Passwörter & 2FA in der Familie: sicher, machbar, alltagstauglich – vom Passwortmanager bis zu Passkeys

Warum «ein Passwort für alles» heute nicht mehr reicht

Viele Angriffe passieren nicht, weil Familien «unvorsichtig» sind, sondern weil die digitale Umgebung komplex geworden ist: Dutzende Konten, viele Apps, ständige Anmeldungen. Das Bundesamt für Cybersicherheit (BACS), bis Anfang 2024 Nationales Zentrum für Cybersicherheit NCSC, empfiehlt deshalb zwei Dinge: für jeden Online-Dienst ein eigenes Passwort mit mindestens zwölf Zeichen aus Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen. Und wo immer möglich zusätzlich die Zwei-Faktor-Authentisierung.^[1]

Datenlecks und Phishing: so werden Passwörter gestohlen

Zwei typische Wege sind Datenlecks und Phishing. Bei einem Datenleck werden Passwörter (oder Passwort-Hashes) aus einem Dienst entwendet. Wenn ihr dasselbe Passwort an mehreren Orten nutzt, kann es direkt weiterverwendet werden – das nennt man «Credential Stuffing». Phishing funktioniert anders: Jemand bringt dich oder dein Kind dazu, das Passwort selbst einzugeben (z. B. über eine gefälschte Login-Seite oder eine «dringende» Nachricht). Phishing gehört heute zu den häufigen Betrugsformen. Eine Regel des BACS hilft im Familienalltag mehr als jede Technik: Login-Seiten nie über einen Link in einer Nachricht und nie über eine Google-Suche öffnen, sondern die Adresse selbst eintippen.^[1] Woran sich eine gefälschte Nachricht erkennen lässt, zeigt unser Ratgeber zu Phishing-Mails.

Warum 2FA/MFA der Gamechanger ist

2FA (oder MFA, Multi-Faktor-Authentifizierung) bedeutet: Neben dem Passwort braucht es einen zweiten Nachweis, z. B. einen Code aus einer App oder einen Hardware-Schlüssel. Der grosse Vorteil: Selbst wenn ein Passwort abgefischt wurde, ist das Konto oft trotzdem nicht zugänglich.

Ein Restrisiko bleibt allerdings. Einen Code, den du selbst eintippst, kann eine gefälschte Login-Seite gleich mit abfragen. Genau diese Lücke schliessen Passkeys: Ihr geheimer Schlüssel wird nie an die Website gesendet und ist kryptografisch an eine bestimmte Adresse gebunden.^[3]

Wichtig für Familien: 2FA ist keine «Strafe», sondern eine Art Sicherheitsgurt. Ja, es ist ein kleiner Zusatzschritt – aber er verhindert oft den grossen Schaden.

Der Familien-Workflow: so machen es viele Familien stressfrei

Ein alltagstauglicher Workflow ist besser als perfekte Theorie. Ziel ist: Ihr könnt euch sicher anmelden, ihr könnt euch nicht versehentlich aussperren, und Kinder lernen Schritt für Schritt gute Gewohnheiten – ohne Angst oder Scham, wenn mal etwas schiefgeht.

Passwortmanager auswählen 

Ein Passwortmanager ist für Familien oft der grösste Hebel gegen Chaos. Er erstellt lange, einzigartige Passwörter und speichert sie verschlüsselt. Das BACS empfiehlt ausdrücklich, Zugangsdaten in einem Passwortmanager zu verwalten.^[1] Daran ändern auch Passkeys nichts: Solange viele Plattformen sie noch nicht unterstützen, bleibt der Passwortmanager das Werkzeug, das den Alltag zusammenhält.^[4]

Achte bei der Auswahl auf familientaugliche Funktionen: gemeinsame Tresore oder geteilte Einträge (z. B. Streaming), getrennte Bereiche für jedes Familienmitglied, Geräte-Synchronisation, und idealerweise Notfallzugriff (damit ein Elternteil im Notfall Zugriff erhält, ohne dass Kinder alles teilen müssen). Ein guter Passwortmanager reduziert auch Konflikte: Statt «Wer hat schon wieder das Passwort geändert?» gibt es klare Zuständigkeiten.

Gemeinsame vs. persönliche Logins: wer bekommt was?

