2FA-Backup-Codes: So sichern Sie die Zwei-Faktor-Authentifizierung, damit sie Sie (und Ihre Familie) nie aussperrt

Was sind 2FA-Backup-Codes und warum sind sie wichtig?

Passwörter reichen schon lange nicht mehr. Sie sickern bei Datenlecks durch, werden auf mehreren Seiten wiederverwendet und können erraten, gephisht oder gekauft werden. Die Zwei-Faktor-Authentifizierung ist die Lösung, die tatsächlich funktioniert: Selbst mit Ihrem Passwort in der Hand braucht ein Angreifer noch den sechsstelligen Code, den Ihr Smartphone alle dreißig Sekunden neu erzeugt, oder einen physischen Schlüssel, den nur Sie halten. Wenn Ihnen ein Konto wichtig ist, sollte es dieses zweite Schloss haben.

Aber das zweite Schloss konzentriert alles auf ein Gerät. Die geheimen Schlüssel hinter diesen Codes leben meist nur in der Authenticator-App auf Ihrem Smartphone. Verlieren Sie das Smartphone, geht es kaputt oder sterben Sie mit gesperrtem Gerät, sind die Codes weg. Selbst wer alle Ihre Passwörter hat, kommt daran nicht vorbei.

Dafür gibt es Backup-Codes. Wenn Sie die Zwei-Faktor-Authentifizierung einschalten, geben Ihnen die meisten Dienste einen Satz einmaliger Wiederherstellungscodes. Google etwa gibt zehn achtstellige Codes aus; jeder funktioniert einmal, und das Erzeugen eines neuen Satzes macht den alten ungültig. Andere Dienste nutzen ein ähnliches Muster unter Namen wie Wiederherstellungscodes, Notfallcodes oder Ersatzcodes. Wie auch immer sie heißen, sie sind der einzige Weg zurück, der nicht von einem Gerät abhängt, das Sie vielleicht nicht haben.

Welche drei Arten von 2FA gibt es, und wie wird jede gesichert?

Nicht alle zweiten Faktoren versagen auf dieselbe Weise, also werden sie auch nicht alle gleich gesichert. Es hilft zu wissen, welche Art jedes Ihrer Konten nutzt.

• SMS- und E-Mail-Codes

  Der Code kommt per SMS oder E-Mail. Es gibt nichts zu sichern im eigentlichen Sinn, aber viel zu verlieren: Eine Telefonnummer kann zu Lebzeiten gekapert werden, und nach einem Todesfall wird der Vertrag meist gekündigt und die Nummer irgendwann neu vergeben. Betrachten Sie SMS als schwächste Option, bewahren Sie die Wiederherstellungscodes des Kontos trotzdem auf, und sorgen Sie dafür, dass derjenige, der Ihre Angelegenheiten regelt, weiß, an welche Nummer und E-Mail-Adresse die Codes gehen.

• Authenticator-Apps (TOTP)

  Apps wie Google Authenticator, Authy, Microsoft Authenticator, 2FAS und Aegis speichern ein Geheimnis für jedes Konto und machen daraus alle dreißig Sekunden einen neuen Code. Das Geheimnis ist das, was gesichert werden muss. Google Authenticator kann Codes mit Ihrem Google-Konto synchronisieren und als QR-Bilder exportieren; Authy synchronisiert verschlüsselte Backups, die mit einem Backup-Passwort geschützt sind, das es für Sie nicht wiederherstellen kann. Passwort-Manager wie 1Password und Bitwarden können dieselben Geheimnisse neben dem Passwort speichern, sodass ein verschlüsselter Tresor beide Faktoren trägt (in manchen Tarifen ist das eine Bezahlfunktion). Welche App Sie auch nutzen, die einmaligen Wiederherstellungscodes des Dienstes bleiben Ihr Rückfall, wenn App und Sync beide versagen.

• Hardware-Sicherheitsschlüssel und Passkeys

  Ein Sicherheitsschlüssel wie ein YubiKey bewahrt sein Geheimnis in der Hardware auf, und das ist der Sinn: Es lässt sich nicht auslesen oder kopieren. Yubicos eigener Rat ist, einen Ersatzschlüssel zu kaufen und ihn zusammen mit dem Hauptschlüssel bei jedem Konto zu registrieren, denn ein nicht registrierter Ersatz ist später nutzlos. Passkeys sind im Geist ähnlich, leben aber in Software; Apples Sync über den iCloud-Schlüsselbund und die Pendants von Google und Passwort-Managern tragen sie zwischen Ihren eigenen Geräten. Weder ein Schlüssel noch ein Passkey lässt sich einem Familienmitglied als Datei übergeben, also zählen bei diesen Konten die Wiederherstellungscodes und ein registrierter Ersatz umso mehr.

