2FA-Code funktioniert nicht? Warum ein Authenticator-Code abgelehnt wird und was hilft

Das erwischt bei der Einrichtung die meisten. Eine Website erstellt jedes Mal ein neues Geheimnis — und einen neuen QR-Code —, wenn ihre 2FA-Einrichtungsseite neu geladen, erneut geöffnet oder von vorn begonnen wird. Das Hilfe-Center von Remote beschreibt genau das: Jeder zuvor gescannte QR-Code funktioniert nicht mehr. Ihr Authenticator zeigt weiterhin Codes für den ersten QR-Code, die Website erwartet jetzt Codes für den neuen, und nichts auf dem Bildschirm verrät Ihnen, dass sie nicht mehr zusammenpassen.

Lösung: Starten Sie die 2FA-Einrichtung auf der Website erneut und bleiben Sie auf dieser Seite. Fügen Sie den QR-Code hinzu, der jetzt auf dem Bildschirm ist — mit unserer Erweiterung über „Konto hinzufügen“ → „QR-Code“ → „QR vom Bildschirm scannen“ — und geben Sie den angezeigten Code sofort auf der Website ein, ohne die Seite neu zu laden oder zu verlassen. Speichern Sie dann die Backup-Codes, die die Website anbietet.

Dasselbe passiert, wenn Sie die 2FA aus- und wieder einschalten oder auf „Authenticator-App ändern“ klicken: Der alte Eintrag in Ihrer App funktioniert nicht mehr, und nur der neue QR-Code zählt.

Nach einem zweiten Einrichtungsversuch steht dieselbe Website oft zweimal in der Liste, unter demselben Namen. Nur der Eintrag aus dem zuletzt hinzugefügten QR-Code funktioniert — der ältere gehört zu einem QR-Code, den die Website bereits verworfen hat. Während der Einrichtung will die Website immer den Code des Kontos, das Sie gerade hinzugefügt haben.

Dieselbe Verwechslung passiert mit zwei Konten auf einer Website — etwa einem privaten und einem beruflichen Google-Konto. Googles eigener Rat bei einem falschen Code lautet, zu prüfen, ob der Code für den richtigen Dienst und das richtige Konto ist. Achten Sie auf den Namen unter dem Code, nicht nur auf das Logo.

Lösung: Nehmen Sie den neuesten Eintrag. Sobald ein Code daraus akzeptiert wurde, können Sie den alten löschen — exportieren Sie vorher ein Backup („Einstellungen“ → „Exportieren“), falls Sie den falschen erwischen.

Ein Authenticator zeigt nur Codes für die Konten, die zu ihm hinzugefügt wurden. Haben Sie die 2FA für eine Website vor Monaten mit Google Authenticator, Microsoft Authenticator oder einem alten Handy aktiviert, liegen die Codes dort — ein Eintrag, den Sie später woanders hinzufügen, passt nicht, es sei denn, er stammt aus genau demselben QR-Code.

Lösung: Nehmen Sie den Code aus der App, die Sie bei der Einrichtung benutzt haben. Um das Konto umzuziehen, exportieren Sie es entweder aus dieser App — der Export-QR-Code von Google Authenticator lässt sich direkt in unsere Erweiterung importieren, siehe Import aus Google Authenticator — oder Sie melden sich an, öffnen die 2FA-Einstellungen der Website und richten den Authenticator neu ein, diesmal mit der neuen App. Behalten Sie die alte App, bis ein Code aus der neuen akzeptiert wurde. Mehr dazu unter 2FA auf ein neues Handy übertragen.

Nicht jedes sechsstellige Feld wartet auf Ihren Authenticator. Viele Websites schicken einen Code per SMS oder E-Mail — bei der Anmeldung oder um Ihre Adresse zu bestätigen, bevor die 2FA überhaupt aktiv ist —, und dort funktioniert nur dieser Code. Das Hilfe-Center von Remote sagt dasselbe: Ein an Ihre E-Mail-Adresse gesendeter Code ist kein 2FA-Code aus einer Authenticator-App. Steht auf der Seite „Wir haben einen Code an … gesendet“, schauen Sie in Ihre Nachrichten oder Ihr Postfach, nicht in die App.