Familien streiten oft nicht über Sicherheit, sondern über Zuständigkeiten. Hilfreich ist eine einfache Regel: Was persönliche Daten enthält, ist persönlich; was ein Haushalt teilt, darf geteilt sein. Beispiele: E-Mail, Schulplattform, Messenger, Gaming-Account und Apple/Google-ID sollten in der Regel persönliche Konten sein. Streaming-Dienste oder eine Familien-Foto-App können je nach Anbieter sinnvoll geteilt werden. Beim Messenger lohnt sich zusätzlich ein Blick auf die Regeln im Klassenchat.

Für Kinder ist das auch entwicklungspsychologisch hilfreich: Ein eigenes Konto unterstützt das Verständnis für Privatsphäre, Identität und Verantwortung. Gleichzeitig brauchen Kinder je nach Alter noch viel Co-Regulation: Du setzt den Rahmen, erklärst Schritte, und ihr übt gemeinsam, statt «Mach einfach».

Backup-Codes und Recovery: wo sicher aufbewahren?

2FA ist nur dann familienfreundlich, wenn ihr euch nicht aussperrt. Viele Dienste geben bei 2FA-Einrichtung Backup-Codes (Einmal-Codes für den Notfall). Diese sind Gold wert – und sollten wie ein Haustürschlüssel behandelt werden.

Bewährte Lösung: Backup-Codes in einem separaten sicheren Ort ablegen, nicht nur im Handy. Praktisch ist ein verschlüsselter Eintrag im Passwortmanager mit klarer Beschriftung («Backup-Codes – Konto X – Datum»). Alternativ: ausdrucken und in einem verschlossenen Ordner/Tresor zu Hause aufbewahren. 

2FA richtig aktivieren

Der häufigste Fehler ist nicht «zu wenig Technik», sondern die Reihenfolge: Erst 2FA aktivieren, dann merken, dass die Wiederherstellung fehlt. Plane 20 Minuten in Ruhe ein, am besten wenn Kinder nicht gleichzeitig etwas brauchen.

Für E-Mail zuerst, dann Social Media, dann Shopping/Banking

Starte bei der E-Mail-Adresse, die als «Schlüssel» für Passwort-Resets dient. Wenn jemand Zugang zu eurer E-Mail bekommt, kann er häufig viele andere Konten übernehmen. Danach kommen Social Media und Messenger (wegen Identitätsmissbrauch), dann Shopping, Zahlungsdienste und Banking.

Und falls doch einmal etwas schiefgeht: Bei einem gehackten E-Mail-Konto reicht ein neues Passwort nicht. Prüfe zusätzlich, ob jemand eine Weiterleitungsregel eingerichtet hat, sonst liest die angreifende Person weiter mit.^[2] Was in den ersten Minuten sonst zählt, steht in unserem Cyber-Notfallplan.

SMS vs. Authenticator-App: was ist besser für Familien?

SMS-Codes sind besser als gar keine 2FA, aber sie haben Schwächen (z. B. Angriffe auf Mobilfunknummern oder wenn das Handy gerade keinen Empfang hat). Eine Authenticator-App (TOTP) ist in vielen Situationen robuster und funktioniert auch offline. Für Familien ist oft entscheidend: Wer verwaltet das Gerät mit dem zweiten Faktor?

Ein praxistauglicher Kompromiss: Für Kinderkonten kann 2FA zunächst über das Eltern-Gerät laufen (wenn das Kind noch jung ist) – aber mit klarer Absprache, damit das Kind nicht bei jeder Anmeldung «heimlich schnell» dein Handy nimmt. Ab einem Alter, in dem Kinder ihr Gerät selbständig und zuverlässig nutzen, ist ein eigener zweiter Faktor sinnvoll. Beim Einrichten gilt: mindestens zwei Wiederherstellungswege aktivieren (z. B. Authenticator plus Backup-Codes oder zusätzlich ein zweites Gerät), damit ein Geräteverlust nicht zur Kontosperre führt.

Passkeys: anmelden ganz ohne Passwort

Immer mehr Dienste bieten inzwischen Passkeys an. Ein Passkey ist ein digitaler Schlüssel aus zwei Teilen: Der geheime Teil bleibt auf deinem Gerät und wird mit PIN, Fingerabdruck oder Gesichtserkennung entsperrt, der öffentliche Teil liegt beim Dienst.^[3] Taucht dieser öffentliche Teil in einem Datenleck auf, nützt er niemandem.

