Authenticator-App einrichten: So nutzt du Zwei-Faktor-Anmeldung richtig – sicherer als jede SMS
Kurz beantwortet: Eine Authenticator-App erzeugt alle 30 Sekunden einen neuen sechsstelligen Code direkt auf deinem Gerät. Diesen Code gibst du beim Anmelden zusätzlich zum Passwort ein – so wird ein gestohlenes Passwort allein wertlos. Authenticator-Apps sind deutlich sicherer als Codes per SMS, weil der Code lokal entsteht und nicht über das Mobilfunknetz verschickt wird, wo er abgefangen werden kann. Die Einrichtung dauert pro Konto unter einer Minute: App installieren, beim jeweiligen Dienst die Zwei-Faktor-Anmeldung aktivieren, QR-Code scannen, fertig. Wichtig ist nur, dass du die Wiederherstellungscodes sicherst – sonst sperrst du dich bei Verlust des Geräts selbst aus. Bekannte Apps sind unter anderem Google Authenticator, Microsoft Authenticator, Authy, 2FAS und Aegis.
Du kennst die sechsstelligen Codes wahrscheinlich schon: beim Online-Banking, beim Einloggen in wichtige Konten, bei der Krypto-Börse. Viele bekommen sie noch per SMS – dabei gibt es eine deutlich sicherere und genauso bequeme Variante: die Authenticator-App. Sie ist eine der wirksamsten Einzelmaßnahmen für deine digitale Sicherheit, kostet nichts und ist in Minuten eingerichtet.
Dieser Ratgeber erklärt, wie eine Authenticator-App funktioniert, warum sie SMS-Codes überlegen ist, wie du sie Schritt für Schritt einrichtest und welchen einen Fehler du unbedingt vermeiden solltest. Ohne Fachjargon, für ganz normale Nutzer.
Wie eine Authenticator-App funktioniert
Eine Authenticator-App erzeugt zeitbasierte Einmalcodes – im Fachjargon TOTP, „Time-based One-Time Password". Klingt kompliziert, ist es aber nicht. Bei der Einrichtung tauschen die App und der jeweilige Dienst einmalig ein geheimes Startwert aus (meist über einen QR-Code). Aus diesem Geheimnis und der aktuellen Uhrzeit berechnen beide Seiten unabhängig denselben sechsstelligen Code, der alle 30 Sekunden wechselt.
Der entscheidende Punkt: Dieser Code entsteht offline, direkt auf deinem Gerät. Es muss nichts verschickt werden, keine SMS, keine Internetverbindung im Moment der Anmeldung. Selbst im Flugmodus zeigt dir die App den gültigen Code. Genau das macht sie so robust gegen Angriffe.
Die Zwei-Faktor-Anmeldung dahinter beruht auf einem einfachen Prinzip: Etwas, das du weißt (dein Passwort), kombiniert mit etwas, das du hast (dein Gerät mit der App). Ein Angreifer, der nur dein Passwort kennt, kommt ohne den zweiten Faktor nicht hinein. Warum gerade Zugangsdaten so oft das Einfallstor sind und wie die Authenticator-App in eine saubere persönliche Cybersicherheit passt, lohnt den Blick über dieses eine Werkzeug hinaus.
Warum eine App sicherer ist als ein Code per SMS
Codes per SMS sind besser als gar kein zweiter Faktor – aber sie haben eine bekannte Schwachstelle. Die SMS läuft über das Mobilfunknetz, und das lässt sich angreifen. Beim sogenannten SIM-Swapping bringen Kriminelle deinen Mobilfunkanbieter dazu, deine Nummer auf eine neue SIM-Karte zu übertragen. Ab dann landen deine SMS-Codes bei ihnen. Auch technische Schwächen im Mobilfunk-Hintergrundnetz erlauben unter Umständen das Abfangen von Nachrichten.
Die Authenticator-App umgeht dieses Problem komplett, weil nichts verschickt wird. Der Code lebt nur auf deinem Gerät. Selbst wer deine Telefonnummer kapert, bekommt dadurch keinen Zugriff auf deine App-Codes. Für besonders wichtige Konten – E-Mail, Banking, Krypto – ist dieser Unterschied entscheidend.
| Methode | Sicherheit | Komfort |
|---|---|---|
| SMS-Code | Niedrig – angreifbar durch SIM-Swapping und Abfangen | Hoch, aber von Empfang abhängig |
| Authenticator-App | Hoch – Code entsteht offline auf dem Gerät | Hoch, funktioniert auch ohne Netz |
| Sicherheitsschlüssel (FIDO2) | Sehr hoch – praktisch phishing-immun | Etwas weniger spontan, Gerät nötig |
Den stärksten Schutz bietet ein physischer Sicherheitsschlüssel, der gegen Phishing praktisch immun ist – welcher zu dir passt, klärt der Ratgeber Sicherheitsschlüssel kaufen: Welcher YubiKey nach FIDO2 passt zu dir. Für die meisten Menschen und die meisten Konten ist die Authenticator-App aber der ideale Mittelweg aus hoher Sicherheit und voller Alltagstauglichkeit.
