Die Zwei-Faktor-Authentifizierung bei Google aktivierst du unter myaccount.google.com → Sicherheit → Abschnitt „So melden Sie sich in Google an“ → 2-Faktor-Authentifizierung. Dort wählst du einen zweiten Faktor – am sichersten einen Passkey oder eine Authenticator-App. Danach legst du sofort zehn Backup-Codes an. Ab dann verlangt jede Anmeldung auf einem neuen Gerät zusätzlich zum Passwort diesen zweiten Nachweis.
Ein Hinweis vorweg, weil er beim Suchen ständig für Verwirrung sorgt: Google hat die Funktion umbenannt. In der Hilfe und in neueren Kontoansichten heißt sie 2-Faktor-Authentifizierung, in älteren Menüs und Screenshots noch Bestätigung in zwei Schritten. Gemeint ist dasselbe.
Welcher zweite Faktor passt zu dir?
2FA heißt: Zum Passwort (etwas, das du weißt) kommt ein zweiter Nachweis (etwas, das du hast oder bist). Wer dein Passwort aus einem Datenleck kennt, steht damit trotzdem vor einer verschlossenen Tür. Google bietet mehrere Methoden an, und die unterscheiden sich deutlich – nicht nur im Komfort:
| Methode | Schutz gegen Phishing | Braucht Internet | Geeignet für |
|---|---|---|---|
| Passkey (Fingerabdruck, Gesicht, Geräte-PIN) | sehr hoch | nein | alle, die ein modernes Handy oder einen aktuellen Rechner nutzen |
| Sicherheitsschlüssel (USB-/NFC-Stick, FIDO2) | sehr hoch | nein | besonders schützenswerte Konten, Admins |
| Authenticator-App (sechsstelliger Code) | mittel | nein | Reisen, schlechtes Netz, mehrere Konten |
| Google-Aufforderung (Push aufs Handy) | mittel | ja | Alltag, wenn das Handy ohnehin angemeldet ist |
| SMS oder Anruf | gering | ja (Mobilfunk) | Notlösung, wenn nichts anderes geht |
| Backup-Codes (achtstellig, einmalig) | – | nein | Notfall, kein Hauptfaktor |
Phishing-sicher bedeutet bei Passkey und Sicherheitsschlüssel: Der kryptografische Schlüssel ist an die echte Google-Adresse gebunden und verlässt das Gerät nie. Eine nachgebaute Anmeldeseite bekommt deshalb nichts Verwertbares. Einen sechsstelligen Code aus der App kannst du dagegen theoretisch auf einer gefälschten Seite eintippen – darum steht die App eine Stufe darunter. Google selbst empfiehlt Passkeys inzwischen als bevorzugte Methode.
SMS ist die schwächste Variante, und Google rückt sichtbar davon ab: Seit Februar 2025 ist angekündigt, die SMS-Verifizierung bei Gmail schrittweise durch ein QR-Code-Verfahren zu ersetzen, weil abgefangene Kurznachrichten und SIM-Swapping ein reales Problem sind. Wer heute einrichtet, sollte SMS höchstens als zusätzliche Reserve hinterlegen, nicht als Hauptweg.
Anzeige
Zwei-Faktor-Authentifizierung bei Google einrichten – Schritt für Schritt
Die Schritte gelten für den Browser am Rechner. Auf dem Smartphone führt derselbe Weg über die Google-App oder in den Android-Einstellungen über Google → Google-Konto verwalten. Plane fünf Minuten ein und halte dein Handy bereit.
- Rufe myaccount.google.com auf und melde dich an.
- Klicke in der linken Navigation auf Sicherheit.
- Scrolle zum Abschnitt „So melden Sie sich in Google an“ und öffne 2-Faktor-Authentifizierung (in älteren Ansichten: Bestätigung in zwei Schritten).
- Klicke auf Starten und bestätige dein Passwort, wenn Google danach fragt.
- Wähle deinen zweiten Faktor. Für einen Passkey: Passkey erstellen antippen und die Geräteabfrage mit Fingerabdruck, Gesicht oder PIN bestätigen – fertig, ohne Code-Tipperei.
- Für eine Authenticator-App: Authentifizierungs-App einrichten wählen, die App auf dem Handy öffnen, dort Code hinzufügen antippen und den QR-Code vom Bildschirm scannen.
- Tippe den angezeigten sechsstelligen Code im Browser ein und bestätige. Der Faktor ist jetzt mit dem Konto verknüpft.
- Schalte die Anmeldung in zwei Stufen über Aktivieren endgültig scharf.
- Lege im selben Menü unter Backup-Codes sofort einen Satz Codes an – das ist der Schritt, den die meisten überspringen und später bereuen.
