2FA bei Krypto-Börsen richtig einrichten: App, Passkey oder Hardware-Schlüssel?

Warum ein Passwort allein nicht reicht

Passwörter tauchen in Datenlecks auf, werden auf gefälschten Login-Seiten abgefangen oder schlicht erraten. Die Zwei-Faktor-Authentifizierung (2FA, das BSI sagt „Authentisierung“) verlangt zusätzlich einen zweiten Nachweis aus einer anderen Kategorie: Besitz (dein Handy, ein Sicherheitsschlüssel) oder Inhärenz (Fingerabdruck, Gesicht). Ein gestohlenes Passwort allein öffnet dann keine Tür mehr. Das BSI formuliert es unmissverständlich: Bietet ein Dienst 2FA an, sollte eines der Verfahren genutzt werden – und die Behörde rät, mit dem E-Mail-Konto anzufangen, weil darüber Passwörter anderer Dienste zurückgesetzt werden können. Bei einem Börsenkonto, hinter dem echtes Geld liegt, ist 2FA nicht optional.

Die Verfahren im Vergleich

Das BSI hat acht 2FA-Verfahren nach Sicherheit und Benutzbarkeit bewertet. Für Krypto-Börsen sind diese fünf relevant:

• SMS- oder E-Mail-Code: Bequem, aber die schwächste Stufe. Schützt laut BSI nicht vor Phishing-Angriffen in Echtzeit, bei denen eine gefälschte Seite deine Eingaben sofort weiterreicht – und SMS lassen sich per SIM-Swapping umleiten.
• Push-Bestätigung in der App (z. B. bei Bitvavo): Bequem und an dein Gerät gebunden. Regel: Bestätige nie eine Anfrage, die du nicht selbst gerade ausgelöst hast.
• Authenticator-App (TOTP nach RFC 6238): Die App erzeugt alle 30 Sekunden einen sechsstelligen Code aus einem geheimen Schlüssel, offline und ohne Mobilfunk. Solider Standard, aber ebenfalls nicht resistent gegen Echtzeit-Phishing.
• Passkey (FIDO2/WebAuthn): Ein Schlüsselpaar, dessen privater Teil dein Gerät nie verlässt. Der Browser signiert nur für die echte Domain – auf einer Phishing-Seite passiert schlicht nichts. Das BSI stuft Passkeys als resistent gegen übliche Phishing-Angriffe ein. Synchronisierte Passkeys liegen im Apple- oder Google-Schlüsselbund, gerätegebundene auf einem Hardware-Schlüssel.
• Hardware-Sicherheitsschlüssel (YubiKey, Google Titan, auch Ledger und Trezor): Ein gerätegebundener Passkey auf einem USB- oder NFC-Stick. Höchste Stufe, weil der Schlüssel weder kopiert noch per Phishing abgefragt werden kann.

SIM-Swapping: Warum SMS-Codes die schwächste Wahl sind

Beim SIM-Swapping bringen sich Angreifer laut BSI in den Besitz einer SIM-Karte des Opfers – etwa über eine mit gestohlenen Daten bestellte Ersatz- oder eSIM – und fangen dann die per SMS versendeten Codes ab. Der Bundesdatenschutzbeauftragte warnt, dass sich das Risiko erheblich verschärft, wenn dieselbe Nummer für SMS-TAN und Kontozugänge genutzt wird. Für ein Krypto-Konto, aus dem sich Guthaben in Minuten unwiderruflich abziehen lässt, ist das ein reales Szenario.

Bietet deine Börse nur SMS an – BISON tut das laut eigenem Hilfe-Center –, sichere wenigstens den Mobilfunkvertrag: Kundenkennwort beim Provider setzen, Benachrichtigung bei SIM-Bestellungen aktivieren und die Nummer nirgends öffentlich hinterlegen.

Was welche Börse anbietet (Stand 22.09.2026)

Wir haben die offiziellen Hilfe-Center der Anbieter ausgewertet. Nur was dort dokumentiert ist, steht hier – Drittseiten haben wir bewusst ignoriert:

