Google Authenticator vs. YubiKey: Welche Authentifizierungsmethode ist sicherer?

Vergleichen Sie Google Authenticator und YubiKey, um zu verstehen, wie die einzelnen Authentifizierungsmethoden funktionieren, welche Sicherheitsstärken sie aufweisen, wie resistent sie gegen Phishing sind, welche Aspekte bei der Bereitstellung zu berücksichtigen sind und welche Option für Ihr Unternehmen am besten geeignet ist.

Passwörter allein reichen nicht mehr aus. Multifaktor-Authentifizierung (MFA) ist mittlerweile Standard, doch nicht alle MFA-Methoden sind gleich sicher. Zwei der am häufigsten verglichenen Optionen sind Google Authenticator, eine kostenlose Smartphone-App, und YubiKey, ein physischer Sicherheitsschlüssel. Beide fügen einen zweiten Faktor für die Anmeldung hinzu, funktionieren aber unterschiedlich und bieten Schutz vor ganz verschiedenen Bedrohungen.

Dieser Leitfaden erklärt detailliert, wie die einzelnen Systeme funktionieren, wo ihre Stärken liegen und wie Sie entscheiden, welches System in die Sicherheitsarchitektur Ihres Unternehmens gehört.

Was ist Google Authenticator?

Google Authenticator ist eine kostenlose, softwarebasierte Authentifizierungs-App von Google. Sie generiert zeitbasierte Einmalpasswörter (TOTP) – sechsstellige Codes, die alle 30 Sekunden aktualisiert werden und die Benutzer zusammen mit ihrem Passwort eingeben, um ihre Identität zu bestätigen.

Die TOTP-Authentifizierung funktioniert durch den Austausch eines geheimen Schlüssels zwischen App und Dienst während der Einrichtung. Beim Anmelden wendet die App den HMAC-SHA1-Algorithmus auf den gemeinsamen Schlüssel und den aktuellen Zeitstempel an. Das Ergebnis ist ein Code, den der Server unabhängig berechnet und vergleicht. Stimmen die Codes überein, wird der Zugriff gewährt.

Google Authenticator ist eine der weltweit am häufigsten eingesetzten Authentifizierungs-Apps. Sie funktioniert mit nahezu allen MFA-fähigen Diensten, ist kostenlos und benötigt lediglich ein Smartphone. Typische Anwendungsfälle reichen von der Absicherung persönlicher Google-Konten bis hin zu Unternehmensanwendungen, die TOTP-basierte MFA unterstützen.

Was ist ein YubiKey?

Ein YubiKey ist ein Hardware-Sicherheitsschlüssel des Herstellers Yubico. Es handelt sich um ein kleines Gerät, etwa so groß wie ein USB-Stick, das an einen USB-Anschluss angeschlossen wird, per NFC verbunden wird oder (bei einigen Modellen) über Lightning funktioniert. Zur Authentifizierung tippt oder drückt der Benutzer den Schlüssel, um seine Anwesenheit zu bestätigen.

YubiKey unterstützt mehrere Authentifizierungsprotokolle: FIDO2 / WebAuthn , FIDO U2F, PIV Smart Card, OpenPGP und Yubico OTP. Seine wichtigste moderne Funktion ist FIDO2/WebAuthn, das eine vollständig passwortlose Authentifizierung ermöglicht und eine hardwarebasierte, phishing-resistente Anmeldung gewährleistet.

Im Gegensatz zu Software-Authenticatoren, die Codes generieren, die ein Benutzer lesen und eingeben muss, führt YubiKey einen kryptografischen Challenge-Response-Austausch direkt zwischen dem Schlüssel und dem Authentifizierungsdienst durch. Es wird nie ein Code angezeigt oder manuell eingegeben. Dadurch ist er strukturell resistent gegen Phishing und das Abfangen von Anmeldeinformationen in Echtzeit.