Den Haken „Auf diesem Gerät nicht mehr fragen“ setzt du nur auf wirklich privaten Geräten. An einem geteilten Familien-PC, im Büro oder an einem fremden Rechner bleibt er leer – sonst hängt an diesem Browser dauerhaft ein offener Zugang zu deinem Konto.
Warum die Umstellung nicht sofort überall greift
Nach dem Aktivieren kann es dauern, bis eine neu hinterlegte Authenticator-App bei der Anmeldung tatsächlich als Option auftaucht – Google nennt in seiner Hilfe bis zu sieben Tage. Das ist eine Schutzsperre gegen Angreifer, die sich heiße Faktoren unterschieben wollen, kein Fehler. In der Zwischenzeit greifen deine bisherigen Methoden weiter. Ebenso normal: Alte Apps ohne Unterstützung für den zweiten Faktor (etwa ein betagtes Mail-Programm) verlangen danach ein separates App-Passwort statt deines Kontopassworts.
Wie funktioniert der Google Authenticator?
Die App erzeugt sogenannte TOTP-Codes – Time-based One-Time Passwords, also zeitbasierte Einmalpasswörter nach dem offenen Standard RFC 6238. Beim Scannen des QR-Codes wandert ein geheimer Schlüssel von Google in die App. Danach rechnen beide Seiten unabhängig voneinander dasselbe aus: geheimer Schlüssel plus aktuelle Uhrzeit ergibt einen sechsstelligen Code, der alle 30 Sekunden wechselt.
Genau deshalb funktioniert die App komplett offline, im Flugmodus und ohne Mobilfunknetz – sie fragt nichts ab, sie rechnet. Und genau deshalb ist die Uhrzeit des Handys kritisch: Läuft sie mehr als eine halbe Minute daneben, produziert die App rechnerisch korrekte, für Google aber falsche Codes.
Seit der App-Überarbeitung kann Google Authenticator die hinterlegten Konten mit deinem Google-Konto synchronisieren. Meldest du dich auf einem neuen Handy in der App an, sind deine Codes dort automatisch vorhanden. Das löst den schlimmsten Klassiker (Handy weg, alle 2FA-Zugangsdaten weg), hat aber einen Haken: Sicherheitsforscher haben kritisiert, dass die synchronisierten Geheimnisse nicht Ende-zu-Ende-verschlüsselt abgelegt werden. Wer das nicht möchte, nutzt die App ohne Konto-Anmeldung und zieht beim Gerätewechsel manuell um: im App-Menü über Konten übertragen auf dem alten Gerät exportieren, auf dem neuen importieren.
Wichtig zur Einordnung: Der Authenticator gehört nicht Google allein. Dieselben TOTP-Codes erzeugen auch andere Apps, und du kannst den QR-Code beim Einrichten mit einer App deiner Wahl scannen. Wer das Konzept versteht, ist bei jedem Dienst mit 2FA sofort zu Hause.
Google Backup-Codes erstellen und richtig aufbewahren
Backup-Codes sind dein Ersatzschlüssel für den Tag, an dem das Handy im Gully liegt. Google gibt dir zehn achtstellige Codes, jeder lässt sich genau einmal verwenden.
- Öffne myaccount.google.com → Sicherheit → 2-Faktor-Authentifizierung.
- Scrolle zum Eintrag Backup-Codes und klicke auf Weiter beziehungsweise Codes anzeigen.
- Lade die Liste herunter oder drucke sie aus.
- Bewahre sie offline auf: Geldbörse, Ordner, Tresor – oder verschlüsselt im Passwortmanager.
- Hake benutzte Codes ab, damit du bei der nächsten Anmeldung nicht ins Leere tippst.
Zwei Punkte, die regelmäßig schiefgehen: Erstens deaktiviert das Erzeugen eines neuen Satzes automatisch alle alten Codes – ein ausgedruckter Zettel von vor zwei Jahren kann also wertlos sein, wenn du zwischendurch neue Codes geholt hast. Zweitens ist der schlechteste Aufbewahrungsort ausgerechnet der beliebteste: als Screenshot oder Notiz im Google-Konto selbst. Sperrt dich das Konto aus, kommst du an genau diesen Speicherort nicht mehr heran.
Wenn die Einrichtung hakt
- Authenticator-Code wird abgelehnt: In den meisten Fällen geht die Handy-Uhr falsch. Stelle Datum und Uhrzeit auf automatisch (Android: Einstellungen → System → Datum & Uhrzeit; iOS: Einstellungen → Allgemein → Datum & Uhrzeit). Danach stimmen die zeitbasierten Codes wieder.
- Keine Push-Aufforderung erhalten: Das Handy muss online und mit demselben Google-Konto angemeldet sein. Ohne Internet hilft nur die Authenticator-App oder ein Backup-Code.
