Authenticator-App einrichten: So nutzt du Zwei-Faktor-Anmeldung richtig – sicherer als jede SMS
Kurz beantwortet: Eine Authenticator-App erzeugt bei den meisten Diensten typischerweise alle 30 Sekunden einen neuen sechsstelligen Einmalcode direkt auf deinem Gerät. Diesen Code gibst du beim Anmelden zusätzlich zum Passwort ein – so wird ein gestohlenes Passwort allein wertlos. Authenticator-Apps sind deutlich sicherer als Codes per SMS, weil der Code lokal entsteht und nicht über das Mobilfunknetz verschickt wird, wo er abgefangen werden kann. Wer eine Authenticator-App einrichten möchte, braucht pro Konto meist nur wenige Minuten: App installieren, beim jeweiligen Dienst Zwei-Faktor-Authentifizierung aktivieren, QR-Code scannen und den erzeugten Code bestätigen. Wichtig ist nur, dass du die Wiederherstellungscodes sicherst – sonst sperrst du dich bei Verlust des Geräts selbst aus. Bekannte Apps sind unter anderem Google Authenticator, Microsoft Authenticator, Authy, 2FAS und Aegis.
Stand: August 2026. Funktionen, Backup-Verfahren und unterstützte Plattformen von Authenticator-Apps können sich ändern.
Du kennst die sechsstelligen Codes wahrscheinlich schon: beim Online-Banking, beim Einloggen in wichtige Konten, bei der Krypto-Börse. Viele bekommen sie noch per SMS – dabei gibt es eine deutlich sicherere und genauso bequeme Variante: die Authenticator-App. Sie ist eine der wirksamsten Einzelmaßnahmen für deine digitale Sicherheit, kostet nichts und ist in Minuten eingerichtet.
Dieser Ratgeber erklärt, wie eine Authenticator-App funktioniert, warum sie SMS-Codes überlegen ist, wie du sie Schritt für Schritt einrichtest und welchen einen Fehler du unbedingt vermeiden solltest. Ohne Fachjargon, für ganz normale Nutzer.
Wie eine Authenticator-App funktioniert
Eine Authenticator-App erzeugt zeitbasierte Einmalcodes – im Fachjargon TOTP, „Time-based One-Time Password“. Klingt kompliziert, ist es aber nicht. Bei der Einrichtung stellt der jeweilige Dienst ein gemeinsames Geheimnis bereit, meist codiert in einem QR-Code. Die Authenticator-App übernimmt dieses Geheimnis. Aus ihm und der aktuellen Zeit berechnen App und Dienst anschließend unabhängig voneinander denselben zeitbasierten Einmalcode, der typischerweise alle 30 Sekunden wechselt.
Der entscheidende Punkt: Für die Erzeugung des Codes benötigt die App weder Mobilfunkempfang noch eine Internetverbindung: Sie berechnet ihn lokal aus dem gespeicherten Geheimnis und der aktuellen Uhrzeit. Selbst im Flugmodus zeigt sie den gültigen Code. Beim eigentlichen Login wird der eingegebene Code selbstverständlich an den Dienst übermittelt.
Die Zwei-Faktor-Anmeldung dahinter beruht auf einem einfachen Prinzip: Etwas, das du weißt (dein Passwort), kombiniert mit etwas, das du hast (dein Gerät mit der App). Ein Angreifer, der nur dein Passwort kennt, kommt ohne den zweiten Faktor nicht hinein. Warum gerade Zugangsdaten so oft das Einfallstor sind und wie die Authenticator-App in eine saubere persönliche Cybersicherheit passt, lohnt den Blick über dieses eine Werkzeug hinaus.
Warum eine App sicherer ist als ein Code per SMS
Codes per SMS sind besser als gar kein zweiter Faktor – aber sie haben eine bekannte Schwachstelle. Die SMS läuft über das Mobilfunknetz, und das lässt sich angreifen. Beim sogenannten SIM-Swapping bringen Kriminelle deinen Mobilfunkanbieter dazu, deine Nummer auf eine neue SIM-Karte zu übertragen. Ab dann landen deine SMS-Codes bei ihnen. Auch technische Schwächen im Mobilfunk-Hintergrundnetz erlauben unter Umständen das Abfangen von Nachrichten.