Anwendungsfälle im Unternehmensbereich und bei hohen Sicherheitsanforderungen umfassen Finanzdienstleistungen, Regierungsbehörden, Gesundheitssysteme und alle Umgebungen, in denen regulatorische Rahmenbedingungen eine phishingresistente MFA vorschreiben (NIST SP 800-63B Level 2/3, FIPS 140-2/3).

Wie funktionieren Google Authenticator und YubiKey?

So funktioniert Google Authenticator

1. Während der Einrichtung generiert der Dienst einen gemeinsamen geheimen Schlüssel und zeigt ihn als QR-Code an.

2. Die Google Authenticator App scannt und speichert das Geheimnis.

3. Beim Login generiert die App einen TOTP-Code unter Verwendung des gemeinsamen Geheimnisses und des aktuellen Unix-Zeitstempels.

4. Der Benutzer gibt den Code innerhalb des 30-Sekunden-Fensters in das Anmeldeformular ein.

5. Der Server berechnet denselben Code unabhängig voneinander; stimmen die Codes überein, ist die Authentifizierung erfolgreich.

Die Schwachstelle: Der Code ist auf dem Bildschirm sichtbar, per Sprache oder Text übertragbar und kann bei einem Echtzeit-Phishing-Angriff abgefangen werden, bei dem ein Angreifer die Anmeldung über einen Proxy durchführt und den Code sofort verwendet.

So funktioniert der YubiKey

1. Der Dienst registriert den YubiKey während der Einrichtung und speichert den öffentlichen Schlüssel aus dem auf dem Gerät generierten Schlüsselpaar.

2. Beim Login sendet der Dienst eine kryptografische Herausforderung an den Browser.

3. Der Benutzer steckt den YubiKey ein oder tippt ihn an und berührt ihn (wodurch der Nachweis der Anwesenheit einer Person erbracht wird).

4. Der YubiKey signiert die Herausforderung mit seinem privaten Schlüssel, der das Gerät niemals verlässt.

5. Die Signatur wird mithilfe des gespeicherten öffentlichen Schlüssels verifiziert, auf den Zugriff gewährt wurde.

Der Sicherheitsvorteil: Der private Schlüssel wird niemals über das Netzwerk übertragen. Die signierte Herausforderung ist an den genauen Ursprung (die Domain) des Dienstes gebunden, sodass eine gefälschte Phishing-Website eine signierte Antwort erhält, die der echte Server nicht überprüfen kann; der Angriff schlägt somit auf Protokollebene fehl.

Vorteile und Nachteile von Google Authenticator

Vorteile von Google Authenticator

• Kostenlos: Es ist kein Hardwarekauf erforderlich, jedes Smartphone genügt.
• Einfach einzurichten: Die Registrierung per QR-Code dauert weniger als eine Minute.
• Universell unterstützt: Funktioniert mit praktisch jedem MFA-fähigen Dienst
• Sofortige Verfügbarkeit: Kein Versand, keine physische Vertriebslogistik
• Geringe Benutzerfreundlichkeit: Vertraute Benutzererfahrung für die meisten Nutzer

Nachteile von Google Authenticator

• Phishable: Ein 30-sekündiger Code kann abgefangen und in einem Echtzeitangriff wiedergegeben werden.
• Geräteabhängigkeit: Wenn ein Telefon verloren geht, kaputt geht oder gestohlen wird, wird der Zugriff auf das Konto kompliziert.
• Schultersurfing-Risiko: Die Codes sind auf dem Bildschirm sichtbar und können beobachtet werden.
• Keine Hardwarebindung: Der Authentifizierungsfaktor ist Software-Malware auf dem Gerät, die ihn extrahieren oder missbrauchen kann.
• Risiken der Cloud-Synchronisierung: Die Kontosicherung über das Google-Konto ist zwar praktisch, stellt aber ein potenzielles Sicherheitsrisiko dar.