Wie sichere ich meine 2FA-Codes heute?

Nehmen Sie sich eine Stunde. Die Arbeit ist langweilig, aber sie muss nur einmal richtig gemacht werden und danach nur kurz ergänzt, wenn Sie ein Konto hinzufügen.

• Die Konten mit 2FA auflisten

  Öffnen Sie Ihre Authenticator-App und schreiben Sie jedes Konto darin auf, dann ergänzen Sie die, die SMS oder einen Sicherheitsschlüssel nutzen. E-Mail, Bank, Mobilfunkanbieter, Passwort-Manager und Cloud-Speicher kommen zuerst; das sind die Konten, von denen andere Wiederherstellungen abhängen.

• Die Wiederherstellungscodes für jedes einzelne herunterladen

  Suchen Sie in den Sicherheitseinstellungen jedes Kontos die Backup- oder Wiederherstellungscodes und speichern Sie den Satz. Haben Sie je welche davon benutzt, erzeugen Sie einen neuen Satz, damit Ihre Kopie vollständig ist. Notieren Sie das Datum neben jedem Satz.

• Die Authenticator-Geheimnisse exportieren

  Die meisten Apps können ihre Konten als ein oder mehrere QR-Bilder exportieren oder mit einem Konto oder Tresor synchronisieren. Bietet Ihre App einen Export, machen Sie von jedem gezeigten QR-Bild einen Screenshot, auf demselben Smartphone. Zusammen sind sie eine vollständige, wiederherstellbare Kopie Ihres zweiten Faktors: Jede beliebige Authenticator-App installieren und sie scannen bringt jeden Code zurück. Bietet Ihre App keinen Export (Authy zum Beispiel), ist ihr eigener verschlüsselter Sync der nächstbeste Ersatz, notieren Sie also das Backup-Passwort neben Ihren anderen Wiederherstellungscodes.

• Die Kopie wie echte Schlüssel behandeln

  Exportieren Sie nur auf Hardware, die Sie kontrollieren. Verschieben Sie die Screenshots sofort aus Ihrer Fotogalerie, löschen Sie sie aus „Zuletzt gelöscht“, und prüfen Sie, ob der Cloud-Foto-Sync sie nicht schon erfasst hat. Wer diese Bilder hat, kann Ihre Codes erzeugen.

Wo sollte ich 2FA-Backup-Codes sicher aufbewahren?

Die üblichen Orte sind die, die versagen. Screenshots im Downloads-Ordner, an sich selbst gemailte Codes, eine Textdatei auf dem Desktop: unverschlüsselt, verstreut und für andere Jahre später unmöglich zu finden. Backup-Codes sollten an einem Ort liegen, der verschlüsselt ist, den Sie nach dem Verlust eines Smartphones noch haben und den eine Vertrauensperson eines Tages erreichen könnte.

• Ein Passwort-Manager-Tresor

  Für die meisten Menschen das praktischste Zuhause. Legen Sie die Wiederherstellungscodes jedes Kontos in die Notizen des passenden Logins, und speichern Sie dort auch das TOTP-Geheimnis, wenn Ihr Manager das unterstützt. Ein Tresor, ein Master-Passwort, alles gepaart. Der Schwachpunkt ist die Wiederherstellung des Tresors selbst: 1Passwords Emergency-Kit-PDF (mit seinem Secret Key) und die eigenen 2FA-Codes Ihres Managers brauchen ein Zuhause außerhalb des Tresors.

• Papier an einem sicheren Ort

  Ausgedruckte Codes in einem versiegelten Umschlag, in einem Haustresor oder Bankschließfach, überstehen jede Art von Geräteausfall. Der Preis ist, dass Papier veraltet: Jedes neue Konto oder jeder neu erzeugte Satz bedeutet neu drucken.

