Authenticator-App oder SMS: Was ist sicherer für 2FA?

Kurz gesagt: Codes aus einer Authenticator-App sind sicherer als Codes per SMS. Über das Mobilfunknetz wird nichts gesendet, wer deine Telefonnummer übernimmt, bekommt also deine Codes nicht. Beide Arten sind aber Einmalcodes, die du eintippst, und eine überzeugend gefälschte Anmeldeseite kann beide stehlen. Wo eine Website einen Passkey oder einen Sicherheitsschlüssel anbietet, ist das stärker als beides.

Warum SMS-Codes die schwächere Option sind

Eine SMS geht an deine Telefonnummer, nicht an dein Handy. Wer die Nummer kontrolliert, bekommt den Code.

SIM-Swapping und Rufnummernmitnahme durch Betrüger. Ein Betrüger bringt deinen Mobilfunkanbieter dazu, deine Nummer auf seine SIM-Karte oder zu einem anderen Anbieter zu übertragen. Die FCC erklärt, dass der Betrüger dann die privaten SMS und Anrufe des Opfers kontrolliert (FCC). Das FBI warnt, dass nach einem Swap Anrufe, SMS und andere Daten auf das Gerät des Kriminellen umgeleitet werden (FBI IC3).
Die Richtlinien der US-Regierung schränken sie ein. Die Richtlinien des NIST zur digitalen Identität (SP 800-63B-4, Juli 2025) führen Einmalcodes über das Telefonnetz als eingeschränkten („restricted“) Authentifikator. Dienste, die sie nutzen, sollen auf SIM-Wechsel und Rufnummernmitnahmen achten und müssen jedem Nutzer eine andere Option anbieten (NIST).
Große Anbieter wenden sich davon ab. Microsoft kündigt an, SMS für die Anmeldung bei privaten Microsoft-Konten und deren Wiederherstellung schrittweise abzuschaffen („start phasing out SMS“, Microsoft).

Warum Codes aus einer Authenticator-App besser sind

Eine Authenticator-App erzeugt jeden Code auf deinem Handy aus zwei Dingen: einem Einrichtungsschlüssel, den du einmal gescannt hast, und der aktuellen Uhrzeit. Der Code wird dir nie zugeschickt, deshalb:

bringt die Übernahme deiner Telefonnummer einem Angreifer nichts,
gibt es keine SMS, die abgefangen oder auf dem Sperrbildschirm gelesen werden kann, und
funktionieren die Codes auch ganz ohne Empfang. Google formuliert es so: Du kannst auch ohne Internetverbindung oder Mobilfunknetz Codes erzeugen (Google).

Das FBI empfiehlt starke Methoden der Multi-Faktor-Authentifizierung („strong multi-factor authentication methods“), darunter eigenständige Authentifizierungs-Apps (FBI IC3).

Wovor beide nicht schützen: Phishing

Beide Code-Arten tippst du selbst ein, und genau das ist die Schwachstelle. Eine gefälschte Anmeldeseite kann nach deinem Passwort und deinem aktuellen Code fragen und beides innerhalb von Sekunden an die echte Website weitergeben. Das NIST sagt es direkt: „OTP authentication is not phishing-resistant“ (die Authentifizierung mit Einmalpasswörtern ist nicht phishing-resistent, NIST, Abschnitt 3.1.4).

Was hilft:

Prüfe jedes Mal die Adressleiste, bevor du einen Code eintippst.
Lies niemals jemandem einen Code vor, der dich anruft, dir schreibt oder mailt, so offiziell er auch klingt.
Wo angeboten, nutze einen Passkey oder einen Hardware-Sicherheitsschlüssel. Sie sind an die Adresse der echten Website gebunden und funktionieren deshalb auf einer gefälschten Seite nicht. Das NIST stuft diese Art der kryptografischen Anmeldung als phishing-resistent ein.

Im direkten Vergleich

	SMS-Code	Authenticator-App	Passkey oder Sicherheitsschlüssel
Jemand übernimmt deine Telefonnummer	Bekommt deine Codes	Bekommt nichts	Bekommt nichts
Funktioniert ohne Empfang	Nein	Ja	Ja
Gefälschte Anmeldeseite	Kann den Code stehlen	Kann den Code stehlen	Funktioniert dort nicht
Du verlierst dein Handy	Neue SIM-Karte vom Anbieter holen	Hängt vom Backup der App ab, also Backup-Codes aufbewahren	Synchronisierte Passkeys kommen auf einem neuen Gerät zurück; bei einem Hardware-Schlüssel einen Ersatz bereithalten

Schalte die SMS-Alternative ab, wo es geht

Manche Websites behalten SMS als Ausweichmethode, auch nachdem du eine Authenticator-App eingerichtet hast. Bleibt der SMS-Weg offen, kann jemand, der deine Nummer übernimmt, ihn stattdessen nutzen. Sobald deine App und deine Backup-Codes eingerichtet sind, entferne die Telefonnummer aus den 2FA-Optionen, wenn die Website das erlaubt.

In Authenticator App - Novaz

Novaz erzeugt standardmäßige zeitbasierte Codes auf deinem iPhone. Die Einrichtungsschlüssel bleiben im Schlüsselbund des iPhone auf diesem Gerät und werden nie an Novaz gesendet. Eine Kopie geht nur dann in iCloud, wenn du das iCloud-Backup (PRO) aktivierst, und dann ist sie von Apple im iCloud-Schlüsselbund durchgehend verschlüsselt. Du kannst auch eine verschlüsselte Backup-Datei sichern (kostenlos). Du kannst die App mit Face ID oder einem Code sperren. Wie bei jeder Authenticator-App sind ihre Codes nicht phishing-resistent. Verlierst du das Handy und hast kein Novaz-Backup, bringen dich die Backup-Codes, die dir jede Website gibt, wieder rein. Bewahre sie also in jedem Fall auf. Mehr dazu unter Ist Novaz Authenticator sicher?