Vor- und Nachteile des YubiKey

Vorteile des YubiKey

• Von Grund auf Phishing-resistent: Das kryptografische Challenge-Response-Verfahren ist ursprungsgebunden und auf einer gefälschten Website unbrauchbar.
• Physischer Besitz erforderlich: Ein Angreifer muss den Schlüssel physisch stehlen, um ihn auszunutzen.
• Kein Code zum Eingeben: Eliminiert menschliches Versagen und das Risiko des Abfangens von Code.
• FIPS-zertifizierte Modelle erhältlich: Erfüllt strenge staatliche und finanzielle Compliance-Anforderungen
• Unterstützt passwortlose Authentifizierung: FIDO2/WebAuthn ermöglicht die vollständig passwortlose Anmeldung
• Unterstützung mehrerer Protokolle: FIDO2, U2F, PIV, OpenPGP, OTP – flexibel für komplexe Unternehmensumgebungen

Nachteile des YubiKey

• Kosten: Hardware-Schlüssel kosten zwischen ca. 45 € und 130 € pro Stück, was bei diesem Umfang beträchtlich ist.
• Vertriebsaufwand: Der physische Versand und die Verwaltung von Schlüsseln für eine große Belegschaft erhöhen die betriebliche Komplexität.
• Verlustrisiko: Der Verlust des Schlüssels kann einen Benutzer aussperren; daher muss ein Ersatzschlüssel registriert werden.
• Nicht allgemein unterstützt: Ältere Legacy-Systeme unterstützen möglicherweise weder FIDO2 noch U2F.

Google Authenticator vs. YubiKey: Ein direkter Vergleich

Sicherheit

Google Authenticator bietet im Vergleich zu Passwörtern allein eine deutliche Sicherheitsverbesserung, da er die meisten automatisierten Credential-Stuffing- und Brute-Force-Angriffe blockiert. TOTP-Codes können jedoch in Echtzeit von Angreifern abgefangen und sofort verwendet werden.

YubiKey ist hardware- und herkunftsgebunden. Der private Schlüssel verlässt das Gerät nie, und die signierte Challenge-Response ist auf allen anderen Domains als der legitimen nutzlos. Dadurch werden Phishing-Angriffe auf der Authentifizierungsebene strukturell unmöglich.

Benutzerfreundlich

Google Authenticator ist bekannter und benötigt kein physisches Gerät. YubiKey erfordert zwar eine physische Interaktion (Einstecken oder Antippen), eliminiert aber das manuelle Auslesen des Codes. In der Praxis empfinden viele Nutzer die Einrichtung als schneller.

Kosten

Google Authenticator ist kostenlos. YubiKey verursacht Hardwarekosten pro Benutzer (45–130 €) zuzüglich Vertriebs- und Ersatzkosten.

Einrichtung und Bereitstellung

Google Authenticator lässt sich schnell und in großem Umfang über standardmäßige TOTP-Registrierungsprozesse bereitstellen. Die Bereitstellung von YubiKey erfordert die Verteilung physischer Schlüssel, die Registrierung von Benutzern und idealerweise die Registrierung eines Ersatzschlüssels pro Benutzer.

Wiederherstellung und Geräteverlust

Die Wiederherstellung von Google Authenticator hängt von den Kontosicherungsoptionen ab (Google-Konto-Synchronisierung, manuelle Sicherungscodes). Für die Wiederherstellung eines YubiKey ist ein zuvor registrierter Sicherungsschlüssel erforderlich; ohne einen solchen Schlüssel muss der Support kontaktiert werden, um den Zugriff wiederzuerlangen.

Phishing-Resistenz

Das ist der entscheidende Unterschied. Google Authenticator bietet nur geringen Schutz vor Phishing-Angriffen, und Echtzeit-Phishing-Proxys können TOTP-Codes abfangen und weiterleiten, bevor diese ablaufen. YubiKey hingegen bietet hohen Schutz vor Phishing-Angriffen: Die kryptografische Ursprungsbindung verhindert, dass die Codes auf einer anderen Domain erneut verwendet werden können, selbst wenn sie abgefangen werden.

Welches sollten Sie wählen?

Wählen Sie Google Authenticator, wenn...