• Nicht in dem Konto, das sie schützen

  Wiederherstellungscodes für Ihre E-Mail sollten nie nur in dieser E-Mail liegen. Codes für Ihren Passwort-Manager sollten nie nur in diesem Tresor liegen. Jeder Satz muss erreichbar sein, ohne das, was er entsperrt.

Was passiert mit meiner 2FA, wenn ich sterbe?

Nichts, und das ist das Problem. Die Authenticator-App erzeugt weiter Codes auf einem Smartphone, das niemand entsperren kann. Der Sicherheitsschlüssel liegt in einer Schublade, registriert bei Konten, die niemand benennen kann. SMS gehen an eine Nummer, die der Anbieter ein paar Monate später abschaltet. Jedes Konto, das Sie sorgfältig geschützt haben, bleibt geschützt, jetzt gegen die Menschen, die Sie hineingelassen hätten.

Eine Passwortliste allein löst das nicht. Ihr Partner kann das E-Mail-Passwort genau kennen und trotzdem am zweiten Schritt scheitern; dasselbe gilt für die Bank, die Cloud-Fotos und die Domain-Verlängerung. Wiederherstellungsverfahren der Plattformen für Angehörige existieren, aber sie sind langsam, unterscheiden sich je nach Unternehmen und Land und gewähren meist begrenzten oder keinen Zugang. Der praktische Weg ist derselbe, den Sie selbst nach einem verlorenen Smartphone nutzen würden: Wiederherstellungscodes und exportierte Geheimnisse, gehalten von jemandem, der weiß, dass es sie gibt. Unser Ratgeber zu Passwörtern nach dem Tod behandelt die Passwortseite derselben Frage.

Wie gebe ich den 2FA-Zugang an die Familie weiter?

Welche Methode Sie auch wählen, sie muss drei Prüfungen bestehen: Die Codes bleiben heute für alle unlesbar, sie erreichen später die richtige Person, und diese Person weiß, wie sie sie nutzt. Ein versiegelter Umschlag besteht die erste und scheitert an der dritten, wenn Sie keine Anleitung beilegen. Was immer Sie wählen, fügen Sie pro Konto einen Absatz hinzu: was es ist, welchen zweiten Faktor es nutzt, wo die Codes sind und was zuerst zu tun ist.

• Notfallzugriff des Passwort-Managers

  Mehrere Manager lassen Sie eine Vertrauensperson benennen, die Zugriff auf Ihren Tresor beantragen kann; Bitwardens Notfallzugriff gewährt ihn nach einer von Ihnen festgelegten Wartezeit, sofern Sie nicht ablehnen, und ist eine Funktion der Bezahltarife. Liegen Ihre Wiederherstellungscodes und TOTP-Geheimnisse im Tresor, übergibt das beide Faktoren in einem Schritt. Es hängt davon ab, dass diese Person ihr eigenes Konto aktiv hält und der Manager noch existiert, kombinieren Sie es also mit einer Papierkopie der Wiederherstellungsdaten des Tresors.

• Ein versiegelter Umschlag bei einer Vertrauensperson oder einem Anwalt

  Ausgedruckte Wiederherstellungscodes, die Export-Bilder des Authenticators und eine kurze Anleitung, versiegelt und bei einem Anwalt oder Nachlassverwalter hinterlegt. Zuverlässig und ohne Technik, aber es veraltet schnell, und Sie müssen darauf vertrauen, dass der Umschlag nie vorzeitig geöffnet wird.

• Ein Totmannschalter

  Ein Dienst, der Ihre Codes verschlüsselt aufbewahrt und sie nur an ausgewählte Menschen freigibt, wenn Sie nicht mehr einchecken. Er ergänzt das eine, was einem versiegelten Umschlag fehlt: automatische Zustellung, wenn Sie nicht mehr da sind, um ihn zu übergeben. Siehe wie sich ein Totmannschalter mit einem Passwort-Manager vergleicht für die Abwägungen.

Wie geht PostMortem mit 2FA-Backup-Codes um?

PostMortem ist eine kostenlose iOS- und Android-App, die als Totmannschalter gebaut ist. Sie erstellen eine Nachrichtenbox, fügen die Menschen hinzu, die sie erhalten sollen, und wählen ein Check-in-Intervall von stündlich bis zwölf Monate. Sie checken mit einem Tipp in der App ein; Erinnerungen kommen per E-Mail und Push, wenn das Intervall abläuft. Checken Sie nicht mehr ein und läuft das Intervall ab, wird die Box an Ihre Empfänger freigegeben.