• Kraken: Passkey (vom Anbieter empfohlen) oder Authenticator-App für den Login; zusätzlich FIDO2-Hardware-Schlüssel wie YubiKey, Trezor, Ledger oder Google Titan. SMS wird nicht angeboten. Ein separater „Master Key“ sichert Einstellungen und Wiederherstellung.
• Coinbase: Security Key (USB, NFC, Bluetooth), Passkey über iCloud- oder Google-Schlüsselbund, Push, SMS und Authenticator-App. 2FA ist verpflichtend. Coinbase weist darauf hin, verlorene Sicherheitsschlüssel nicht ersetzen zu können – zweiten Schlüssel einrichten.
• Binance: Passkeys in App und Web, USB- und NFC-Sicherheitsschlüssel; zusätzlich ein Anti-Phishing-Code für E-Mails.
• Bitvavo: Push-Bestätigung und/oder Authenticator-App, 2FA verpflichtend; für Krypto-Auszahlungen ist die Authenticator-App Pflicht. Recovery-Code bei Einrichtung.
• Bitpanda: Authenticator-App (TOTP, 30-Sekunden-Code) mit einmalig angezeigtem Recovery-Code. Passkeys oder Hardware-Schlüssel sind im Hilfe-Center nicht dokumentiert.
• BISON: Code per SMS plus Geräte-Erkennung; neue Geräte werden nach 90 Tagen erneut abgefragt. Authenticator-App, Passkey oder Hardware-Schlüssel werden nicht angeboten.

Schritt für Schritt: 2FA mit Authenticator-App einrichten

So läuft die Einrichtung bei praktisch jeder Börse:

• Eine Authenticator-App installieren, die ein verschlüsseltes Backup oder den Export der Schlüssel erlaubt – sonst sind bei einem Handywechsel alle Codes weg.
• In der Börse zu Sicherheit → Zwei-Faktor-Authentifizierung gehen und den QR-Code mit der App scannen. Der geheime Schlüssel wird nur einmal angezeigt.
• Backup- bzw. Recovery-Codes sofort aufschreiben und offline verwahren – nicht als Screenshot, nicht in der Cloud. Bitpanda zeigt den Recovery-Code nur bei der Einrichtung.
• Einmal aus- und wieder einloggen, um zu prüfen, dass Code und Uhrzeit des Handys stimmen (TOTP ist zeitbasiert).
• Zusätzliche Schutzfunktionen aktivieren, wo vorhanden: 2FA-Pflicht für Auszahlungen, Auszahlungs-Allowlist, Anti-Phishing-Code, Benachrichtigungen bei neuen Geräten.

Passkeys und Hardware-Schlüssel: die phishing-resistente Stufe

Bei Passkeys und FIDO2-Schlüsseln liegt der private Schlüssel auf deinem Gerät und wird nie übertragen. Der W3C-Standard WebAuthn legt fest, dass das Credential nur von der Domain genutzt werden kann, für die es erstellt wurde. Eine täuschend echte Kopie unter einer anderen Adresse bekommt keine gültige Signatur – deshalb laufen Phishing-Seiten ins Leere, selbst wenn du den Betrug nicht bemerkst. Kraken beschreibt Passkeys entsprechend als an die Identität der Website gebunden und damit sicher vor Phishing.

Für größere Bestände empfehlen wir einen Hardware-Schlüssel – und gleich zwei davon: einen im Alltag, einen als Backup an einem anderen Ort. Coinbase stellt klar, dass verlorene Schlüssel nicht ersetzt werden können; ohne Zweitschlüssel bleibt dann nur ein langwieriger Identitätsprozess.

Wiederherstellung planen, bevor du sie brauchst

Das BSI rät, schon bei der Aktivierung eines 2FA-Verfahrens zu prüfen, wie die Wiederherstellung funktioniert. Konkret: Backup-Codes offline und getrennt von der Seed-Phrase deiner Wallet aufbewahren, ein zweites Gerät oder einen zweiten Schlüssel registrieren, wo die Börse das erlaubt, und die hinterlegte Telefonnummer und E-Mail aktuell halten. Verlierst du das Handy ohne Backup, bleibt nur der Support-Weg mit erneuter Identitätsprüfung – das dauert Tage, in denen du nicht an dein Konto kommst.

Fünf Regeln für den Alltag

Kurz zusammengefasst:

• Immer die stärkste Methode wählen, die die Börse anbietet: Hardware-Schlüssel vor Passkey vor Authenticator-App vor Push vor SMS.
• 2FA auch für das E-Mail-Konto, das bei der Börse hinterlegt ist – es ist der Generalschlüssel für Passwort-Resets.
• Nie einen Code oder eine Push-Anfrage bestätigen, die du nicht selbst ausgelöst hast, auch nicht auf Bitten eines angeblichen Support-Mitarbeiters.
• Adresse der Börse als Lesezeichen speichern und nur darüber einloggen, nie über Links aus E-Mails oder Suchanzeigen.
• Backup-Codes und Zweitschlüssel so verwahren, dass du sie im Notfall findest – und niemand sonst.