2FA auf ein neues Handy übertragen — und was tun, wenn das alte verloren ist

1. Prüfen Sie, welche Apps Ihre Codes enthalten. Viele haben einige in Google Authenticator und andere in Microsoft Authenticator oder Authy, und jede App zieht getrennt um.

2. Übertragen Sie sie mit der jeweiligen Methode der App, siehe unten. Ein Konto, das sich nicht übertragen lässt, können Sie neu einrichten, solange Sie sich noch anmelden können: Schalten Sie seine 2FA per Authenticator-App aus und wieder ein oder suchen Sie nach „Authenticator-App ändern“. Unsere Anleitungen zeigen, wo diese Einstellung bei 108 Diensten zu finden ist — darunter Google, Microsoft und GitHub.

3. Melden Sie sich auf dem neuen Handy mit den neuen Codes bei Ihren wichtigsten Konten an — zuerst bei Ihrem E-Mail-Konto, denn darüber werden alle anderen Konten wiederhergestellt.

4. Speichern Sie für die wichtigen Konten neue Wiederherstellungscodes, und zwar nicht auf dem Handy.

5. Erst dann löschen Sie das alte Handy. Es eine Woche in der Schublade zu lassen, kostet nichts und rettet Sie, falls Sie ein Konto übersehen haben.

Google Authenticator. Öffnen Sie auf dem alten Handy Menu → Transfer codes → Export codes (Menü → Codes übertragen → Codes exportieren), wählen Sie die Konten aus, und ein QR-Code erscheint; öffnen Sie auf dem neuen Handy Menu → Transfer codes → Import codes (Menü → Codes übertragen → Codes importieren) und scannen Sie ihn. Ist die Synchronisierung mit dem Google-Konto aktiv, holt die Anmeldung mit demselben Google-Konto auf dem neuen Handy die Codes von selbst herüber, ob mit oder ohne altes Handy. Ohne Synchronisierung brauchen Sie für den Export-QR-Code das alte Handy in der Hand.

Microsoft Authenticator. Schalten Sie auf dem alten Handy das Cloud-Backup ein — unter Android nutzt es ein privates Microsoft-Konto, auf dem iPhone iCloud — und stellen Sie es auf dem neuen Handy wieder her. Das Backup lässt sich nur auf einem Handy derselben Art wiederherstellen: iPhone zu iPhone, Android zu Android. Codes für andere Dienste wie Amazon oder Facebook kommen unverändert zurück; bei Geschäfts- oder Schulkonten kommt nur der Kontoname zurück, und Sie melden sich bei jedem erneut an. Geht das nicht, kann der Helpdesk Ihrer Organisation Ihre Einstellungen zurücksetzen, sodass Sie das neue Handy bei der nächsten Anmeldung registrieren.

Authy. Authy-Konten gehören zu einer Telefonnummer. Installieren Sie Authy auf dem neuen Handy, geben Sie die Nummer ein und bestätigen Sie das neue Gerät vom alten aus oder per SMS oder Anruf. Ihre Tokens kommen vom alten Gerät herüber oder aus den verschlüsselten Backups von Authy, falls diese aktiv waren — und dafür brauchen Sie Ihr Backup-Passwort, das Twilio nie erhält und nicht wiederherstellen kann. Authy kann nicht in eine andere App exportieren; wer Authy verlässt, richtet also jedes Konto neu ein.

2FAS Auth. Ist 2FAS Backup aktiv, stellt dessen Synchronisierung — Google Drive unter Android, iCloud auf dem iPhone — Ihre Tokens auf einem neuen Handy derselben Art wieder her, das mit demselben Konto angemeldet ist. Zwischen Android und iPhone exportieren Sie auf dem alten Handy eine passwortgeschützte Backup-Datei und importieren sie auf dem neuen. Wenn Sie ein Backup-Passwort festlegen, kann 2FAS es nicht wiederherstellen.

2FA Authenticator (unsere). Die Erweiterung ist nicht auf Ihrem Handy, ein neues Handy ändert für sie also nichts. Das macht sie während eines Umzugs nützlich: Solange die Codes in Chrome liegen, können Sie sich am Computer bei jedem Dienst anmelden und die 2FA auf dem neuen Handy ohne das alte einrichten. Codes in eine Handy-App übertragen kann sie nicht, allerdings ist ihr Export als otpauth://-Links ein Format, das fast jeder andere Authenticator lesen kann (Backup). Um sie auf einen anderen Computer zu übertragen, nutzen Sie die Chrome-Synchronisierung oder eine Exportdatei — siehe mehrere Geräte und Wiederherstellen.

