2FA overzetten naar een nieuwe telefoon, en wat je doet als je de oude kwijt bent

1. Kijk in welke apps je codes staan. Veel mensen hebben er een paar in Google Authenticator en een paar in Microsoft Authenticator of Authy, en elke app verhuist apart.

2. Zet ze over met de eigen methode van elke app, hieronder. Een account dat niet meeverhuist, kun je opnieuw instellen zolang je nog kunt inloggen: zet 2FA via een authenticator-app uit en weer aan, of zoek naar “authenticator-app wijzigen”. Onze handleidingen laten zien waar die instelling zit bij 108 diensten — waaronder Google, Microsoft en GitHub.

3. Log op de nieuwe telefoon met de nieuwe codes in bij je belangrijkste accounts — eerst je e-mail, want daarmee herstel je alle andere accounts.

4. Bewaar nieuwe herstelcodes voor de accounts die ertoe doen, ergens anders dan op de telefoon.

5. Wis pas daarna de oude telefoon. Hem een week in een la bewaren kost niets en redt je als je één account bent vergeten.

Google Authenticator. Open op de oude telefoon Menu → Transfer codes → Export codes (Menu → Codes overzetten → Codes exporteren), kies de accounts, en er verschijnt een QR-code; open op de nieuwe telefoon Menu → Transfer codes → Import codes (Codes importeren) en scan hem. Staat synchronisatie met je Google-account aan, dan komen de codes vanzelf mee zodra je op de nieuwe telefoon inlogt met hetzelfde Google-account, met of zonder oude telefoon. Zonder synchronisatie heb je voor de export-QR-code de oude telefoon in handen nodig.

Microsoft Authenticator. Zet op de oude telefoon de cloudback-up aan — op Android gebruikt die een persoonlijk Microsoft-account, op iPhone iCloud — en zet hem op de nieuwe telefoon terug. De back-up zet alleen terug op hetzelfde soort telefoon: iPhone naar iPhone, Android naar Android. Codes voor andere diensten, zoals Amazon of Facebook, komen terug zoals ze waren; van werk- of schoolaccounts komt alleen de accountnaam terug, en je logt bij elk ervan opnieuw in. Lukt dat niet, dan kan de helpdesk van je organisatie je instellingen wissen, zodat je de nieuwe telefoon registreert bij je volgende keer inloggen.

Authy. Een Authy-account hoort bij een telefoonnummer. Installeer Authy op de nieuwe telefoon, voer het nummer in en keur het nieuwe apparaat goed vanaf het oude, of via sms of een oproep. Je tokens komen over van het oude apparaat, of uit de versleutelde back-ups van Authy als die aanstonden — en daarvoor heb je je back-upwachtwoord nodig, dat Twilio nooit ontvangt en niet kan herstellen. Authy kan niet naar een andere app exporteren, dus wie Authy verlaat, stelt elk account opnieuw in.

2FAS Auth. Met 2FAS Backup aan zet de synchronisatie — Google Drive op Android, iCloud op iPhone — je tokens terug op een nieuwe telefoon van hetzelfde soort die met hetzelfde account is ingelogd. Tussen Android en iPhone exporteer je op de oude telefoon een met wachtwoord beveiligd back-upbestand en importeer je dat op de nieuwe. Heb je een back-upwachtwoord ingesteld, dan kan 2FAS dat niet herstellen.

2FA Authenticator (van ons). Het staat niet op je telefoon, dus voor deze extensie verandert een nieuwe telefoon niets. Dat maakt hem handig tijdens een verhuizing: zolang de codes in Chrome staan, kun je op de computer bij elke dienst inloggen en 2FA op de nieuwe telefoon instellen zonder de oude. Codes in een telefoonapp zetten kan hij niet voor je, maar zijn export als otpauth://-links is een formaat dat vrijwel elke andere authenticator kan lezen (back-up). Naar een andere computer zet je hem over met Chrome-synchronisatie of een exportbestand — zie meerdere apparaten en terugzetten.