Authenticator-App einrichten: Schritt für Schritt
App installieren
Lade eine Authenticator-App aus dem offiziellen App Store deines Geräts. Achte darauf, wirklich die echte App des Anbieters zu erwischen – Betrüger platzieren manchmal nachgemachte Apps. Welche sich eignen, steht weiter unten.
Zwei-Faktor beim Dienst aktivieren
Geh beim jeweiligen Konto in die Sicherheitseinstellungen und suche „Zwei-Faktor-Authentifizierung", „2FA" oder „Bestätigung in zwei Schritten". Wähle dort die Option „Authenticator-App" – nicht SMS.
QR-Code scannen
Der Dienst zeigt dir nun einen QR-Code. Öffne in deiner App „Konto hinzufügen" und scanne ihn. Die App legt das Konto automatisch an und zeigt sofort den ersten sechsstelligen Code.
Code zur Bestätigung eingeben
Gib den aktuell angezeigten Code beim Dienst ein, um zu bestätigen, dass alles funktioniert. Damit ist die Verknüpfung aktiv.
Wiederherstellungscodes sichern
Fast jeder Dienst zeigt dir jetzt einmalig sogenannte Backup- oder Wiederherstellungscodes. Diese sind dein Notschlüssel, falls dein Gerät verloren geht. Sichere sie an einem sicheren Ort – dazu gleich mehr.
Der eine große Fehler, den du unbedingt vermeiden musst
Es gibt einen Fehler, der mehr Menschen aussperrt als jeder Angreifer: Sie richten die App ein und ignorieren die Wiederherstellungscodes. Geht dann das Handy verloren oder wird zurückgesetzt, ist der zweite Faktor weg – und ohne ihn kommt man oft nicht mehr ins eigene Konto. Gerade bei Konten ohne Kundensupport, etwa manchen Krypto-Diensten, kann das den dauerhaften Verlust des Zugangs bedeuten.
Die Lösung ist einfach: Sichere die Wiederherstellungscodes jedes Kontos. Schreib sie auf und verwahre sie sicher, oder lege sie in deinem Passwortmanager ab. Ein guter Passwortmanager ist ohnehin die Grundlage einer sauberen Absicherung, weil er deine Passwörter und solche Notschlüssel zentral und verschlüsselt zusammenhält.
Welche Authenticator-App passt zu dir?
Alle gängigen Apps erzeugen nach demselben Standard dieselben Codes – ein Konto, das du in einer App einrichtest, funktioniert prinzipiell auch in jeder anderen. Die Unterschiede liegen im Komfort und in der Frage, wie du im Notfall an deine Daten kommst.
- Google Authenticator: schlicht und weit verbreitet, mit optionaler Cloud-Synchronisierung über dein Google-Konto.
- Microsoft Authenticator: komfortabel, mit Backup-Funktion, besonders praktisch im Microsoft-Umfeld.
- Authy: bekannt für bequeme Geräte-Synchronisierung und verschlüsseltes Cloud-Backup.
- 2FAS und Aegis: beliebt bei datenschutzbewussten Nutzern; Aegis ist quelloffen und speichert lokal, 2FAS bietet optionale Backups.
Eine Überlegung lohnt sich: Apps mit Cloud-Backup sind bequem, weil deine Codes einen Gerätewechsel überstehen. Apps, die rein lokal speichern, geben dir maximale Kontrolle, verlangen dafür aber, dass du dich selbst um Sicherung kümmerst. Wenn dir Datenhoheit wichtig ist, passt eine lokal speichernde, quelloffene App gut zu dem Gedanken, möglichst wenig in fremde Hände zu geben. Wer Wert auf nachvollziehbaren, quelloffenen Code legt, kennt diese Abwägung schon aus dem Wallet-Bereich.
Bei Krypto ist der zweite Faktor Pflicht, nicht Kür
Konten, deren Verlust unumkehrbar ist, verlangen die stärkste Absicherung. Der vollständige Leitfaden zeigt, wie du dein Krypto-Vermögen lückenlos schützt – von der Anmeldung bis zur Verwahrung im Ernstfall.
Zum Sicherheits-Leitfaden →Handy wechseln oder verloren: Was du beachten musst
Ein neues Handy ist der Moment, in dem sich zeigt, ob du vorgesorgt hast. Bei Apps mit Cloud-Backup meldest du dich auf dem neuen Gerät einfach wieder an, und deine Codes sind da. Bei rein lokalen Apps musst du jedes Konto neu verknüpfen – oder du nutzt die Export-Funktion vieler Apps, um deine Konten geordnet umzuziehen.