Die Authenticator-App vermeidet insbesondere die Zustellung des Einmalcodes über das Mobilfunknetz und damit typische SMS-Risiken wie SIM-Swapping. Der Code wird lokal aus dem hinterlegten Geheimnis berechnet. Je nach App und Einstellungen kann dieses Geheimnis allerdings zusätzlich verschlüsselt synchronisiert oder gesichert werden. Selbst wer deine Telefonnummer kapert, bekommt dadurch keinen Zugriff auf deine App-Codes. Für besonders wichtige Konten – E-Mail, Banking, Krypto – ist dieser Unterschied entscheidend.
| Methode | Sicherheit | Komfort |
|---|---|---|
| SMS-Code | Niedrig – angreifbar durch SIM-Swapping und Abfangen | Hoch, aber von Empfang abhängig |
| Authenticator-App | Hoch – Code entsteht offline auf dem Gerät | Hoch, funktioniert auch ohne Netz |
| Sicherheitsschlüssel (FIDO2) | Sehr hoch – phishing-resistent durch FIDO2 und WebAuthn | Etwas weniger spontan, Gerät nötig |
← Tabelle seitlich scrollen →
Besonders starken Schutz gegen Phishing bieten FIDO2-Sicherheitsschlüssel und Passkeys, weil die Authentifizierung kryptografisch an den legitimen Dienst gebunden wird – welcher Schlüssel zu dir passt, klärt der Ratgeber Sicherheitsschlüssel kaufen: Welcher YubiKey nach FIDO2 passt zu dir. Für die meisten Menschen und die meisten Konten ist die Authenticator-App aber der ideale Mittelweg aus hoher Sicherheit und voller Alltagstauglichkeit.
Authenticator-App einrichten: Schritt für Schritt
App installieren
Installiere die Authenticator-App ausschließlich über eine vom Hersteller beziehungsweise Projekt offiziell genannte Bezugsquelle – etwa Apple App Store, Google Play, F-Droid oder das offizielle Projekt-Repository. Prüfe Entwicklername und Bezugsquelle, weil auch nachgemachte Authenticator-Apps auftauchen können. Welche sich eignen, steht weiter unten.
Zwei-Faktor beim Dienst aktivieren
Geh beim jeweiligen Konto in die Sicherheitseinstellungen und suche „Zwei-Faktor-Authentifizierung“, „2FA“ oder „Bestätigung in zwei Schritten“. Wähle dort die Option „Authenticator-App“ – nicht SMS.
QR-Code scannen
Der Dienst zeigt dir nun einen QR-Code. Öffne in deiner App „Konto hinzufügen“ und scanne ihn. Die App legt das Konto automatisch an und zeigt sofort den ersten sechsstelligen Code.
Code zur Bestätigung eingeben
Gib den aktuell angezeigten Code beim Dienst ein, um zu bestätigen, dass alles funktioniert. Damit ist die Verknüpfung aktiv.
Wiederherstellungscodes sichern
Fast jeder Dienst zeigt dir jetzt einmalig sogenannte Backup- oder Wiederherstellungscodes. Diese sind dein Notschlüssel, falls dein Gerät verloren geht. Sichere sie an einem sicheren Ort – dazu gleich mehr.
Schwächere Fallback-Methoden prüfen
Prüfe nach erfolgreicher Einrichtung, welche weiteren Anmeldemethoden für das Konto aktiv bleiben. Manche Dienste lassen SMS parallel zur Authenticator-App eingeschaltet. Wenn du Wiederherstellungscodes und eine sichere Ersatzmethode eingerichtet hast, kannst du einen schwächeren SMS-Fallback – sofern der Dienst das erlaubt und du ihn nicht für die Kontowiederherstellung benötigst – deaktivieren.
Der eine große Fehler, den du unbedingt vermeiden musst
Ein besonders häufiger und folgenreicher Fehler ist, die Authenticator-App einzurichten und die Wiederherstellungscodes anschließend zu ignorieren. Geht dann das Handy verloren oder wird zurückgesetzt, ist der zweite Faktor weg – und ohne ihn kommt man oft nicht mehr ins eigene Konto. Gerade bei Konten ohne Kundensupport, etwa manchen Krypto-Diensten, kann das den dauerhaften Verlust des Zugangs bedeuten.
