Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey

Ein Passwort ist etwas, das du weisst – und damit etwas, das dir jemand abnehmen kann: durch Phishing, durch ein Datenleck beim Dienst oder durch Schadsoftware, die gespeicherte Passwörter vom Gerät abgreift. Das BSI beschreibt die Zwei-Faktor-Authentisierung als Kombination von Faktoren aus verschiedenen Kategorien: Wissen (Passwort, PIN), Besitz (Smartphone, Chipkarte, Sicherheitsschlüssel) oder Biometrie (Fingerabdruck, Gesicht). Wer nur das Passwort hat, kommt an der zweiten Schranke nicht vorbei. Google beschreibt die Funktion auf seiner Hilfeseite genau so: als zusätzlichen Schutz für den Fall, dass Unbefugte an dein Passwort gelangen.

Das Google-Konto gehört dabei an die erste Stelle, noch vor Social Media und Shops. Es ist für viele das E-Mail-Postfach, und über «Passwort vergessen» lassen sich mit dem Postfach fast alle anderen Konten zurücksetzen – das BACS nennt das E-Mail-Konto darum im Wochenrückblick 19/2024 den «Dreh- und Angelpunkt» der Zugänge zu den Internetdiensten. Dazu kommen Fotos, Drive, Kalender, Standortverlauf, YouTube-Käufe und, wenn du Chrome nutzt, der Google Passwortmanager mit allen gespeicherten Passwörtern. Ein übernommenes Google-Konto ist deshalb kein einzelnes Konto, sondern der Schlüsselbund.

BACS und BSI empfehlen beide, den zweiten Faktor überall einzuschalten, wo ein Dienst ihn anbietet. Das BSI weist zusätzlich darauf hin, dass viele Dienste die Funktion zwar anbieten, aber standardmässig ausgeschaltet lassen – ein Blick in die Anmeldeeinstellungen lohnt sich also auch bei Konten, die du für gesichert hältst. Dass die Lücke in der Schweiz real ist, zeigt die Studie «KMU Cybersicherheit 2026»: Nur gut die Hälfte der befragten Betriebe hatte die Mehrfaktor-Authentifizierung vollständig eingeführt (→ Über 35'000 Schweizer KMU von schweren Cyberangriffen getroffen – nur jedes vierte testet seine Backups). Der zweite Faktor ersetzt kein gutes Passwort, sondern ergänzt es – wie du ein starkes Passwort baust, steht in unserer Anleitung (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist).

Das Schweizer BACS hat in seiner Technologiebetrachtung «Sicherheitsklassen für Authentifikationsverfahren, -mittel und -dienste» (September 2026) gängige Verfahren in die Klassen «tief», «mittel» und «hoch» eingeteilt. Ein Stern markiert Verfahren, die gegen Phishing in Echtzeit und gegen Man-in-the-Middle-Angriffe schützen. Benutzername und Passwort allein stehen in «tief» – solche Verfahren sollen laut BACS grundsätzlich nicht mehr eingesetzt werden, auch wenn die Übertragung verschlüsselt ist. Passwort mit SMS-Code und Software-Codes wie Google oder Microsoft Authenticator liegen in «mittel» ohne Stern: Sie schützen gegen gestohlene Passwörter, aber nicht, wenn du den Code selbst auf einer gefälschten Seite eingibst. Zu SMS merkt das BACS ausserdem an, dass die Sicherheit SMS-basierter Verfahren grundsätzlich in Frage gestellt sei und sie nur noch eingesetzt werden sollten, wenn es keine bessere Alternative gibt.

Phishing-resistent sind die beiden FIDO-Verfahren: Synchronisierte Passkeys, wie sie Apple und Google über Schlüsselbund und Passwortmanager verteilen, erreichen «mittel*»; FIDO2-Hardware-Schlüssel ohne Synchronisierung und Export erreichen «hoch*». Der Unterschied liegt laut BACS vor allem darin, ob der private Schlüssel in spezieller Hardware liegt oder über eine Cloud auf mehrere Geräte kopiert werden kann. Googles eigene Einordnung passt dazu: Die Hilfeseite nennt Passkeys und Hardware-Schlüssel als Methoden «für einen besseren Schutz vor Phishing» und SMS- oder Anrufcodes als «anfällig für telefonnummernbasierte Angriffe».

Für den Alltag heisst das: Die Aufforderung von Google ist bequem und deutlich besser als SMS, weil sie nur an angemeldete Geräte geht und dir Gerät und Ort des Anmeldeversuchs zeigt – aber sie schützt dich nicht vor dir selbst, wenn du auf einer gefälschten Seite «Ja» tippst. Die Authenticator-App ist unabhängig vom Mobilfunknetz und von Googles Push-Diensten, bleibt aber ebenfalls in «mittel». Wer die phishing-resistente Stufe will, nimmt einen Passkey auf Smartphone oder Computer; wer die höchste Stufe will oder besonders gefährdet ist, kauft zwei Hardware-Schlüssel. Und egal welche Methode: Die Backup-Codes gehören dazu, sonst wird aus dem Schutz eine Aussperrung.

