Von SMS-2FA zum Passkey wechseln: So geht es bei jedem Konto

Warum jetzt von SMS-2FA zum Passkey wechseln?

SMS-Codes lassen sich innerhalb der Mobilfunknetze abfangen, ein Passkey dagegen ist darauf ausgelegt, Phishing zu widerstehen, und große Anbieter wenden sich jetzt von SMS ab: Microsoft entfernt seine eigenen SMS- und Sprachanruf-Codes für die meisten Arbeits- und Schulkonten ab dem 1. Februar 2027 ^[1][8].

Das Risiko ist nicht theoretisch. Das Mobilfunk-Sicherheitsunternehmen Enea berichtete am 11. November 2026, ein neu identifizierter Akteur, den es SilentAir nennt, habe bösartige Standortaktualisierungs-Anfragen in Mobilfunknetzen genutzt, um SMS und Anrufe abzufangen; mit SilentAir verbundene Netzelemente seien in mindestens sechs asiatischen Ländern gefunden worden, und manche Ziele hätten 2FA-Codes unmittelbar nach dem Abfangen erhalten ^[11]. Die ganze Geschichte steht im Pouyam-Ratgeber Is SMS 2FA Safe? What the SilentAir Attacks Show.

Offizielle Leitfäden zeigen in dieselbe Richtung. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) sagte hochgradig gezielt angegriffenen Personen im Dezember 2024: "Verwenden Sie SMS nicht als zweiten Faktor", und stellte FIDO-Sicherheitsschlüssel und Passkeys über Authenticator-Apps ^[9]. Die US-Normungsbehörde NIST stuft SMS- und Sprachanruf-Codes als "eingeschränkten" Authentifikator ein, zu dem Dienste eine Alternative anbieten sollten ^[10].

Ein Passkey funktioniert anders. Er ist ein kryptografisches Schlüsselpaar, gespeichert auf Ihrem Telefon, Computer oder Sicherheitsschlüssel, entsperrt mit Gesicht, Fingerabdruck oder Bildschirm-PIN, und die FIDO Alliance beschreibt ihn als phishingresistent ^[8]. Es gibt keinen Code, den man vorlesen oder weiterleiten könnte, und Google sagt, Passkeys seien "sicherer gegen Phishing" als Passwörter ^[2]. Einen Vergleich aller Methoden nebeneinander bietet Two-Factor Authentication Explained: Which 2FA Method Is Safest?

Wie stelle ich ein beliebiges Konto von SMS-2FA auf einen Passkey um?

Die sichere Reihenfolge ist bei jedem Konto gleich: Passkey-Unterstützung prüfen, Passkey erstellen, einen zweiten Anmeldeweg hinzufügen, Backup-Codes sichern, dann die Telefonnummer als zweiten Schritt entfernen und testen ^[2][3][12]. Wer den Sicherungsschritt überspringt, sperrt sich am häufigsten aus.

1. Unterstützung prüfen. Öffnen Sie die Sicherheits- oder Anmeldeeinstellungen des Kontos und suchen Sie nach "Passkeys". Das Community-Verzeichnis passkeys.directory, betrieben von 1Password, listet Seiten, die Passkeys zur Anmeldung oder als zweiten Faktor anbieten ^[12].
2. Passkey erstellen auf dem Gerät, das Sie am meisten nutzen, und mit Gesicht, Fingerabdruck oder Bildschirmsperre bestätigen ^[2][4].
3. Sicherung hinzufügen. Erstellen Sie einen zweiten Passkey auf einem anderen Gerät oder einem Hardware-Sicherheitsschlüssel oder richten Sie eine Authenticator-App ein. Passkeys können sicher zwischen Ihren Geräten synchronisiert werden oder an ein Gerät gebunden bleiben ^[8].
4. Wiederherstellungscodes sichern, wenn der Dienst welche anbietet, und offline aufbewahren. Google etwa bietet druckbare Backup-Codes für den Fall, dass Sie Ihr Telefon verlieren ^[3].
5. SMS als zweiten Schritt entfernen. CISA rät, SMS zu deaktivieren, sobald eine stärkere Methode registriert ist, denn ein schwacher Ausweichweg macht den Gewinn zunichte ^[9].
6. Testen: Melden Sie sich ab und mit dem Passkey wieder an, bevor Sie die Einstellungsseite schließen.

