Handy weg, Zugang weg? Dein Notfallplan für die Zwei-Faktor-Codes
Guten Abend und willkommen im Oktober,
wir predigen seit Jahren dasselbe: Schalte die Zwei-Faktor-Anmeldung ein. Gut so, das bleibt richtig. Nur hat die Sache eine Kehrseite, über die erstaunlich wenige reden. Wer alle zweiten Faktoren auf einem einzigen Telefon sammelt, hat einen sehr sicheren Generalschlüssel gebaut. Und genau einen. Fällt das Gerät ins Hafenbecken, wird geklaut oder gibt einfach den Geist auf, sperrst du dich womöglich selbst aus. Zwei Meldungen der letzten Tage machen das Thema gerade sehr praktisch.
Microsoft zieht beim Authenticator den Stecker aus dem Backup
Wer den Microsoft Authenticator auf Android nutzt, sichert seine Einmalcodes bisher über ein privates Microsoft-Konto in der Cloud. Damit ist ab Januar 2027 Schluss. Microsoft schreibt auf seiner Support-Seite zum Backup knapp, das private Microsoft-Konto werde dann nicht mehr für die Sicherung verwendet, stattdessen laufe sie über Google One. Laut heise online wählst du dafür in den Backup-Einstellungen von Google One unter „Weitere Gerätedaten" den Authenticator aus. Wie das Zusammenspiel künftig im Detail funktioniert, verrät Microsoft bislang nicht. Auf dem iPhone ändert sich nichts, dort landet die Sicherung weiter in iCloud.
Zwei Kleingedruckte aus derselben Support-Seite solltest du kennen, bevor du dich auf die Sicherung verlässt. Erstens: Ein Backup lässt sich nur auf dem gleichen Gerätetyp zurückspielen. Wer vom iPhone auf Android wechselt (oder umgekehrt), fängt bei null an. Zweitens: Für Arbeits- und Schulkonten sowie für passwortlose Microsoft-Konten wird nur der Kontoname gesichert. Nach der Wiederherstellung musst du dich dort neu anmelden. Das Backup ist also eine Krücke, kein Rettungsboot.
WhatsApp lässt veraltete Telefone nicht mehr rein
Die zweite Meldung trifft genau die Leute, die ihr altes Handy „noch gut" finden. WhatsApp verweigert bei einem Teil der Nutzer auf Android und iOS die Anmeldung, wenn das Betriebssystem zu alt ist. Die Sperre wird serverseitig verteilt, kommt also ohne App-Update, und lässt sich nicht wegklicken. Welche Versionen sie auslösen, sagt WhatsApp nicht (heise online, 6. Oktober). Begründung von Meta: Alte Systeme seien anfällig für Schadsoftware, mit der sich Geräte und Apps übernehmen lassen.
Die Begründung stimmt. Die Umsetzung ist trotzdem bemerkenswert inkonsequent: Offiziell unterstützt WhatsApp laut heise weiterhin Android 6 aus dem Jahr 2015, das seit Jahren keinen einzigen Sicherheitspatch mehr bekommt. Ein Konzern, der Milliarden an deinen Kontakten und Metadaten verdient, sperrt dich also im Zweifel ohne Vorwarnung aus deinem Chatverlauf aus und erklärt die Kriterien nicht. Für dich heißt das ganz nüchtern: Wenn dein Telefon keine Updates mehr bekommt, hast du nicht nur ein Sicherheitsproblem, sondern bald auch ein Zugangsproblem.
Der Notfallplan: eine halbe Stunde an einem ruhigen Abend
1. Bestandsaufnahme. Öffne deine Authenticator-App und schreib dir auf, welche Konten dort drinstecken. Meistens sind es mehr, als du denkst: Mail, Cloud, Bank, Shop, Spielkonsole. Das ist die Liste der Türen, die mit deinem Handy verschwinden würden.
2. Wiederherstellungscodes holen. Fast jeder Dienst bietet in den Sicherheitseinstellungen Einmal-Codes für den Notfall an. Erzeuge sie für deine wichtigsten Konten, mindestens für das Haupt-Mailpostfach. Denn wer dein Postfach hat, setzt alle anderen Passwörter zurück. Druck die Codes aus und leg sie zu deinen wichtigen Papieren. Ein Screenshot in der Fotogalerie desselben Handys ist kein Notfallplan.
3. Zweiten Faktor doppelt hinterlegen. Wo es geht, registrierst du einen zweiten Weg: einen Passkey auf dem Laptop, einen Hardware-Schlüssel oder ein zweites Gerät. Das BSI erklärt die verschiedenen Verfahren verständlich und ohne Herstellerbrille.
4. Android-Nutzer mit Microsoft Authenticator: Prüf in der App unter Einstellungen, ob „Cloud-Sicherung" aktiv ist und wohin sie geht. Den Umzug auf Google One solltest du vor Januar erledigen, nicht danach. Und wenn du ohnehin wechseln willst, gilt Regel 2 doppelt: erst Codes sichern, dann umziehen.