Die Lösung ist einfach: Sichere die Wiederherstellungscodes jedes Kontos. Schreib sie auf und verwahre sie sicher, oder lege sie in deinem Passwortmanager ab. Ein guter Passwortmanager ist ohnehin die Grundlage einer sauberen Absicherung, weil er deine Passwörter und solche Notschlüssel zentral und verschlüsselt zusammenhält.
Wenn der Code nicht akzeptiert wird
Der häufigste Supportfall bei Authenticator-Apps hat nichts mit einem Angriff zu tun, sondern mit der Uhr. Weil der Code aus dem Geheimnis und der aktuellen Uhrzeit berechnet wird, müssen App und Dienst zeitlich zusammenpassen. Weicht die Uhr deines Geräts ab, ist der angezeigte Code rechnerisch richtig und trotzdem ungültig.
Erste Maßnahme: Aktiviere die automatische Einstellung von Uhrzeit und Zeitzone im Betriebssystem. Eine eigene Zeitkorrektur gibt es nicht in jeder Authenticator-App; aktuelle Versionen von Google Authenticator verwenden beispielsweise direkt die Systemzeit.
Zweite Möglichkeit: Du gibst den Code zu spät ein. Der sechsstellige Code ist nur einen kurzen Zeitraum gültig; wechselt er während der Eingabe, wird der alte abgelehnt. Warte in dem Fall auf den nächsten und gib ihn zügig ein.
Dritte Möglichkeit: Du hast den falschen Eintrag erwischt. Wer viele Konten in der App hat, verwechselt leicht ähnliche Bezeichnungen. Benenne Einträge deshalb eindeutig, etwa mit Dienst und Kontoname.
Vierte Möglichkeit: Das Konto wurde doppelt eingerichtet. Wird ein QR-Code zweimal gescannt oder die Einrichtung wiederholt, kann ein alter Eintrag zurückbleiben, der nicht mehr gültig ist. Der aktuelle Eintrag ist immer der aus der letzten erfolgreichen Einrichtung.
Was eine Authenticator-App nicht leistet
Der zweite Faktor ist wirksam, aber kein Rundumschutz. Diese Grenzen sollte man kennen, statt sich in falscher Sicherheit zu wiegen.
Sie schützt nicht vollständig vor Phishing. Wer auf einer gefälschten Anmeldeseite Passwort und Code eingibt, gibt beides an den Angreifer weiter. Der leitet die Daten in Echtzeit an den echten Dienst weiter und ist drin. Genau diese Schwäche vermeiden FIDO2- und WebAuthn-Verfahren: Die Authentifizierung wird kryptografisch an den legitimen Dienst beziehungsweise dessen Domain gebunden. Ein Angreifer kann eine Anmeldung deshalb nicht einfach über eine nachgebaute Phishing-Seite weiterleiten.
Sie schützt nicht vor Schadsoftware auf dem Gerät. Ist das Smartphone selbst kompromittiert, kann ein Angreifer mitlesen. Ein aktuelles Betriebssystem und Apps ausschließlich aus offiziellen beziehungsweise vom jeweiligen Projekt ausdrücklich genannten Bezugsquellen sind deshalb wichtige Schutzmaßnahmen.
Sie ersetzt kein starkes Passwort. Der zweite Faktor kommt zum ersten dazu, er ersetzt ihn nicht. Ein schwaches, mehrfach verwendetes Passwort bleibt eine Schwachstelle – auch mit aktivierter Zwei-Faktor-Anmeldung.
Sie hilft nicht gegen Weitergabe. Wer einen Code am Telefon durchgibt, weil sich jemand als Support ausgibt, hebelt jede Technik aus. Ein Einmalcode gehört ausschließlich in die offizielle Anmeldemaske des Dienstes. Seriöse Support-Mitarbeiter werden dich nicht per Telefon, E-Mail oder Chat auffordern, ihnen einen aktuellen Authenticator-Code mitzuteilen.
Begriffe kurz erklärt
Welche Authenticator-App passt zu dir?