Für Familien gibt es zwei Haken. Passkeys hängen am Gerät und lassen sich nicht so einfach teilen wie ein Eintrag im gemeinsamen Tresor. Und sie werden betriebssystemspezifisch verwaltet: Zwischen Apple- und Windows-Welt braucht es Umwege, unter Linux funktioniert vieles gar nicht.^[3] Praktikabel ist deshalb ein Nebeneinander. Aktiviert Passkeys dort, wo sie angeboten werden, und behaltet für alles Übrige Passwortmanager plus 2FA.

Kinderaccounts: Google/Apple & Geräte-Profile

Wenn Kinder ein Gerät nutzen, ist der «Mama-Account» als Abkürzung verständlich – aber langfristig riskant. Ihr vermischt Käufe, Kontakte, Fotos, Standortdaten und Login-Wiederherstellungen. Das kann zu Datenschutzproblemen, Streit und im Ernstfall zu Sicherheitslücken führen.

Separate Kinderprofile statt «Mama-Account»

Besser: ein separates Kinderprofil bzw. eine eigene Kinder-ID. So lassen sich Passwörter, App-Rechte und Inhalte altersgerecht steuern, ohne dass dein persönlicher Account ständig exponiert ist. 

Für die Familie bringt das drei Vorteile: Erstens kannst du Sicherheitsfunktionen (inklusive 2FA und Recovery) sauber pro Person einrichten. Zweitens lernen Kinder, dass digitale Identitäten etwas Eigenes sind. Drittens wird das Umstellen später (z. B. neues Smartphone, neue Schule) viel weniger mühsam.

Kauf-/Abo-Schutz und altersgerechte Freigaben

Im Familienalltag sind unbeabsichtigte Käufe ein Klassiker. Lege fest, dass App-Käufe und Abos nur mit Freigabe laufen (z. B. über Familienfreigaben/Elternfreigaben im jeweiligen Ökosystem) und sichere das Zahlungsprofil mit einem eigenen starken Passwort und 2FA ab. Präventionsbotschaften wirken bei Kindern besser, wenn sie konkret sind: «Wir schützen dich vor Kostenfallen und vor Leuten, die dich unter Druck setzen wollen.»

Auf Spielkonsolen funktioniert das nach derselben Logik: ein PIN-geschütztes Elternkonto und altersgerechte Freigaben. Wie sich das bei Wii, Xbox und PlayStation einrichten lässt, steht in unseren Tipps zu Spielkonsolen.

Mini-Checkliste: 30 Minuten Familien-Cyberhygiene pro Monat

Du musst nicht alles auf einmal perfekt machen. Eine kurze, regelmässige Routine ist wirksamer als ein grosses Projekt, das nie stattfindet. Diese drei Schritte passen in 30 Minuten und helfen euch, Sicherheit als normalen Teil des Familienalltags zu leben.

• Passwort-Check: Gibt es irgendwo noch «ein Passwort für alles»? Dann zuerst bei der E-Mail ändern und im Passwortmanager speichern. Prüft auch, ob wichtige Konten 2FA aktiviert haben und ob Backup-Codes vorhanden sind. Mit dem Datenleck-Check von iBarry seht ihr ausserdem, ob eure E-Mail-Adresse in einem bekannten Datenabfluss auftaucht.^[2]
• Geräte-Updates: Auf allen Geräten Updates installieren (Betriebssystem und Apps). Viele Angriffe nutzen bekannte Sicherheitslücken; Updates schliessen diese Lücken oft automatisch.
• Verdächtige Nachrichten besprechen: Nehmt euch 10 Minuten für Beispiele: «Was wäre verdächtig?» «Was machen wir, wenn jemand Druck macht?» Ein Satz taugt als Familienregel: Offizielle Stellen fragen nie nach Passwörtern, Codes oder Zahlungen.^[1] Wer Druck macht, will genau das erreichen.

Wenn du nur eine Sache mitnimmst: Ein Passwortmanager plus 2FA für die wichtigste E-Mail ist ein enormer Schutzgewinn. Alles Weitere könnt ihr Schritt für Schritt nachziehen – und Kinder dabei als Lernende begleiten, nicht als «Risikoquelle».

Quellen

1. Bundesamt für Cybersicherheit BACS: Erste Schritte (abgerufen am 23.08.2026)
2. Bundesamt für Cybersicherheit BACS: Konto gehackt oder Daten abgeflossen – Was nun? (abgerufen am 23.08.2026)
3. eBanking – aber sicher! (Hochschule Luzern): Passkeys (abgerufen am 23.08.2026)
4. eBanking – aber sicher! (Hochschule Luzern): Passwortmanager, 06.02.2025 (abgerufen am 23.08.2026)