- QR-Code lässt sich nicht scannen: In der App die Option zum manuellen Eintippen des Einrichtungsschlüssels wählen – Google zeigt ihn im Browser unter „QR-Code kann nicht gescannt werden“ als Zeichenkette an.
- Passkey wird nicht angeboten: Passkeys brauchen ein Gerät mit Bildschirmsperre (PIN, Fingerabdruck, Gesicht) und einen aktuellen Browser. Ohne eingerichtete Displaysperre bleibt die Option grau.
- Zweiter Faktor komplett verloren: Melde dich mit einem Backup-Code an oder über eine zweite hinterlegte Methode. Fehlt beides, bleibt nur die Konto-Wiederherstellung über Wiederherstellungsadresse und Sicherheitsfragen – das kann Tage dauern und scheitert häufig. Genau deshalb gehören immer zwei Wege ins Konto: Hauptfaktor plus Backup-Codes.
Bevor du die Zwei-Faktor-Authentifizierung bei Google scharf schaltest, lohnt sich ein Blick auf die hinterlegte Wiederherstellungs-E-Mail und Telefonnummer im selben Sicherheitsbereich. Beides ist der Notausgang, wenn alles andere kippt – und beides ist bei vielen Konten seit Jahren nicht mehr aktuell.
Warum Google auf den zweiten Faktor drängt
Reine Passwörter sind die Schwachstelle Nummer eins: Sie tauchen in Datenlecks auf, werden per Phishing abgegriffen und quer über Dienste hinweg wiederverwendet. Die zweite Stufe entwertet ein gestohlenes Passwort schlagartig, weil dem Angreifer der physische Faktor fehlt.
Dazu kommt die Kettenreaktion: Am Google-Konto hängen Gmail, Fotos, Drive, gespeicherte Passwörter im Browser, oft auch die Wiederherstellungsadresse für Shop-, Banking- und Social-Media-Zugangsdaten. Wer dieses eine Konto übernimmt, kann sich über „Passwort vergessen“ reihenweise weitere holen. Deshalb ist die Zwei-Faktor-Authentifizierung bei Google seit Jahren zunehmend verbindlich – für Google-Cloud- und Workspace-Zugänge wurde die Mehr-Faktor-Anmeldung bis Ende 2025 verpflichtend ausgerollt, private Konten werden schrittweise nachgezogen.
Für Azubis und Prüflinge ist das übrigens Standardstoff: Die Frage nach den Faktoren Wissen, Besitz und Biometrie und ihrer Kombination taucht in Fachinformatiker-Prüfungen regelmäßig auf. Das Google-Konto ist dafür das beste Anschauungsobjekt: Passwort = Wissen, Handy oder Sicherheitsschlüssel = Besitz, Fingerabdruck für den Passkey = Biometrie.
Quellen
- Google-Konto-Hilfe: 2-Faktor-Authentifizierung aktivieren
- Google-Konto-Hilfe: Mit Backup-Codes anmelden
- Google-Konto-Hilfe: Bestätigungscodes mit Google Authenticator abrufen
Häufige Fragen
Wie funktioniert der Google Authenticator?
Beim Scannen des QR-Codes wandert ein geheimer Schlüssel in die App. Aus diesem Schlüssel und der aktuellen Uhrzeit berechnet sie alle 30 Sekunden einen neuen sechsstelligen Code (TOTP) – komplett offline, ohne Mobilfunk.
Wie erstelle ich Backup-Codes für mein Google-Konto?
Unter myaccount.google.com → Sicherheit → 2-Faktor-Authentifizierung den Eintrag „Backup-Codes“ öffnen. Google erzeugt zehn achtstellige Codes, jeder ist einmal nutzbar. Ausdrucken und offline aufbewahren, nicht im Google-Konto speichern.
Warum akzeptiert Google meinen Authenticator-Code nicht?
Meist geht die Uhr des Smartphones falsch. Stelle Datum und Uhrzeit auf „automatisch“ – die Codes sind zeitbasiert und tolerieren nur wenige Sekunden Abweichung. Danach funktionieren sie wieder.
Ist eine SMS als zweiter Faktor sicher genug?
SMS ist die schwächste Methode: Codes lassen sich abfangen, per SIM-Swapping umleiten. Google ersetzt die SMS-Verifizierung schrittweise. Nutze besser einen Passkey oder eine Authenticator-App.
Was mache ich, wenn ich mein Handy verliere?
Melde dich mit einem der zehn Backup-Codes oder über eine zweite hinterlegte Methode an. Fehlt beides, bleibt nur die Konto-Wiederherstellung, die mehrere Tage dauern kann und oft scheitert.