Plane den Wechsel deshalb bewusst: Richte die App auf dem neuen Gerät ein, übertrage deine Konten, und prüfe bei jedem wichtigen Dienst, dass die Codes funktionieren, bevor du das alte Gerät zurücksetzt. Geht ein Gerät unerwartet verloren, kommen die Wiederherstellungscodes ins Spiel – der Grund, warum du sie unbedingt vorher sichern solltest. Falls doch einmal ein Konto in falsche Hände gerät, hilft der klare Handlungsplan für den Ernstfall mit Sofortmaßnahmen.
- Eine Authenticator-App erzeugt alle 30 Sekunden einen Code direkt auf deinem Gerät – offline und ohne Versand.
- Sie ist deutlich sicherer als SMS-Codes, weil sie SIM-Swapping und Abfangen umgeht.
- Die Einrichtung dauert pro Konto unter einer Minute: App installieren, 2FA aktivieren, QR-Code scannen.
- Der größte Fehler ist, die Wiederherstellungscodes nicht zu sichern – das sperrt dich bei Geräteverlust selbst aus.
- Gängige Apps sind Google Authenticator, Microsoft Authenticator, Authy, 2FAS und Aegis; sie erzeugen alle kompatible Codes.
- Den stärksten Schutz bietet ein physischer Sicherheitsschlüssel – die App ist der ideale Mittelweg für die meisten Konten.
Häufige Fragen
Was ist eine Authenticator-App einfach erklärt?
Eine Authenticator-App ist ein kleines Programm auf deinem Smartphone, das alle 30 Sekunden einen neuen sechsstelligen Code erzeugt. Diesen Code gibst du beim Anmelden zusätzlich zu deinem Passwort ein. So braucht ein Angreifer nicht nur dein Passwort, sondern auch dein Gerät mit der App – was den Zugriff für Fremde praktisch unmöglich macht, selbst wenn sie dein Passwort kennen.
Ist eine Authenticator-App wirklich sicherer als SMS?
Ja, deutlich. SMS-Codes laufen über das Mobilfunknetz und lassen sich durch SIM-Swapping oder das Abfangen von Nachrichten stehlen. Eine Authenticator-App erzeugt den Code dagegen offline direkt auf deinem Gerät, ohne dass etwas verschickt wird. Damit fällt die häufigste Schwachstelle von SMS-Codes komplett weg. Für wichtige Konten ist die App klar zu bevorzugen.
Was passiert, wenn ich mein Handy verliere?
Das hängt von deiner Vorsorge ab. Hast du die Wiederherstellungscodes der Dienste gesichert, kommst du damit wieder in deine Konten. Nutzt du eine App mit Cloud-Backup, lassen sich deine Codes auf einem neuen Gerät wiederherstellen. Ohne Backup und ohne Wiederherstellungscodes kann der Zugang zu Konten dauerhaft verloren gehen – deshalb ist das Sichern der Codes so wichtig.
Brauche ich für jedes Konto eine eigene App?
Nein. Eine einzige Authenticator-App verwaltet beliebig viele Konten gleichzeitig. Du fügst jeden Dienst einzeln hinzu, und die App zeigt dir für jedes Konto einen eigenen Code. Du musst also nicht für Banking, E-Mail und Krypto-Börse getrennte Apps installieren – eine reicht für alles.
Funktioniert die App auch ohne Internet?
Ja. Die Codes werden aus einem Geheimnis und der aktuellen Uhrzeit berechnet, nicht aus dem Internet abgerufen. Deshalb funktioniert eine Authenticator-App auch im Flugmodus oder ohne Empfang. Wichtig ist nur, dass die Uhrzeit deines Geräts korrekt eingestellt ist, da der Code zeitbasiert ist.
Welche Authenticator-App ist die beste?
Es gibt nicht die eine beste App – sie erzeugen alle nach demselben Standard kompatible Codes. Die Wahl hängt von deinen Prioritäten ab: Apps mit Cloud-Backup sind bequem bei einem Gerätewechsel, rein lokale und quelloffene Apps geben dir mehr Kontrolle über deine Daten. Verbreitete Optionen sind Google Authenticator, Microsoft Authenticator, Authy, 2FAS und Aegis.
Kann ich Authenticator-App und Sicherheitsschlüssel kombinieren?
Ja, und das ist sogar sinnvoll. Viele Dienste erlauben mehrere zweite Faktoren gleichzeitig. Du kannst etwa einen Sicherheitsschlüssel als Hauptmethode nutzen und die Authenticator-App als Reserve, falls der Schlüssel gerade nicht zur Hand ist. Mehrere hinterlegte Methoden verringern zudem das Risiko, sich auszusperren.