Standardisierte TOTP- und HOTP-Einträge sind grundsätzlich zwischen kompatiblen Authenticator-Apps übertragbar, sofern die verwendeten Parameter unterstützt werden. Proprietäre Push-, Passwordless- oder dienstspezifische Anmeldeverfahren sind dagegen nicht automatisch zwischen verschiedenen Apps austauschbar. Die weiteren Unterschiede liegen im Komfort und in der Frage, wie du im Notfall an deine Daten kommst.
- Google Authenticator: für Android und iOS; TOTP-Codes können optional über das Google-Konto zwischen Geräten synchronisiert werden. Die App lässt sich auch ohne Google-Konto lokal nutzen.
- Microsoft Authenticator: für Android und iOS mit Backup-Funktion. Wichtig: Microsoft unterstützt die Wiederherstellung nur innerhalb desselben Gerätetyps – Android-Backups auf Android, iOS-Backups auf iOS. Bei Geschäfts-, Schul- und Unikonten wird teilweise nur der Kontoname gesichert und anschließend eine erneute Anmeldung beziehungsweise Registrierung benötigt.
- Authy: mobile Authenticator-App mit verschlüsseltem Backup und Synchronisierung. Die früheren Desktop-Apps für Windows, macOS und Linux wurden bereits am 19. März 2024 eingestellt und werden nicht mehr unterstützt.
- 2FAS Auth: quelloffen und local-first für Android und iOS; unterstützt verschlüsselte Backups beziehungsweise Synchronisierung über iCloud oder Google Drive sowie verschlüsselte Exportdateien.
- Aegis: quelloffene Authenticator-App ausschließlich für Android. Der lokale Vault ist verschlüsselt; verschlüsselte Exporte und automatische Backups an einen selbst gewählten Speicherort sind möglich.
Eine Überlegung lohnt sich: Apps mit Cloud-Backup sind bequem, weil deine Codes einen Gerätewechsel überstehen. Apps, die rein lokal speichern, geben dir maximale Kontrolle, verlangen dafür aber, dass du dich selbst um Sicherung kümmerst. Wenn dir Datenhoheit wichtig ist, passt eine lokal speichernde, quelloffene App gut zu dem Gedanken, möglichst wenig in fremde Hände zu geben. Wer Wert auf nachvollziehbaren, quelloffenen Code legt, kennt diese Abwägung schon aus dem Wallet-Bereich.
Bei Krypto-Börsen und anderen custodial Konten ist ein starker zweiter Faktor besonders wichtig
Konten, über die Kryptowerte oder Auszahlungen zugänglich sind, sollten besonders stark gegen Kontoübernahmen geschützt werden. Der vollständige Leitfaden zeigt, wie du dein Krypto-Vermögen lückenlos schützt – von der Anmeldung bis zur Verwahrung im Ernstfall.
Zum Sicherheits-Leitfaden →Handy wechseln oder verloren: Was du beachten musst
Ein neues Handy ist der Moment, in dem sich zeigt, ob du vorgesorgt hast. Wie einfach ein Gerätewechsel funktioniert, hängt von der verwendeten App und der Backup-Methode ab. Bei Google Authenticator können synchronisierte Codes nach Anmeldung mit dem Google-Konto wieder erscheinen. Microsoft Authenticator unterstützt Backup und Wiederherstellung nur innerhalb desselben Gerätetyps und verlangt bei bestimmten Konten eine erneute Registrierung. 2FAS kann innerhalb einer Plattform synchronisieren und erlaubt zusätzlich verschlüsselte Exporte. Bei lokal gespeicherten Apps wie Aegis solltest du vor dem Gerätewechsel einen verschlüsselten Export beziehungsweise ein Backup erstellen.
Prüfe nach dem Umzug jedes wichtige Konto, bevor du das alte Gerät löschst oder zurücksetzt.
Plane den Wechsel deshalb bewusst: Richte die App auf dem neuen Gerät ein, übertrage deine Konten, und prüfe bei jedem wichtigen Dienst, dass die Codes funktionieren, bevor du das alte Gerät zurücksetzt. Geht ein Gerät unerwartet verloren, kommen die Wiederherstellungscodes ins Spiel – der Grund, warum du sie unbedingt vorher sichern solltest. Falls doch einmal ein Konto in falsche Hände gerät, hilft der klare Handlungsplan für den Ernstfall mit Sofortmaßnahmen.