Manche Dienste behalten Ihre Telefonnummer für die Kontowiederherstellung, selbst wenn SMS-Anmeldecodes abgeschaltet sind ^[9]. Das ist kein Grund, den Wechsel aufzuschieben, aber ein Grund, Ihren Mobilfunkanschluss nach Möglichkeit mit einer Anbieter-PIN oder Portierungssperre zu schützen. Hintergrund zur Funktionsweise von Passkeys bietet What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

Wie stelle ich mein Google-Konto auf einen Passkey um?

Erstellen Sie einen Passkey in den Sicherheitseinstellungen Ihres Google-Kontos, öffnen Sie dann die 2-Step Verification und entfernen Sie die Telefonnummer selbst, denn das Hinzufügen eines Passkeys ändert oder entfernt keine bestehende Anmelde- oder Wiederherstellungsmethode ^[2]. Google sagt, dass bei Konten mit 2-Step Verification die Anmeldung mit Passkey den zweiten Schritt überspringt, da der Passkey bestätigt, dass Sie das Gerät kontrollieren ^[2].

1. Gehen Sie zu Ihrem Google-Konto, tippen Sie auf Security & sign-in und öffnen Sie unter How you sign in to Google den Punkt Passkeys and security keys, um einen Passkey zu erstellen ^[2].
2. Bestätigen Sie mit Fingerabdruck, Gesichtsscan oder Bildschirmsperre. Google unterstützt Passkeys unter Windows 10, macOS Ventura und ChromeOS 109 oder neuer, Android 9 und iOS 16 oder neuer sowie auf FIDO2-Hardware-Sicherheitsschlüsseln ^[2].
3. Erstellen Sie einen zweiten Passkey auf einem anderen Gerät oder fügen Sie einen Sicherheitsschlüssel hinzu, damit Sie nicht an ein einziges Telefon gebunden sind.
4. Öffnen Sie unter Security die 2-Step Verification. Laden Sie Ihre Backup-Codes herunter oder drucken Sie sie aus; Google beschreibt sie als 8-stellige Codes für den Fall, dass Sie Ihr Telefon verlieren ^[3].
5. Entfernen Sie die als 2-Step-Verification-Methode hinterlegte Telefonnummer oder stellen Sie auf die Google-Aufforderung oder eine Authenticator-App um.

Zwei Details sind wichtig. Erstens kann es bis zu sieben Tage dauern, bis Google einer neu für die 2-Step Verification hinzugefügten Telefonnummer vertraut; ein vertrauenswürdiger Passkey oder Sicherheitsschlüssel kann das beschleunigen ^[3]. Google erinnert außerdem daran, Passkeys nur auf Geräten zu erstellen, die Ihnen persönlich gehören, denn wer das Gerät entsperren kann, kann sich anmelden ^[2]. Zweitens entscheidet bei einem Google-Workspace-Konto der Arbeit oder Schule Ihr Administrator, ob Sie sich nur mit Passkey anmelden können; Passkeys als zweiten Faktor und als Wiederherstellungsoption können Sie trotzdem erstellen ^[2].

Wie füge ich einem Microsoft-Konto einen Passkey hinzu?

Melden Sie sich bei Advanced Security Options unter account.live.com/proofs/manage an, wählen Sie Add a new way to sign in or verify und dann Face, Fingerprint, PIN oder Security Key ^[4]. Diese Seite betrifft persönliche Microsoft-Konten ^[4].

1. Öffnen Sie account.live.com/proofs/manage auf dem Gerät, auf dem der Passkey liegen soll, und melden Sie sich an ^[4].
2. Wählen Sie Add a new way to sign in or verify ^[4].
3. Wählen Sie Face, Fingerprint, PIN oder Security Key und folgen Sie den Anweisungen ^[4].
4. Wählen Sie Continue oder Create, um den Passkey am vorgeschlagenen Ort zu speichern, oder Save another way, um ein Telefon oder einen Sicherheitsschlüssel zu wählen ^[4].
5. Richten Sie eine Authenticator-App ein, auf die sich die passwortlosen Schritte von Microsoft stützen, bevor Sie etwas entfernen ^[5].