• Sie müssen MFA schnell für eine große Nutzerbasis einführen, ohne dabei an Hardwarebudget zu mangeln.
• Ihr Bedrohungsmodell berücksichtigt keine ausgeklügelten Phishing-Angriffe in Echtzeit.
• Die Nutzer verwenden hauptsächlich Smartphones und benötigen ein vertrautes, reibungsloses Nutzererlebnis.
• Ihre Anwendungen unterstützen FIDO2/WebAuthn noch nicht.

Wählen Sie YubiKey, wenn...

• Ihre Organisation unterliegt Compliance-Rahmenwerken, die eine phishingresistente MFA vorschreiben (NIST 800-63B, FIPS 140-2, PCI DSS).
• Sie schützen Administratoren von privilegierten Konten, Finanzteams und Führungskräfte.
• Sie haben bereits gezielte Phishing-Kampagnen erlebt oder erwarten diese.
• Sie möchten die vollständig passwortlose Authentifizierung aktivieren.

Nutzen Sie beide für mehrschichtige Sicherheit

Viele Unternehmen setzen YubiKey für privilegierte Konten und Administratorzugriffe ein, während für die übrige Belegschaft Google Authenticator (oder ähnliche TOTP-Apps) verwendet wird. Dieser gestaffelte Ansatz passt das Sicherheitsniveau der Authentifizierungsmethode an die Sensibilität der zu schützenden Zugriffe an, ohne dass für alle Mitarbeiter zusätzliche Hardwarekosten anfallen.

Wie unterstützen MFA-Plattformen beide Authentifizierungsmethoden?

Organisationen setzen selten eine einheitliche Authentifizierungsmethode für alle ein. Unterschiedliche Benutzer, unterschiedliche Rollen und unterschiedliche Risikostufen erfordern unterschiedliche MFA-Optionen, die über eine zentrale Steuerungsebene verwaltet werden.

Eine zentralisierte MFA-Software ermöglicht es Administratoren, Google Authenticator und YubiKey parallel zu unterstützen, beide Methoden zu registrieren, Richtlinien festzulegen, welche Methode für welche Benutzergruppen erforderlich ist, und einen vollständigen Prüfpfad über jedes Authentifizierungsereignis zu führen.

Die adaptive MFA-Lösung geht noch einen Schritt weiter: Sie erfordert eine stärkere Authentifizierung (FIDO2-Hardwareschlüssel), wenn erhöhte Risikosignale vorliegen – beispielsweise bei einem neuen Gerät, einem ungewöhnlichen Standort oder einer privilegierten Ressource. Gleichzeitig ist TOTP für routinemäßige Anmeldungen mit geringem Risiko weiterhin möglich. Dadurch wird ein Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit geschaffen, anstatt eine binäre Entscheidung zu erzwingen.

Die Unterstützung passwortloser Authentifizierung ermöglicht es Organisationen, Passwörter für Benutzer mit FIDO2-fähigen Schlüsseln vollständig abzuschaffen, während TOTP als Ausweichlösung für Benutzer beibehalten wird, die noch keine Hardware registriert haben.

Für Organisationen, die regulatorischen Anforderungen unterliegen, sind Phishing-resistente MFA-Lösungen und FIDO2-Authentifizierungsfunktionen in moderne Identitätsplattformen integriert, wodurch die Einhaltung der Vorschriften möglich wird, ohne den Authentifizierungs-Stack von Grund auf neu aufbauen zu müssen.

Fazit

Google Authenticator und YubiKey verbessern die Sicherheit im Vergleich zu Passwörtern allein deutlich, operieren jedoch auf unterschiedlichen Ebenen des Bedrohungsmodells. Google Authenticator bietet eine komfortable und kostengünstige softwarebasierte Multi-Faktor-Authentifizierung (MFA), die für die meisten Standardanwendungsfälle geeignet ist. YubiKey hingegen bietet hardwarebasierte, phishing-resistente Authentifizierung für Umgebungen, in denen die Kosten eines erfolgreichen Angriffs – finanziell, regulatorisch oder reputationsbezogen – die Investition in Hardware übersteigen.