- Bei den meisten TOTP-Diensten erzeugt eine Authenticator-App typischerweise alle 30 Sekunden einen Einmalcode lokal auf dem Gerät.
- TOTP vermeidet typische SMS-Risiken wie SIM-Swapping, ist aber nicht phishing-resistent.
- Die Einrichtung dauert meist nur wenige Minuten: 2FA aktivieren, QR-Code scannen, Code bestätigen und Wiederherstellungscodes sichern.
- Wiederherstellungscodes und sichere Ersatzmethoden solltest du direkt bei der Einrichtung anlegen und geschützt aufbewahren.
- Standardisierte TOTP- und HOTP-Einträge funktionieren in kompatiblen Authenticator-Apps; proprietäre Push- und Passwordless-Verfahren sind nicht automatisch übertragbar.
- FIDO2-Sicherheitsschlüssel und Passkeys bieten phishing-resistente Authentifizierung; TOTP ist für viele Konten trotzdem ein deutlicher Sicherheitsgewinn gegenüber SMS.
Häufige Fragen
Was ist eine Authenticator-App einfach erklärt?
Eine Authenticator-App ist ein kleines Programm auf deinem Smartphone. Bei den meisten TOTP-Diensten wird typischerweise alle 30 Sekunden ein neuer sechsstelliger Einmalcode erzeugt. Diesen Code gibst du beim Anmelden zusätzlich zu deinem Passwort ein. Dadurch reicht ein gestohlenes Passwort allein normalerweise nicht mehr für die Anmeldung. TOTP schützt jedoch nicht vollständig gegen Echtzeit-Phishing, bei dem ein Angreifer Passwort und aktuellen Code sofort an den echten Dienst weiterleitet.
Ist eine Authenticator-App wirklich sicherer als SMS?
Ja, deutlich. SMS-Codes laufen über das Mobilfunknetz und lassen sich durch SIM-Swapping oder das Abfangen von Nachrichten stehlen. Eine Authenticator-App erzeugt den Code dagegen offline direkt auf deinem Gerät, ohne dass etwas verschickt wird. Damit fällt die häufigste Schwachstelle von SMS-Codes komplett weg. Für wichtige Konten ist die App klar zu bevorzugen.
Was passiert, wenn ich mein Handy verliere?
Das hängt von deiner Vorsorge und der verwendeten App ab. Wiederherstellungscodes des jeweiligen Dienstes sind eine wichtige Notfallmethode. Bei Apps mit Backup oder Synchronisierung kann eine Wiederherstellung auf einem neuen Gerät möglich sein; welche Einträge übernommen werden und ob eine erneute Registrierung nötig ist, hängt jedoch von App, Plattform und Kontotyp ab. Ohne Backup und ohne Wiederherstellungscodes kann der Zugang zu Konten dauerhaft verloren gehen – deshalb ist das Sichern der Codes so wichtig.
Brauche ich für jedes Konto eine eigene App?
Nein. Eine einzige Authenticator-App verwaltet beliebig viele Konten gleichzeitig. Du fügst jeden Dienst einzeln hinzu, und die App zeigt dir für jedes Konto einen eigenen Code. Du musst also nicht für Banking, E-Mail und Krypto-Börse getrennte Apps installieren – eine reicht für alles.
Funktioniert die App auch ohne Internet?
Ja. Die Codes werden aus einem Geheimnis und der aktuellen Uhrzeit berechnet, nicht aus dem Internet abgerufen. Deshalb funktioniert eine Authenticator-App auch im Flugmodus oder ohne Empfang. Wichtig ist nur, dass die Uhrzeit deines Geräts korrekt eingestellt ist, da der Code zeitbasiert ist.
Welche Authenticator-App ist die beste?
Es gibt nicht die eine beste App. Für standardisierte TOTP- und HOTP-Einträge sind viele Authenticator-Apps kompatibel; proprietäre Push-, Passwordless- oder dienstspezifische Verfahren sind dagegen nicht automatisch austauschbar. Entscheidend sind deshalb Plattform, Backup-Verfahren, Synchronisierung, Datenschutz und deine Anforderungen an die Wiederherstellung. Verbreitete Optionen sind Google Authenticator, Microsoft Authenticator, Authy, 2FAS Auth und Aegis.