Manche Anmeldeseiten fragen stattdessen nach einem Backup-Code (auch Wiederherstellungscode genannt): einem der Einmalcodes, die Ihnen die Website bei der Einrichtung der 2FA als Liste gegeben hat. Diese stehen auf dem Papier oder in der Datei, wo Sie sie gespeichert haben, nicht im Authenticator — und sie sind keine geheimen Schlüssel; wer einen davon als Konto in einen Authenticator einträgt, bekommt Codes, die keine Website akzeptiert. Verloren? Google zum Beispiel lässt Sie neue Backup-Codes in den Einstellungen der Bestätigung in zwei Schritten erzeugen, solange Sie noch angemeldet sind.

Lösung: Lesen Sie den Text über dem Feld. „Authenticator-App“, „Bestätigungs-App“ oder „Code aus Ihrer App“ bedeutet den Authenticator; alles andere bedeutet die SMS, die E-Mail oder die Liste der Backup-Codes.

Die meisten Authenticator-Codes wechseln alle 30 Sekunden — Microsofts FAQ zur eigenen App sagt dasselbe. Ein Code, der in seinen letzten ein, zwei Sekunden eingetippt wird, kann bei der Website ankommen, nachdem er schon gewechselt hat.

Lösung: Ist der Timer fast abgelaufen, warten Sie auf den nächsten Code und geben Sie ihn sofort ein. In unserer Erweiterung wird ein Code per Klick kopiert, sodass Sie ihn einfügen statt eintippen können.

Haben Sie das Konto durch Eintippen des geheimen Schlüssels hinzugefügt statt durch Scannen des QR-Codes, ergibt ein einziges falsches Zeichen einen anderen Schlüssel. Seine Codes sehen völlig normal aus und werden einfach abgelehnt.

Lösung: Kopieren Sie den Schlüssel auf der Einrichtungsseite der Website — derselben, nicht neu geladenen — noch einmal und fügen Sie ihn in unseren TOTP-Code-Generator ein, der in Ihrem Browser läuft und nichts speichert. Vergleichen Sie seinen Code mit dem in Ihrem Authenticator. Weichen sie ab, ist der Schlüssel in Ihrem Authenticator falsch: Löschen Sie diesen Eintrag und fügen Sie ihn neu hinzu, indem Sie den Schlüssel einfügen oder den QR-Code scannen. Stimmen sie überein und die Website lehnt sie trotzdem ab, gehen Sie zurück zur ersten Ursache.

Einige Dienste verwenden acht Ziffern, SHA256 oder einen Zeitraum von 60 Sekunden statt der üblichen sechs Ziffern, SHA1 und 30 Sekunden. Ein QR-Code enthält diese Einstellungen, ein von Hand eingegebener Schlüssel nicht — stellen Sie sie also so ein, wie die Website es angibt; siehe Algorithmus, Ziffern und Zeitraum.

Ein Code entsteht aus dem geheimen Schlüssel und der aktuellen Uhrzeit, daher erzeugt eine App auf einem Gerät mit falsch gehender Uhr Codes, die abgelehnt werden. Bei einer Handy-App schalten Sie in den Einstellungen des Handys die automatische Einstellung von Datum und Uhrzeit ein. Google Authenticator verlässt sich auf die Uhr des Handys — Google hat die eigene Zeitkorrektur in Version 7.0 entfernt.

Bei 2FA Authenticator müssen Sie nichts ändern: Die Erweiterung gleicht die Uhrzeit selbst mit mehreren Quellen ab und korrigiert die Codes, wenn die Uhr Ihres Computers falsch geht. Nur wenn ihr das nicht gelingt, zeigt sie eine Warnung zur Uhrzeit an — folgen Sie dann den Schritten in der FAQ.

Melden Sie sich auf anderem Weg an — mit einem Backup-Code, einer SMS oder einem E-Mail-Code, je nachdem, was die Website anbietet —, öffnen Sie dann ihre 2FA-Einstellungen, schalten Sie den Authenticator aus und wieder ein und fügen Sie den neuen QR-Code hinzu. Unsere Anleitungen zeigen, wo diese Einstellung bei 108 Diensten zu finden ist.

Löschen Sie keine Einträge und installieren Sie Ihren Authenticator nicht neu in der Hoffnung, einen Code zu reparieren: Die Codes ändern sich dadurch nicht, und Sie verlieren womöglich den einen Eintrag, der funktioniert. Wer unsere Erweiterung deinstalliert, löscht auch ihre automatischen Kopien — haben Sie bereits ein Konto gelöscht, stellen Sie es aus einer automatischen Kopie wieder her.