Handy weg, Konto gesperrt: Was jetzt wirklich hilft

Das Handy ist weg. Gestohlen, ins Wasser gefallen, egal. Das Passwort für dein Google-Konto weißt du noch, nur fragt Google jetzt nach dem zweiten Faktor, und der lag auf genau diesem Gerät.

Hier entscheidet sich, ob das ein verlorener Nachmittag wird oder ein verlorenes Konto. Die Entscheidung ist allerdings längst gefallen, nämlich an dem Tag, an dem du die Zwei-Faktor-Anmeldung eingerichtet hast.

Wir haben die Wiederherstellungsverfahren von Google, Apple und Microsoft gelesen, dazu die von 1Password, Bitwarden und Dashlane. Bei allen sechs gilt dasselbe: Nachträglich lässt sich nichts einrichten. Jeder Weg zurück muss vorher gelegt worden sein.

Im Magazin zu den Sicherheitsschlüsseln löschen acht Fehleingaben in Folge alle Registrierungen auf dem Gerät. Hier trifft es kein Stück Hardware, sondern dein Postfach.

Was die Anbieter wirklich verlangen

Der bequemste Weg ist bei allen drei großen Anbietern derselbe: ein zweites Gerät, das noch angemeldet ist. Hast du das nicht, wird es schnell dünn.

Google akzeptiert ein anderes angemeldetes Telefon, eine zweite hinterlegte Nummer, einen Backup-Code, einen Sicherheitsschlüssel oder einen Passkey von einem anderen Gerät. Die Backup-Codes sind der unterschätzte Posten: zehn Stück, achtstellig, jeder genau einmal gültig. Ein neuer Satz macht den alten im selben Moment ungültig.

Apple zählt den Gerätecode deines iPhones als vollwertigen Wiederherstellungsfaktor. Er sei "also used to reset your Apple Account password and to recover your end-to-end encrypted data if you lose access to your account". Die Zahl, die du beim Entsperren eintippst, ist also mehr als ein Bildschirmschutz.

Microsoft gibt keinen Codeblock aus, sondern genau einen 25-stelligen Wiederherstellungscode. Der ist nicht nachträglich abrufbar: "You cannot retrieve or download an existing Microsoft account recovery code."

Die Wartezeit ist das eigentliche Problem

Wer keinen zweiten Faktor mehr hat, landet im Wiederherstellungsverfahren. Das dauert, und zwar absichtlich.

Google nennt eine konkrete Spanne: "it can take 3-5 business days for Google to make sure it's you". Schnell noch eine neue Nummer eintragen hilft nicht, denn "it may take up to 7 days for those changes to take effect".

Das trifft auch Googles neuen Rettungsanker. Recovery Contacts lassen bis zu zehn vertraute Personen deine Identität bestätigen. Nur hat der Kontakt sieben Tage Zeit anzunehmen, danach läuft eine weitere Woche, bevor er nutzbar ist. Im Ernstfall ist es dafür zu spät: "You can't add a recovery contact while you're locked out of your account or in the account recovery process."

Apple nennt keine Zahl, sondern "several days or longer", und beantwortet die naheliegende Frage selbst. "Can the waiting period be shortened? No."

Microsoft ist der Sonderfall. Das Wiederherstellungsformular wird binnen 24 Stunden beantwortet, allerdings nur, solange die Zwei-Faktor-Anmeldung aus ist. Wurden sämtliche Sicherheitsinformationen ersetzt, sperrt Microsoft das Konto für 30 Tage.

Drei Fallen, die kaum jemand kennt

Microsofts 30 Tage lassen sich nur mit dem abkürzen, was du verloren hast. Der Hilfeartikel sagt: "We can't expedite the 30-day process unless you cancel the request." Für das Stornieren gilt aber: "You'll need access to these security proofs to complete the cancel request." Und wer die Zwei-Faktor-Anmeldung an hat und keine der hinterlegten Alternativen mehr erreicht, bekommt von Microsoft einen Satz, den man so selten liest: "we cannot help you, sorry."

Apple bricht die laufende Wiederherstellung ab, wenn du das Konto benutzt. Nicht nach einer Warnung, sondern still: "If your Apple Account is in use during your request, your account recovery will be cancelled automatically." Ein iPad im Wohnzimmer, das noch angemeldet ist, reicht. Nur das Gerät, auf dem du den Vorgang gestartet hast, darfst du weiterbenutzen.

Das Authenticator-Backup rettet ausgerechnet das Microsoft-Konto nicht. Bei passwortlosen Konten sichert Microsoft nur den Kontonamen: "then only the account name is backed up. When you restore, you will need to sign in again." Dazu die Plattformmauer: "accounts backed up using an iOS device cannot be restored on an Android device." Beim Wechsel von iPhone zu Android ist das Backup wertlos.

Bei den Passwortmanagern ist wirklich Schluss

Google und Apple lassen dich am Ende irgendwie wieder rein, wenn du genug beweisen kannst. Bei Passwortmanagern gibt es diese Instanz nicht. Eine Ausnahme sind Familien- und Teamkonten, wo ein Organisator oder Administrator zurücksetzen kann. Wer allein zahlt, hat niemanden über sich.

Bitwarden formuliert es ohne Umschweife: "Bitwarden employees and systems have no knowledge of, way to retrieve, or way to reset your master password." Und für den Verlust des zweiten Faktors: "there is no way for Bitwarden to recover the account or its data. You will need to delete your account and create a new one." Der rettende Wiederherstellungscode steht in den Einstellungen, allerdings hinter der Abfrage des Master-Passworts. Er nützt nur dem, der ihn vorher herausgeschrieben hat.

Bei 1Password kommt ein verbreiteter Irrtum dazu. Der 34-stellige Secret Key sieht aus wie ein Notfallcode, ist aber keiner: "Your Secret Key is not: A backup code. It doesn't let you sign in if you forget your 1Password account password." Seit 2024 gibt es dafür einen echten Wiederherstellungscode, mehrfach nutzbar, mit Zugang zum hinterlegten Postfach.

Dashlane schickt als einziger im Feld neue Codes per SMS nach, wenn der zweite Faktor fehlt. Das Master-Passwort setzt auch Dashlane nicht zurück. Dafür gibt es einen Recovery Key und eine biometrische Wiederherstellung auf Android und iPhone.

Was du heute einrichtest

Backup-Codes ausdrucken. Nicht abfotografieren, nicht in den Passwortmanager legen, den du gerade absicherst. Apple sagt das für seinen Wiederherstellungsschlüssel ausdrücklich: nicht in der Passwörter-App, nicht in iCloud Drive, denn "if you lose access to your Apple Account, you won't be able to open these apps to find it".

Einen zweiten Faktor auf einem zweiten Gerät. Tablet, alter Zweitschlüssel, Authenticator auf dem Arbeitsrechner. Ein einzelnes Handy als einziger Faktor ist der Fehler, aus dem alles andere folgt.

Vertrauenspersonen jetzt eintragen. Google erlaubt zehn Wiederherstellungskontakte, Apple fünf. Beide brauchen Vorlauf, Google zweimal sieben Tage.

Beim Wiederherstellungsschlüssel zweimal überlegen. Wer ihn bei Apple aktiviert, schaltet das normale Verfahren ab. Verlierst du dann Schlüssel und Geräte, gilt: "you'll be locked out of your account permanently."