Die Zwei-Faktor-Authentifizierung verlangt für eine Anmeldung zwei Nachweise aus unterschiedlichen Kategorien: etwas, das man weiß, etwas, das man besitzt, und etwas, das man ist. In der Praxis ergänzt sie das Passwort meist um einen Einmalcode aus einer App, einen Sicherheitsschlüssel am USB-Anschluss oder eine Bestätigung per Fingerabdruck. Der Schutzeffekt ist erheblich, weil ein gestohlenes Passwort allein wertlos wird; Angreifer brauchen zusätzlich das Gerät.
Nicht alle Verfahren sind gleich stark: Codes per SMS lassen sich über den Austausch der SIM-Karte oder über Weiterleitungen abfangen, während Verfahren nach dem FIDO2-Standard an die aufgerufene Adresse gebunden sind und deshalb auch gegen Phishing-Seiten schützen. Eine verbreitete Angriffsform gegen App-Bestätigungen ist die MFA-Ermüdung, bei der Angreifer so lange Anmeldeversuche auslösen, bis jemand entnervt bestätigt.
Für Unternehmen ist 2FA der Einzelschritt mit dem besten Verhältnis von Aufwand zu Wirkung, insbesondere für Webmail, Fernzugänge, Verwaltungszugänge zu Website und Hosting sowie Onlinebanking. Rechtlich zählt sie zu den angemessenen technischen Maßnahmen der Datensicherheit (Art. 32 DSGVO), im Zahlungsverkehr ist eine starke Kundenauthentifizierung ohnehin vorgeschrieben.