Microsoft erlaubt privaten Konten, noch einen Schritt weiterzugehen und das Passwort zu entfernen. Wählen Sie unter Additional security options neben Passwordless account den Punkt Turn on und genehmigen Sie die Anfrage in Ihrer Authenticator-App ^[5]. Microsoft weist darauf hin, dass Sie bei aktivierter zweistufiger Überprüfung Zugriff auf zwei Wiederherstellungsmethoden haben sollten ^[5].

Um SMS-Codes zu stoppen, prüfen Sie im selben Sicherheitsbereich die Liste der Wege, Ihre Identität nachzuweisen, und entfernen Sie die Telefonnummer als Anmeldemethode, sobald Passkey und App funktionieren. Microsoft rät, beim Wechsel des Telefons die an das alte Gerät gebundenen Methoden zu entfernen ^[5].

Schafft Microsoft SMS-Codes für Arbeitskonten ab?

Ja, für Codes, die Microsoft selbst verschickt: Ab dem 1. Februar 2027 wird die von Microsoft bereitgestellte SMS- und Sprachauthentifizierung in Microsoft Entra ID, Microsofts Anmeldedienst für Organisationen, für alle Nutzer außer Global Administrators und externen Nutzern entfernt ^[1]. Diese beiden Gruppen folgen am 1. Juli 2027 ^[1].

Die Umstellung hat schon begonnen. Ab dem 1. September 2026 wurden Passkeys zur Standard-Authentifizierung in Entra ID und für Nutzer mit aktivierter SMS oder Sprachanruf automatisch eingeschaltet; diese werden bei der Anmeldung aufgefordert, einen Passkey zu registrieren ^[1]. Die Seite von Microsoft sagt, SMS und Sprachanruf seien "nicht mehr als sichere Authentifizierungsmethoden positioniert" ^[1].

Was das für Sie bedeutet:

• Wenn Ihr Arbeitskonto Sie zur Einrichtung eines Passkeys auffordert, nehmen Sie an: Microsofts Plan sieht vor, Nutzer bei der Anmeldung und nach der MFA-Bestätigung zur Registrierung eines Passkeys anzuhalten ^[1]. Reagieren Sie nur auf eine Aufforderung, die innerhalb der normalen Microsoft-Anmeldeseite erscheint.
• Je nach den Einstellungen Ihrer Organisation kann ein Passkey in Microsoft Authenticator, auf einem FIDO2-Sicherheitsschlüssel, in Windows oder in einem synchronisierten Anmeldedaten-Manager gespeichert werden ^[1].
• Interne Gastnutzer folgen dem Datum 1. Februar 2027, nicht dem späteren ^[1].
• Fragen dazu, welche Methoden erlaubt sind, gehen an Ihre IT-Abteilung, die die Richtlinie verwaltet.

Bestätigen Sie nie eine Anmelde- oder Passkey-Anfrage, die Sie nicht selbst ausgelöst haben, und richten Sie nie einen Passkey über einen Link aus einer unerwarteten E-Mail oder Nachricht ein.

Kann ich für mein Apple-Konto einen Passkey nutzen?

Nicht als zweiten Faktor: Apple-Konten nutzen für die Zwei-Faktor-Authentifizierung einen sechsstelligen Bestätigungscode, und das phishingresistente Upgrade, das Apple anbietet, sind physische FIDO-Sicherheitsschlüssel, keine Passkeys ^[7]. Apples Seite zu dieser Funktion erwähnt Passkeys nicht ^[7].

Die Voraussetzungen von Apple für Security Keys for Apple Account sind klar ^[7]:

• Mindestens zwei FIDO Certified Sicherheitsschlüssel; Sie können bis zu sechs hinzufügen ^[7].
• iOS 16.3, iPadOS 16.3 oder macOS Ventura 13.2 oder neuer auf jedem Gerät, das mit Ihrem Apple-Konto angemeldet ist ^[7].
• Die Zwei-Faktor-Authentifizierung muss bereits aktiv sein ^[7].
• Kinderkonten und Managed Apple Accounts werden nicht unterstützt ^[7].