Eerst het eerlijke verhaal. Een 2FA-code wordt berekend uit een geheime sleutel die in de app is opgeslagen. Stond die sleutel alleen op de verloren telefoon, dan is hij weg, en niemand kan hem opnieuw maken — de maker van de app niet, een reparatiewinkel niet en wij ook niet: 2FA Authenticator ontvangt nooit iemands geheime sleutels. Wat je wel weer binnen kan krijgen, is de dienst waarbij je inlogt. Loop deze stappen op volgorde door.

1. Kijk of er een kopie bewaard is gebleven. Google Authenticator met synchronisatie met je Google-account: installeer de app op de nieuwe telefoon en log in. Microsoft Authenticator met cloudback-up: zet terug op een telefoon van hetzelfde soort. Authy met back-ups: installeer de app, voer je nummer in, verifieer via sms of oproep en voer daarna het back-upwachtwoord in. 2FAS met synchronisatie: zet 2FAS Backup aan met hetzelfde Google- of iCloud-account. Had je de accounts ook aan 2FA Authenticator toegevoegd, dan staan de codes nog in Chrome op je computer.

2. Gebruik de herstelcodes van de dienst. De meeste diensten geven je een set eenmalige codes als je 2FA aanzet. Google geeft tien back-upcodes die elk één keer werken; GitHub noemt ze recovery codes (herstelcodes). Voer er een in waar de site om de 2FA-code vraagt.

3. Probeer een andere inlogmethode. Een beveiligingssleutel of passkey, een sms naar een nummer dat je nog hebt, of een melding op een ander apparaat waarop je nog bent ingelogd. GitHub accepteert bijvoorbeeld een passkey of beveiligingssleutel in plaats van de verloren app.

4. Vraag de dienst om accountherstel. Dat gaat bewust langzaam. Google stelt vragen over het account, en het lukt het best vanaf een apparaat en een plek waar je normaal inlogt. Coinbase vraagt om een foto van je identiteitsbewijs en doet er tot 24 uur over (Coinbase-handleiding voor 2FA). Een werk- of schoolaccount van Microsoft loopt via de helpdesk van je organisatie. Sommige diensten kunnen helemaal niet helpen: volgens GitHub kan zijn support de toegang tot een account met 2FA niet herstellen zodra zowel de 2FA-gegevens als de herstelmethoden kwijt zijn.

5. Sluit de verloren telefoon buiten. Google raadt aan een verloren telefoon op afstand te wissen en, als je codes gesynchroniseerd waren, het apparaat uit je Google-account te verwijderen; zonder synchronisatie, zegt Google, ga je bij elke site langs om de codes opnieuw in te stellen. Verwijder in Authy het oude apparaat uit je apparaten. Ben je weer binnen in een account, stel de 2FA ervan dan opnieuw in en bewaar de nieuwe herstelcodes.

Bewaar van elke code een tweede kopie. Het eenvoudigst zijn twee apps met dezelfde QR-code: als een site zijn QR-code voor het instellen toont, scan je hem met je telefoonapp én met 2FA Authenticator — beide tonen dan dezelfde codes (meerdere apparaten). Accounts die al in Google Authenticator staan, zet je één keer over via de export-QR-code.

Bewaar herstelcodes buiten de telefoon. Druk ze af, of bewaar ze in een wachtwoordmanager. Een screenshot in de galerij van je telefoon raak je samen met de telefoon kwijt.

Zet de back-up van je app aan, en bewaar het wachtwoord ervan ergens anders. De back-upwachtwoorden van Authy en 2FAS kunnen de makers niet herstellen.

Exporteer af en toe een back-upbestand. In 2FA Authenticator: Instellingen → Exporteren, beveiligd met een wachtwoord (back-up); met Importeren lees je het op een andere computer weer in (terugzetten). De automatische dagelijkse kopieën van de extensie staan in de extensie zelf — ze beschermen je tegen het per ongeluk verwijderen van een account, niet tegen het kwijtraken van de computer.

Voeg een tweede manier van inloggen toe overal waar een dienst die aanbiedt, zoals een beveiligingssleutel of een passkey.