Die beste Antwort für die meisten Organisationen ist nicht das eine oder das andere, sondern beides, eingesetzt dort, wo es angebracht ist, und verwaltet über eine zentrale MFA-Plattform, die die Richtlinien im gesamten Authentifizierungsbereich einheitlich durchsetzt.

Demo buchen →

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen Google Authenticator und YubiKey?

Google Authenticator ist eine Software-App, die zeitbasierte Einmalpasswörter (TOTP) auf Smartphones generiert. YubiKey ist ein physischer Sicherheitsschlüssel, der kryptografische Challenge-Response-Authentifizierung durchführt. Beide bieten Multi-Faktor-Authentifizierung, YubiKey ist jedoch deutlich resistenter gegen Phishing und das Abfangen von Anmeldeinformationen in Echtzeit.

Ist YubiKey sicherer als Google Authenticator?

Ja, für die meisten Bedrohungsszenarien. YubiKey verwendet hardwaregebundene Kryptografie mit Ursprungsbindung, wodurch es Phishing-Websites unmöglich ist, Anmeldeinformationen abzufangen und erneut zu verwenden. Google Authenticator TOTP-Codes hingegen können bei Echtzeit-Phishing-Angriffen abgefangen und sofort missbraucht werden. Wenn Phishing-Schutz erforderlich ist, ist YubiKey die sicherere Wahl.

Kann YubiKey Google Authenticator ersetzen?

YubiKey kann Google Authenticator für Dienste ersetzen, die FIDO2/WebAuthn oder FIDO U2F unterstützen. Für Dienste, die nur TOTP unterstützen, kann alternativ die YubiKey Authenticator App (Yubicos eigene Software) verwendet werden, wobei das TOTP-Geheimnis auf dem physischen Schlüssel anstatt in einem Cloud-synchronisierten App-Speicher gespeichert wird. Ob ein vollständiger Ersatz möglich ist, hängt von den von Ihren Anwendungen unterstützten Authentifizierungsprotokollen ab.

Schützt YubiKey vor Phishing-Angriffen?

Ja. Die FIDO2/WebAuthn-Authentifizierung des YubiKey ist ursprungsgebunden: Die kryptografische Antwort ist an die exakte Domain des legitimen Dienstes gebunden. Wird ein Benutzer auf eine gefälschte Phishing-Seite weitergeleitet und versucht sich dort zu authentifizieren, stammt die vom YubiKey generierte Antwort von der Phishing-Domain und nicht vom echten Dienst, wodurch die Authentifizierung fehlschlägt. Dieser Schutz ist strukturell und setzt nicht voraus, dass der Benutzer den Phishing-Versuch erkennt.

Was ist besser für Unternehmen: YubiKey oder eine Authentifizierungs-App?

Für Unternehmen hängt die richtige Wahl vom Risikoniveau und den Compliance-Anforderungen ab. Organisationen, die Phishing-resistenten MFA-Vorschriften unterliegen (z. B. Behörden, Finanzdienstleister, Gesundheitswesen), sollten YubiKey zumindest für privilegierte Benutzer verwenden. Organisationen ohne strenge Compliance-Anforderungen können TOTP-Anwendungen für die allgemeine Belegschaft als ausreichend betrachten. Ein gestaffeltes Vorgehen – YubiKey für privilegierte Konten, TOTP für Standardbenutzer – ist gängig und effektiv.

Können Organisationen YubiKey und Google Authenticator gleichzeitig verwenden?

Ja, und die meisten MFA-Plattformen für Unternehmen unterstützen genau das. Eine zentrale MFA-Lösung kann Richtlinien für Benutzergruppen durchsetzen und beispielsweise YubiKey für Administratoren, Finanzteams und andere risikoreiche Rollen vorschreiben, während Google Authenticator für Standardbenutzer zugelassen wird. Adaptive MFA kann bei erhöhtem Risiko für einen Benutzer dynamisch auf Hardware-Schlüsselauthentifizierung umschalten.