Google-Konto: Zwei-Faktor-Authentifizierung einrichten

Öffne myaccount.google.com, gehe links auf Sicherheit und klicke unter „So meldest du dich in Google an“ auf Bestätigung in zwei Schritten (auch 2-Faktor-Authentifizierung oder 2FA genannt). Richte dort einen zweiten Faktor ein – am sichersten ein Passkey oder eine Authenticator-App, als Notfallweg Backup-Codes. Danach braucht jede Anmeldung zusätzlich zum Passwort diese zweite Bestätigung.

Welcher zweite Faktor passt zu dir?

2FA bedeutet: Zum Passwort (etwas, das du weißt) kommt ein zweiter Nachweis (etwas, das du hast oder bist). Selbst wenn jemand dein Passwort kennt, kommt er ohne diesen zweiten Faktor nicht ins Konto. Google bietet mehrere Methoden – sie unterscheiden sich deutlich in Sicherheit und Komfort:

• Passkey – Anmeldung per Fingerabdruck, Gesicht oder Geräte-PIN. Phishing-sicher, weil der Schlüssel das Gerät nie verlässt. Die von Google empfohlene Methode.
• Google-Aufforderungen – eine Push-Benachrichtigung auf deinem angemeldeten Smartphone, die du mit einem Tipp bestätigst. Bequem, braucht aber Internet.
• Authenticator-App (z. B. Google Authenticator) – erzeugt alle 30 Sekunden einen sechsstelligen Code, komplett offline. Guter Kompromiss aus Sicherheit und Unabhängigkeit.
• Sicherheitsschlüssel – ein physischer USB-/NFC-Stick (FIDO2). Höchste Sicherheit, ideal für besonders schützenswerte Konten.
• SMS oder Anruf – ein Code aufs Handy. Funktioniert überall, gilt aber als schwächste Variante (SIM-Swapping, abgefangene SMS). Nur nutzen, wenn nichts anderes geht.
• Backup-Codes – zehn achtstellige Einmalcodes für den Notfall. Kein Hauptfaktor, sondern dein Ersatzschlüssel, wenn das Handy weg ist.

Empfehlung für die meisten: ein Passkey oder eine Authenticator-App als Hauptmethode, dazu Backup-Codes ausgedruckt im Schreibtisch. SMS höchstens als Zusatz.

2-Faktor-Authentifizierung Schritt für Schritt aktivieren

Die folgenden Schritte gelten für den Browser am Computer; auf dem Smartphone heißt der Einstieg in der Google-App oder den Geräte-Einstellungen sinngemäß genauso.

1. Rufe myaccount.google.com auf und melde dich an.
2. Klicke in der linken Navigation auf Sicherheit.
3. Scrolle zum Abschnitt „So meldest du dich in Google an“ und wähle Bestätigung in zwei Schritten.
4. Klicke auf Starten und bestätige dein Passwort, wenn Google danach fragt.
5. Wähle deinen zweiten Faktor aus. Beispiel Authenticator-App: Wähle Authenticator, öffne die App auf dem Handy, tippe dort auf Code hinzufügen und scanne den QR-Code vom Bildschirm.
6. Gib den in der App angezeigten sechsstelligen Code im Browser ein und bestätige – der Faktor ist verknüpft.
7. Aktiviere die Bestätigung in zwei Schritten endgültig über Aktivieren.
8. Wichtig: Lege im selben Menü unter Backup-Codes sofort einen Satz Codes an, drucke sie aus oder speichere sie an einem sicheren Ort offline.

Für einen Passkey wählst du stattdessen Passkey erstellen und folgst der Geräteabfrage (Fingerabdruck, Gesicht oder PIN). Den Haken „Auf diesem Gerät nicht mehr fragen“ setzt du nur auf wirklich privaten Geräten – an einem geteilten oder fremden Rechner niemals.

Wenn die Einrichtung hakt

Drei Stolperfallen tauchen besonders oft auf:

• Authenticator-Code wird abgelehnt: Meist läuft die Uhr des Smartphones falsch. Stelle Datum/Uhrzeit auf automatisch – die Codes sind zeitbasiert und reagieren empfindlich auf Abweichungen von mehr als 30 Sekunden.
• Keine Push-Aufforderung erhalten: Das Gerät muss online und mit demselben Google-Konto angemeldet sein. Ohne Internet greift nur eine Authenticator-App oder ein Backup-Code.
• QR-Code lässt sich nicht scannen: Nutze in der App die Option, den Einrichtungsschlüssel manuell als Text einzugeben, statt den Code abzufotografieren.

Und der wichtigste Fall: zweiter Faktor verloren. Hast du dein Handy oder den Schlüssel nicht mehr, meldest du dich mit einem Backup-Code an oder über eine zweite hinterlegte Methode. Fehlt beides, führt nur noch die Konto-Wiederherstellung weiter – und die kann mehrere Tage dauern. Genau deshalb gehören Backup-Codes oder ein zweiter Faktor von Anfang an dazu.

Warum Google die zwei Schritte zunehmend verlangt

Reine Passwörter sind die Schwachstelle Nummer eins: Sie werden in Datenlecks erbeutet, per Phishing abgegriffen oder über mehrere Dienste hinweg wiederverwendet. Die zweite Stufe entwertet ein gestohlenes Passwort, weil der Angreifer den physischen Faktor nicht besitzt. Google macht die Bestätigung in zwei Schritten deshalb seit 2025 für neue Konten zum Standard und drängt bestehende Nutzer schrittweise dazu. Ein Google-Konto hängt selten allein da – Gmail, Fotos, Drive, gespeicherte Zugänge und oft die Wiederherstellungsadresse anderer Dienste laufen darüber zusammen. Fällt es, fällt eine ganze Kette. Die paar Minuten Einrichtung sind damit eine der wirksamsten Sicherheitsmaßnahmen überhaupt.

Häufige Fragen

Brauche ich für die Google-2FA zwingend eine SMS?

Nein. SMS ist nur eine von mehreren Optionen und gilt als die schwächste. Sicherer sind ein Passkey, eine Authenticator-App oder Google-Aufforderungen. Backup-Codes dienen als Notfallweg ohne SMS.

Was passiert, wenn ich mein Handy mit der Authenticator-App verliere?

Du meldest dich mit einem deiner zehn Backup-Codes oder einer zweiten hinterlegten Methode an. Fehlt beides, bleibt nur die Konto-Wiederherstellung, die mehrere Tage dauern kann. Deshalb Backup-Codes immer vorab sichern.

Was ist der Unterschied zwischen Passkey und Authenticator-App?

Ein Passkey nutzt Fingerabdruck, Gesicht oder Geräte-PIN und ist phishing-sicher, weil der Schlüssel das Gerät nie verlässt. Eine Authenticator-App erzeugt zeitbasierte Codes offline – etwas weniger komfortabel, aber sehr robust.

Muss ich den Code wirklich bei jeder Anmeldung eingeben?

Nur auf neuen oder fremden Geräten. Auf einem privaten Gerät kannst du die Option, auf diesem Gerät nicht mehr zu fragen, aktivieren – dann entfällt der zweite Schritt dort. An geteilten oder fremden Rechnern solltest du das niemals setzen.

Ist die Zwei-Faktor-Authentifizierung bei Google Pflicht?

Für neue persönliche Konten richtet Google sie seit 2025 standardmäßig ein und drängt bestehende Nutzer schrittweise dazu. Verpflichtend nutzen solltest du sie ohnehin – ein reines Passwort ist die häufigste Schwachstelle.