
Phishing-Resistenz bedeutet keinen vollständigen Schutz gegen jede Kontoübernahme. Schadsoftware auf einem bereits angemeldeten Gerät oder gestohlene Sitzungstoken sind andere Angriffswege. Authentisierung, Geräteschutz, Sitzungsmanagement und nachvollziehbare Berechtigungen ergänzen sich.
Multi-factor authentication strengthens account protection. Yet not all methods are equally resistant to fake sign-in pages. It also matters whether an authentication credential is bound to the intended service.
One-time codes can be relayed
Under certain attack conditions, a one-time code entered on a convincing imitation page can be forwarded to the real service in real time. The fact that the code is valid only briefly does not fundamentally prevent this. Carelessly approved push requests can pose a risk as well.
Phishing-resistant methods based on FIDO and WebAuthn instead use cryptographic keys and a binding to the intended service. The private key is not sent to the website as a password during sign-in. The specific technical implementation and endpoint protection remain important.
Passkeys need a governed lifecycle
Deployment involves more questions than sign-in alone: How are new devices registered? What happens after a loss? Which recovery procedures are available? How are people who leave and retired devices handled?
Recovery and exceptions may be weaker than the regular method. Fallback routes, service processes and administrative access should therefore be considered together. A strong main sign-in is less useful if an easily manipulated fallback process bypasses it.
State the limits
Phishing resistance does not mean complete protection against every account takeover. Malware on an already signed-in device or stolen session tokens are different attack paths. Authentication, endpoint protection, session management and traceable permissions complement each other.