Zuerst das Ehrliche. Ein 2FA-Code wird aus einem geheimen Schlüssel berechnet, der in der App gespeichert ist. Lag dieser Schlüssel nur auf dem verlorenen Handy, ist er weg, und niemand kann ihn neu erzeugen — nicht der Hersteller der App, keine Reparaturwerkstatt und auch nicht wir: 2FA Authenticator erhält nie die geheimen Schlüssel von irgendjemandem. Zurück hinein bringt Sie der Dienst, bei dem Sie sich anmelden. Gehen Sie diese Punkte der Reihe nach durch.

1. Prüfen Sie, ob eine Kopie überlebt hat. Google Authenticator mit Synchronisierung über das Google-Konto: auf dem neuen Handy installieren und anmelden. Microsoft Authenticator mit Cloud-Backup: auf einem Handy derselben Art wiederherstellen. Authy mit Backups: installieren, Nummer eingeben, per SMS oder Anruf bestätigen, dann das Backup-Passwort eingeben. 2FAS mit Synchronisierung: 2FAS Backup mit demselben Google- oder iCloud-Konto einschalten. Haben Sie die Konten auch zu 2FA Authenticator hinzugefügt, sind die Codes noch in Chrome auf Ihrem Computer.

2. Nutzen Sie die Wiederherstellungscodes des Dienstes. Die meisten Dienste geben beim Aktivieren der 2FA einen Satz Einmalcodes aus. Google gibt zehn Backup-Codes, die jeweils einmal funktionieren; GitHub nennt sie Recovery Codes (Wiederherstellungscodes). Geben Sie einen davon dort ein, wo die Website nach dem 2FA-Code fragt.

3. Versuchen Sie eine andere Anmeldemethode. Einen Sicherheitsschlüssel oder Passkey, eine SMS an eine Nummer, die Sie noch haben, oder eine Abfrage auf einem anderen Gerät, das noch angemeldet ist. GitHub zum Beispiel akzeptiert statt der verlorenen App einen Passkey oder Sicherheitsschlüssel.

4. Beantragen Sie beim Dienst die Kontowiederherstellung. Sie ist absichtlich langsam. Google stellt Fragen zum Konto, und es klappt am besten von einem Gerät und Ort aus, von dem Sie sich üblicherweise anmelden. Coinbase verlangt ein Foto Ihres Ausweises und braucht bis zu 24 Stunden (Coinbase-2FA-Anleitung). Ein Geschäfts- oder Schulkonto von Microsoft läuft über den Helpdesk Ihrer Organisation. Manche Dienste können gar nicht helfen: Laut GitHub kann der Support den Zugang zu einem Konto mit 2FA nicht wiederherstellen, wenn sowohl die 2FA-Zugangsdaten als auch die Wiederherstellungsmethoden verloren sind.

5. Sperren Sie das verlorene Handy aus. Google empfiehlt, ein verlorenes Handy aus der Ferne zu löschen und, falls Ihre Codes synchronisiert waren, das Gerät aus Ihrem Google-Konto zu entfernen; ohne Synchronisierung sollen Sie jede Website aufrufen und die Codes neu einrichten. Entfernen Sie in Authy das alte Gerät aus Ihren Geräten. Sobald Sie wieder in einem Konto sind, richten Sie dessen 2FA neu ein und speichern die neuen Wiederherstellungscodes.

Bewahren Sie von jedem Code eine zweite Kopie auf. Am einfachsten sind zwei Apps mit demselben QR-Code: Wenn eine Website ihren Einrichtungs-QR-Code zeigt, scannen Sie ihn mit Ihrer Handy-App und mit 2FA Authenticator — dann zeigen beide dieselben Codes (mehrere Geräte). Konten, die schon in Google Authenticator liegen, holen Sie einmalig über dessen Export-QR-Code herüber.

Bewahren Sie Wiederherstellungscodes außerhalb des Handys auf. Drucken Sie sie aus oder legen Sie sie in einem Passwortmanager ab. Ein Screenshot in der Galerie des Handys geht mit dem Handy verloren.

Schalten Sie das Backup Ihrer App ein und bewahren Sie sein Passwort woanders auf. Die Backup-Passwörter von Authy und 2FAS kann der Anbieter nicht wiederherstellen.

Exportieren Sie ab und zu eine Backup-Datei. In 2FA Authenticator: „Einstellungen“ → „Exportieren“, mit Passwort geschützt (Backup); „Importieren“ auf einem anderen Computer liest sie wieder ein (Wiederherstellen). Die automatischen täglichen Kopien der Erweiterung liegen in der Erweiterung selbst — sie schützen davor, ein Konto versehentlich zu löschen, nicht vor dem Verlust des Computers.

Richten Sie eine zweite Anmeldemethode ein, wo immer ein Dienst eine anbietet, etwa einen Sicherheitsschlüssel oder einen Passkey.