Am 10.10.2023 hat Google Passkeys zur Standardoption für private Google-Konten gemacht: Seither schlägt Google beim Anmelden vor, einen Passkey zu erstellen, und die Einstellung «Skip password when possible» – auf der deutschen Hilfeseite «Wenn möglich, Passwort überspringen» – ist eingeschaltet. Laut Google-Blog sind Passkeys 40 % schneller als Passwörter, und wer lieber beim Passwort bleibt, schaltet die Option einfach aus. Technisch ist ein Passkey ein Schlüsselpaar: Der private Schlüssel bleibt auf deinem Gerät oder im Schlüsselbund, Google kennt nur den öffentlichen. Beim Anmelden bestätigst du mit Fingerabdruck, Gesicht oder PIN, dass du das Gerät entsperren kannst – die biometrischen Daten bleiben laut Google auf dem Gerät.

Weil ein Passkey laut Google-Hilfe nicht geteilt, kopiert, aufgeschrieben oder versehentlich weitergegeben werden kann, gibt es nichts, was eine Phishing-Seite abfragen könnte, und er funktioniert nur für die echte Google-Adresse. Deshalb entfällt mit dem Passkey auch der zweite Schritt: Der Besitz des Geräts ist bereits bewiesen. Wichtig ist Googles Warnung dazu: Erstelle Passkeys nur auf Geräten, die dir gehören – jede Person, die dein Gerät entsperren kann, kommt damit ins Google-Konto, auch wenn du dich dort abgemeldet hast. Auf gemeinsam genutzten Tablets oder dem Familien-PC hat ein Passkey nichts verloren.

Wie weit das verbreitet ist, zeigt die FIDO Alliance, die den Standard verantwortet: Am 15.10.2026 meldete sie rund 7 Milliarden Passkeys weltweit, und bei den 15 grossen Verbraucherdiensten ihres «Passkey Index» laufen über ein Drittel der erfolgreichen Anmeldungen per Passkey – laut FIDO fast dreimal schneller als mit Passwort und klassischem zweiten Faktor, und alle Dienste, die Phishing messen, verzeichnen seither weniger erfolgreiche Angriffe. Das Passwort bleibt bei Google trotzdem als Ersatzweg bestehen und muss deshalb genauso stark sein wie vorher; den Abschnitt «Passkeys: der nächste Schritt» in unserer Passwort-Anleitung (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist) kannst du als Ergänzung lesen.

Der häufigste Grund für eine Aussperrung ist nicht der Hacker, sondern das verlorene, gestohlene oder kaputte Smartphone. Google empfiehlt auf der Hilfeseite «Häufige Probleme» zuerst zwei Dinge: dich auf dem verlorenen Gerät abmelden und das Passwort des Google-Kontos ändern – beides geht von jedem anderen Gerät aus, auf dem du angemeldet bist. Dann wählst du auf dem Anmeldebildschirm «Andere Option wählen» und nimmst, was du vorbereitet hast: einen Backup-Code, ein anderes angemeldetes Smartphone, eine zweite Telefonnummer, einen Hardware-Sicherheitsschlüssel oder einen Passkey auf einem anderen Gerät.

Zwei stille Helfer sind oft noch da: Ein Computer, auf dem du «Auf diesem Computer nicht mehr fragen» gesetzt hast, lässt dich laut Google eventuell ohne zweiten Schritt hinein – von dort aus kannst du deine Methoden neu ordnen. Und die Telefonnummer kannst du dir von deinem Mobilfunkanbieter auf eine neue SIM oder eSIM übertragen lassen; dann kommen SMS-Codes wieder an. Was eine eSIM ist und wie der Wechsel läuft, erklärt unser Lexikon (→ Was ist eine eSIM? So funktioniert die digitale SIM-Karte). Nutzt du Google Authenticator mit Konto-Synchronisierung, sind die Codes nach der Anmeldung auf dem neuen Gerät automatisch wieder da – ohne Synchronisierung sind sie mit dem alten Gerät weg, und du brauchst die Backup-Codes.

Hast du weder Ersatzmethode noch Backup-Codes, bleibt die Kontowiederherstellung über die hinterlegte E-Mail-Adresse oder Telefonnummer. Google stellt dabei Fragen zum Konto, und weil die 2-Faktor-Authentifizierung aktiv ist, kann die Prüfung laut Hilfe drei bis fünf Arbeitstage dauern. Genau deshalb lohnt sich die Viertelstunde im Reiter «Backup-Codes und Wiederherstellung» vorher. Das BSI mahnt zusätzlich, bei der Wiederherstellung auf mehrstufige Verfahren zu achten: Ein Wiederherstellungsweg, der mit einem einzigen Faktor auskommt, schwächt den ganzen Schutz – Angreifer setzen genau dort an.