Kann ich Authenticator-App und Sicherheitsschlüssel kombinieren?
Viele Dienste erlauben mehrere Anmeldemethoden. Für besonders wichtige Konten ist als Reserve zu einem FIDO2-Sicherheitsschlüssel ein zweiter FIDO2-Schlüssel oder ein weiterer phishing-resistenter Passkey die stärkere Lösung. Bleibt TOTP als alternative Login-Methode aktiviert, bleibt auch dieser phishbare Anmeldeweg bestehen. Eine Authenticator-App kann trotzdem als Notfallmethode sinnvoll sein, wenn du diesen Kompromiss bewusst akzeptierst.
Mein Code wird nicht akzeptiert – was tun?
Prüfe zuerst, ob Uhrzeit und Zeitzone des Geräts automatisch eingestellt werden, denn der Code wird zeitbasiert berechnet. Eine separate Zeitabgleich-Funktion gibt es nicht in jeder Authenticator-App. Weitere häufige Ursachen sind ein beim Absenden bereits abgelaufener Code oder ein alter Eintrag aus einer früheren Einrichtung.
Kann ich die Authenticator-App auf zwei Geräten nutzen?
Das hängt von der App ab. Manche Apps synchronisieren Einträge über ein Konto auf mehrere Geräte, andere sind bewusst auf ein Gerät beschränkt. Bei einigen Diensten lässt sich derselbe QR-Code während der Einrichtung auch auf einem zweiten Gerät scannen. Ein zweites Gerät erhöht die Ausfallsicherheit, vergrößert aber auch die Angriffsfläche.
Schützt die Authenticator-App vor Phishing?
Nur eingeschränkt. TOTP-Codes können auf einer Phishing-Seite abgegriffen und in Echtzeit an den echten Dienst weitergeleitet werden. Phishing-resistent sind FIDO2- und WebAuthn-Verfahren wie Sicherheitsschlüssel und Passkeys, weil die Authentifizierung kryptografisch an den legitimen Dienst beziehungsweise dessen Domain gebunden ist.
Was ist mit dem QR-Code nach der Einrichtung?
Er wird nicht mehr benötigt und sollte weder gespeichert noch weitergegeben werden. Der QR-Code enthält das gemeinsame Geheimnis; wer ihn besitzt, kann dieselben Codes erzeugen wie du.
Ist Cloud-Backup der Codes sicher?
Das hängt von der App und ihrer Backup-Architektur ab. Prüfe, ob das Backup Ende-zu-Ende beziehungsweise zusätzlich mit einem eigenen Passwort verschlüsselt wird, wie die Kontowiederherstellung funktioniert und welche Folgen ein kompromittiertes Cloud-Konto hätte. Ein Cloud-Backup erhöht Komfort und Ausfallsicherheit, erweitert aber das Sicherheitsmodell um das Cloud- beziehungsweise Synchronisierungskonto. 2FAS bietet beispielsweise verschlüsselte Backups mit eigenem Passwort; Authy verschlüsselt synchronisierte Tokens mit einem separaten Backup-Passwort, das Twilio nach eigener Angabe nicht kennt und nicht wiederherstellen kann.
Was ist der Unterschied zwischen Authenticator-App und Passkey?
Die Authenticator-App liefert einen zweiten Faktor zusätzlich zum Passwort. Ein Passkey ist ein FIDO-basiertes kryptografisches Anmeldeverfahren, das die klassische Passworteingabe ersetzen kann. Wird zusätzlich eine lokale Benutzerverifikation wie Geräte-PIN oder Biometrie verlangt, kann die Anmeldung mehrere Faktoren in einem einzigen Ablauf erfüllen. Passkeys sind durch die Bindung an den jeweiligen Dienst phishing-resistent, aber noch nicht bei allen Diensten verfügbar.
Quellenstand: IETF RFC 6238 (TOTP); NIST SP 800-63B; FIDO Alliance; CISA; aktuelle Produktdokumentationen von Google Authenticator, Microsoft Authenticator, Twilio Authy, 2FAS Auth und Aegis. Stand: August 2026.