5. Update-Stand ehrlich anschauen. Unter Einstellungen findest du das Datum des letzten Sicherheitsupdates. Liegt es mehr als ein halbes Jahr zurück und kommt nichts mehr nach, plane den Gerätewechsel, bevor WhatsApp oder deine Bank ihn für dich plant. Sichere vorher den Chatverlauf: WhatsApp, Einstellungen, Chats, Chat-Backup.
Warum mir das so wichtig ist? Weil die Zwei-Faktor-Anmeldung genau dann zählt, wenn dein Passwort schon draußen ist. Und Passwörter landen draußen, öfter als jemand zugibt. Ob deins in bekannten Leaks auftaucht, kannst du mit unserem Passwort-Checker prüfen. Und damit du nicht erst Monate später erfährst, dass deine Adresse in einem neuen Datensatz steckt, schlägt das Darknet-Radar Alarm, sobald es einen Treffer findet. Was in welchem Paket steckt, siehst du in der Übersicht.
Kurz notiert
ChatGPT auf dem Mac: Update installieren. Der Sicherheitsforscher Patrick Wardle hat in der macOS-App von ChatGPT eine Lücke gefunden, über die Schadcode auf dem Rechner den kompletten Gesprächsverlauf hätte abgreifen können (CVE-2026-100754). OpenAI hat Ende September nachgebessert, ob die Lücke ausgenutzt wurde, ist unklar (heise online). Wer der App Steuererklärung, Arztbrief und Beziehungskrise anvertraut hat, sollte die aktuelle Version haben. Und vielleicht kurz darüber nachdenken, was in so einem Verlauf eigentlich alles liegt.
Mach die halbe Stunde. Dein künftiges Ich, das nach dem Handyverlust im Laden steht, wird dir sehr dankbar sein.
Bis in zwei Wochen,
Max
|
Aus dem Magazin
ASOS-Datenleck: Hacker verschicken Drohung über die Kunden-App
Am 6. Oktober leuchtete auf den Handys vieler ASOS-Kunden, auch in Deutschland, eine Push-Nachricht mit dem Titel „ASOS HACKED" auf. Der Modehändler bestätigt einen unbefugten Zugriff auf seine Plattformen zur Kundenkommunikation, Namen und Kontaktdaten könnten abgeflossen sein, Passwörter und Kartendaten laut ASOS nicht. Der Bericht erklärt, warum du jetzt mit sehr glaubwürdigem Phishing im Namen des Händlers rechnen solltest.
Vorsorgevollmacht und Patientenverfügung richtig aufbewahren
Banken und Behörden wollen bei der Vorsorgevollmacht in der Regel das Original sehen, die Patientenverfügung dagegen muss vor allem schnell auffindbar sein. Der Ratgeber zeigt, welches Exemplar wohin gehört, was seit 1. Oktober 2026 beim Zentralen Vorsorgeregister neu ist und warum ein Scan das Original ergänzt, aber nie ersetzt.
Telefonbuch-Eintrag löschen: So verschwindest du aus dem Örtlichen
Der Eintrag von damals hat jeden Anbieterwechsel überlebt und ist online lebendiger denn je, samt Rückwärtssuche. Gelöscht wird er nicht beim Verzeichnis, sondern über deinen Telefonanbieter, der das nach § 17 Abs. 3 TDDDG kostenlos umsetzen muss. Der Ratgeber zeigt die Stufen zwischen „alles sichtbar" und „komplett weg".
TikTok, Instagram und YouTube im WLAN sperren: So geht es an der FRITZ!Box
„tiktok.com" in die Sperrliste zu tippen reicht nicht, weil die Apps über Dutzende Hintergrund-Adressen laden. Der Ratgeber erklärt, wie ein DNS-Filter in der FRITZ!Box das für alle Geräte im Haus löst, auf Wunsch nur zu festen Zeiten. Dazu: wie die Regeln auch unterwegs greifen und auf welchen Wegen Kinder Sperren umgehen.
E-Mail-Tracking blockieren: Zählpixel und gehashte Adressen stoppen
Ein unsichtbarer Zählpixel verrät dem Absender, wann, wie oft und auf welchem Gerät du seine Mail öffnest. Die jüngere Masche: Deine Adresse selbst wird als Hash zur Werbe-Kennung, die dich quer durchs Netz wiedererkennt. Der Ratgeber liefert Einstellungen für gängige Mailprogramme, einen Selbsttest und eine Adress-Strategie.
Flink-Datenleck: Erpresser schreiben Kunden des Lieferdienstes an
Mit gestohlenen Zugangsdaten haben Unbefugte Kundendaten aus einem internen Bestellsystem von Flink kopiert, seit dem 25. September fordern sie per Mail rund 10 Euro in Kryptowährung. Betroffen sein können Name, Lieferadresse, Telefonnummer, Klingelschild und Bestellungen, Zahlungsdaten laut Flink nicht. Die klare Empfehlung des Berichts: als betroffen behandeln, nicht zahlen.
|