Was hier für Google steht, gilt für jedes wichtige Konto: Apple-Konto, Microsoft-Konto, E-Banking, Mobilfunk-Kundenportal, Instagram, WhatsApp. Das BSI nennt ausdrücklich Online-Banking, Online-Shopping und Konten mit weitreichenden Rechten wie E-Mail und Social Media als die Fälle, in denen sich der zweite Faktor zuerst lohnt, und rät in jedem Fall davon ab, ihn wieder auszuschalten. Die Reihenfolge nach dem Google-Konto: E-Mail (falls nicht Gmail), Apple- oder Microsoft-Konto, Passwort-Manager, Bank und Zahlungsdienste, Mobilfunkanbieter, dann Social Media und Shops. Wie dringend das bei Messengern ist, zeigt die Welle gekaperter WhatsApp-Konten vom Oktober 2026: Das BACS zählte über 50 Meldungen in einem Monat, Schutz bietet die zweistufige Überprüfung mit PIN (→ Gefälschte Abstimmungen kapern WhatsApp-Konten: über 50 Meldungen im Oktober – das BACS warnt).

Wer viele Konten mit Authenticator-Codes schützt, bekommt eine Verwaltungsfrage: Wo liegen die Codes, und was passiert beim Gerätewechsel? Google Authenticator synchronisiert sie mit dem Google-Konto; Passwort-Manager bieten dasselbe im eigenen Tresor. Laut unserem Vergleich vom 16.10.2026 enthält NordPass Premium einen Authenticator, Bitwarden hat ihn schon im Gratis-Plan und ab Premium im Tresor, und auch Proton Pass Plus bringt ihn mit (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich). Das BACS empfiehlt auf seiner Seite «Geräteschutz» genau diese Kombination: für jeden Dienst ein eigenes Passwort, wo möglich Zwei-Faktor-Authentisierung und ein Passwort-Manager, der diese unterstützt. Bequem ist es, Passwort und Code im selben Tresor zu haben – wer die Faktoren streng trennen will, nutzt dafür eine separate App auf dem Smartphone, wie es das BSI für den sichersten Fall empfiehlt.

Ein Missverständnis zum Schluss: Ein VPN schützt deine Verbindung, nicht dein Konto. Es verschlüsselt den Weg zwischen Gerät und VPN-Server und verbirgt deine IP-Adresse, aber es hindert niemanden daran, sich mit deinem gestohlenen Passwort bei Google anzumelden – und es erkennt keine Phishing-Seite (→ Was ist ein VPN? So funktioniert das virtuelle private Netzwerk). Zweiter Faktor und VPN lösen verschiedene Probleme; wer beides will, richtet zuerst den zweiten Faktor ein und danach das VPN (→ VPN auf dem iPhone einrichten – mit App oder von Hand). Und wenn du auf einem fremden Computer angemeldet warst, räume danach Cookies und gespeicherte Anmeldungen weg (→ Cache und Cookies löschen – in jedem Browser, am Computer und am Handy).

Journalistinnen, Aktivisten, Politiker, Anwältinnen oder Menschen, die aus anderen Gründen gezielt angegriffen werden könnten, nennt Google als Zielgruppe seines erweiterten Sicherheitsprogramms. Es ist laut Google kostenlos; bezahlen musst du höchstens die Sicherheitsschlüssel. Der Unterschied zur normalen 2-Faktor-Authentifizierung: Die Anmeldung geht nur noch mit Passkey oder Hardware-Sicherheitsschlüssel, Aufforderungen, SMS und App-Codes fallen weg. Zusätzlich schränkt Google den Zugriff von Drittanbieter-Apps auf deine Daten ein, prüft verdächtige Downloads strenger und macht die Kontowiederherstellung aufwendiger, damit sie nicht als Hintertür dient.

Vor der Anmeldung solltest du laut Google eine Wiederherstellungs-E-Mail-Adresse und -Telefonnummer eintragen, die 2-Faktor-Authentifizierung aktivieren und einen oder besser mehrere Sicherheitsschlüssel bereithalten. Backup-Codes lassen sich im Programm nicht herunterladen – der Ersatz ist der zweite Schlüssel. Verlierst du den einzigen Schlüssel, bleibt laut Hilfe nur die Kontowiederherstellung. Workspace-Konten von Arbeitgeber oder Schule können teilnehmen, wenn die Administration das Programm freigeschaltet hat; verpflichten kann sie niemanden. Für die meisten Privatpersonen ist das Programm mehr Aufwand als nötig – Passkey plus Backup-Codes plus eine zweite Methode reichen. Wer aber gezielte Angriffe fürchtet, bekommt hier den stärksten Schutz, den Google anbietet.