Für Zwei-Faktor-Backups kann eine Box Ihre Login-Daten mit den Wiederherstellungscodes neben jedem Passwort enthalten, eine Textnachricht, die erklärt, welches Konto welchen zweiten Faktor nutzt, und bis zu fünf Dateianhänge zu je 20 MB, was für die aus Ihrer Authenticator-App exportierten QR-Bilder reicht. Nachrichten, Passwörter, Dateinamen und Dateiinhalte werden vor dem Hochladen auf Ihrem Smartphone mit AES-256 verschlüsselt und im Browser des Empfängers entschlüsselt; die Server von PostMortem sehen die Klartextinhalte nie. Boxname, Empfängeradressen und Check-in-Zeitplan bleiben lesbar, damit Erinnerungen und Zustellung funktionieren.

Die Entschlüsselung braucht eine Zugangsschlüssel-Karte, ein QR-ähnliches Bild, das Sie zu Lebzeiten mit jedem Empfänger teilen. Diese Karte macht aus einer freigegebenen Box lesbare Codes, also sollte sie mit derselben Sorgfalt aufbewahrt werden wie die Codes selbst. Weil die Box Ihre ist, liegt dieselbe Kopie auch für Sie bereit, wenn Sie eines Tages ein Ersatz-Smartphone einrichten. Mehr zum Modell unter So funktioniert es und auf der Sicherheitsseite.

Häufige Fragen

• Was ist ein 2FA-Backup-Code?

  Ein einmaliger Code, den Ihnen ein Dienst gibt, wenn Sie die Zwei-Faktor-Authentifizierung einschalten. Er ersetzt den üblichen Code von Ihrem Smartphone oder Schlüssel, wenn dieses Gerät verloren geht. Jeder funktioniert einmal; die meisten Dienste lassen Sie jederzeit einen neuen Satz erzeugen, was den alten ungültig macht.

• Ich habe mein Smartphone mit meiner Authenticator-App verloren. Wie komme ich wieder hinein?

  Nutzen Sie die Wiederherstellungscodes, die Sie beim Einrichten der 2FA gespeichert haben, oder stellen Sie die App auf einem neuen Smartphone aus ihrem Cloud-Sync oder einem Export wieder her. Haben Sie nichts davon, hat jeder Dienst sein eigenes Kontowiederherstellungsverfahren, das Tage dauern und einen Identitätsnachweis verlangen kann.

• Was passiert mit 2FA, wenn jemand stirbt?

  Der zweite Faktor wirkt weiter gegen alle, auch gegen Familienmitglieder, die die Passwörter haben. Wurden keine Wiederherstellungscodes oder kein Authenticator-Export gespeichert und weitergegeben, bleibt nur das Angehörigenverfahren jeder Plattform, das sich je nach Unternehmen und Land unterscheidet und oft langsam oder begrenzt ist. Dies ist eine allgemeine Information, keine Rechtsberatung.

• Ist es sicher, 2FA-Codes in einem Passwort-Manager zu speichern?

  Für die meisten Menschen: ja. Ein verschlüsselter Tresor ist sicherer als Screenshots und hält die Codes neben den Passwörtern, zu denen sie gehören. Die eine Regel ist, dass die Wiederherstellungsdaten des Tresors selbst und seine 2FA-Codes außerhalb des Tresors liegen müssen.

• Wie gebe ich meiner Familie Zugang zu meiner 2FA, ohne sie jetzt zu teilen?

  Nutzen Sie etwas, das versiegelt bleibt, bis es gebraucht wird: den Notfallzugriff eines Passwort-Managers mit Wartezeit, einen versiegelten Umschlag beim Anwalt oder einen Totmannschalter, der verschlüsselte Codes nur freigibt, wenn Sie nicht mehr einchecken. Legen Sie in jedem Fall eine schriftliche Anleitung bei.

• Wie oft sollte ich meine 2FA-Backups auffrischen?

  Immer wenn Sie ein Konto zu Ihrem Authenticator hinzufügen, einen Wiederherstellungscode nutzen oder einen Satz neu erzeugen. Eine jährliche Prüfung ist ein sinnvolles Minimum; die Checkliste für den digitalen Nachlass ist ein guter Anlass dafür.