WhatsApp: Aus der sechsstelligen Konto-PIN wird ein Passwort

WhatsApp hat am 25. August drei Änderungen an der Kontosicherheit angekündigt. Die auffälligste betrifft ein Feld, das viele einmal ausgefüllt und danach nie wieder angefasst haben: die sechsstellige PIN der Verifizierung in zwei Schritten. An ihre Stelle tritt ein Passwort.

Sechs Ziffern rät man, acht Zeichen weniger leicht

Die Verifizierung in zwei Schritten ist der Schutz, der greifen soll, wenn jemand anders an deinen Einmalcode per SMS kommt. Dahinter stand bisher eine PIN aus sechs Ziffern. WhatsApp schreibt dazu im eigenen Blog einen bemerkenswert offenen Satz: "Wenn du bisher 123456 verwendet hast, ist das ein guter Zeitpunkt für ein Upgrade."

Künftig steht dort ein Passwort. Der Screenshot in WhatsApps Ankündigung zeigt die Anforderungen im Detail: mindestens acht Zeichen, mindestens ein Buchstabe, mindestens eine Ziffer. Sonderzeichen sind erlaubt, aber nicht vorgeschrieben. Ein hoher Anspruch ist das nicht. Gegenüber sechs reinen Ziffern ist es trotzdem eine andere Größenordnung.

Der Schutz zielt auf einen bestimmten Angriff. Wer deine Rufnummer übernimmt, per SIM-Swapping oder über eine alte Nummer, die neu vergeben wurde, bekommt auch den Einmalcode zugestellt. Ohne die zweite Hürde wäre das Konto in diesem Moment weg.

Mehrere Passkeys für alle mit Android und iPhone

Nach Angaben von WhatsApp haben mehr als eine Milliarde Menschen einen Passkey eingerichtet. Ein Passkey ersetzt Code und PIN durch Fingerabdruck, Face ID oder den Code der Bildschirmsperre. Neu ist, dass ein Konto mehr als einen Passkey tragen darf. Wer ein Android-Handy und ein iPhone parallel nutzt, musste sich bisher für ein Ökosystem entscheiden. Der Weg dorthin führt über Einstellungen, Konto, Passkeys.

Passkeys sind der Teil, der am meisten ändert. Ein Passwort lässt sich abfischen, ein SMS-Code ebenfalls. Der private Teil eines Passkeys verlässt das Gerät nicht, deshalb läuft klassisches Phishing hier ins Leere. Jede Lücke schließt auch das nicht: Wer eine bereits angemeldete Sitzung übernimmt, braucht weder Passwort noch zweiten Faktor.

Android zeigt, woher der unbekannte Anruf kommt

Die dritte Änderung gilt nur für Android. Ruft eine Nummer an, die nicht in deinen Kontakten steht, blendet WhatsApp zusätzliche Angaben ein: aus welchem Land die Nummer stammt und ob ihr in denselben Gruppen seid. Das Beispielbild in der Ankündigung zeigt eine deutsche Mobilnummer mit den Hinweisen "Nicht in den Kontakten" und "Ihr seid beide in 2 Gruppen".

Gedacht ist das gegen Schockanrufe und Betrugsmaschen, die mit Zeitdruck arbeiten. WhatsApp formuliert es so: "Betrüger setzen auf Dringlichkeit, also nimm dir einen Moment mit diesen zusätzlichen Infos, bevor du rangehst." Es ist eine Einordnungshilfe, keine Erkennung. Eine echte inhaltliche Prüfung testet der Dienst getrennt davon, und auch die greift nur bei Fremden.

Was du damit machen solltest

Die drei Funktionen kommen nicht auf einen Schlag. WhatsApp spricht im eigenen Blogeintrag von Funktionen, "an denen wir gerade arbeiten". Wenn die Passwort-Option in deiner App heute noch nicht auftaucht, ist das kein Fehler deines Geräts.

Sobald sie da ist, lohnt diese Reihenfolge: zuerst den Passkey einrichten, danach die Verifizierung in zwei Schritten auf ein Passwort umstellen. Und dieses Passwort so wählen, dass du es wiederfindest. WhatsApp fragt es nur selten ab, meist erst beim Anmelden auf einem neuen Gerät, also genau dann, wenn das alte womöglich nicht mehr greifbar ist. Was bei verlorenem Zugang sonst hilft, haben wir getrennt aufgeschrieben.