Öffnen Sie auf dem iPhone Settings, tippen Sie auf Ihren Namen, dann auf Sign-in & Security, Two-Factor Authentication und Security Keys und folgen Sie den Schritten ^[7]. Apple warnt, dass inaktive Geräte (solche, die mehr als 90 Tage nicht genutzt wurden) bei der Einrichtung abgemeldet werden und Sie sich dauerhaft aus Ihrem Konto aussperren können, wenn Sie alle vertrauenswürdigen Geräte und Sicherheitsschlüssel verlieren ^[7]. Wenn Sie alle Sicherheitsschlüssel entfernen, kehrt das Konto zu sechsstelligen Codes zurück ^[7].

Apple beschreibt Sicherheitsschlüssel als gedacht für Menschen, die zusätzlichen Schutz vor gezielten Angriffen wie Phishing oder Social-Engineering-Betrug wünschen ^[7].

Wie richte ich einen WhatsApp-Passkey ein?

Öffnen Sie in WhatsApp Settings, tippen Sie auf Account, dann auf Passkeys, Create passkey und Continue und bestätigen Sie mit Ihrer Bildschirmsperre ^[6]. WhatsApp sagt, dass Passkeys im Gegensatz zu Passwörtern oder SMS-Bestätigungscodes kryptografisch gesichert sind und nur mit Ihrem physischen Gerät und Ihren biometrischen Daten oder Ihrer Bildschirmsperre zugänglich sind ^[6].

1. Unter Android brauchen Sie Android 9 oder neuer, eine Bildschirmsperre und ein mit dem Telefon verknüpftes Passwortmanager-Konto, etwa Google Password Manager oder Samsung Password Manager ^[6].
2. Öffnen Sie WhatsApp, tippen Sie auf das Menü und dann auf Settings ^[6].
3. Tippen Sie auf Account, Passkeys, Create passkey und dann Continue ^[6].
4. Bestätigen Sie auf Aufforderung mit Fingerabdruck, Gesicht oder Bildschirmsperre ^[6].

WhatsApp weist darauf hin, dass Sie nach dem Erstellen eines Passkeys bei einer Neuinstallation der App bei der Registrierung aufgefordert werden können, ihn zu nutzen ^[6]. Um den Passkey zu ändern, löschen Sie ihn und erstellen im selben Menü einen neuen ^[6].

Die Seite von WhatsApp sagt nicht, dass ein Passkey bei der Registrierung den SMS-Code ersetzt; betrachten Sie ihn daher als zusätzliche Schutzschicht. Behalten Sie auch die PIN der zweistufigen Verifizierung bei, damit jemand, der Ihre Nummer kapert, trotzdem etwas braucht, das nur Sie wissen.

Welche Konten unterstützen Passkeys statt SMS?

Google, Microsoft und WhatsApp bieten Passkeys als stärkere Option gegenüber SMS-Codes an, Apple-Konten nutzen stattdessen Sicherheitsschlüssel, und viele kleinere Dienste bieten noch immer nur SMS oder eine Authenticator-App an ^[2][4][6][7]. Die Tabelle unten fasst zusammen, wo die Einstellung bei jedem mit Stand 15. November 2026 liegt.

Die Unterstützung ändert sich oft; prüfen Sie vor dem Start die Sicherheitsseite des jeweiligen Dienstes. Das Verzeichnis passkeys.directory listet Dienste, die Passkeys zur Anmeldung oder als zweiten Faktor unterstützen ^[12].

Beginnen Sie mit den Konten, die alles andere aufschließen: Ihre Haupt-E-Mail, das Cloud-Konto Ihres Telefons (Google oder Apple), Ihr Passwortmanager, Ihre Bank- und Arbeitskonten. Fällt Ihre E-Mail, kann ein Angreifer die meisten anderen Passwörter zurücksetzen.

Was tun, wenn ein Konto keine Passkeys unterstützt?

Nutzen Sie statt SMS eine Authenticator-App und schalten Sie SMS als Ausweichmethode ab, sobald die App funktioniert ^[9]. CISA stellt Authenticator-Apps unter FIDO-Schlüssel und Passkeys, weil ihre Codes noch per Phishing erbeutet werden können, sagt aber, dass sie besser sind als SMS, die nicht verschlüsselt ist und gelesen werden kann, wenn sie im Netz eines Anbieters abgefangen wird ^[9]. Das Abfangen über Telekom-Signalisierung, die Methode, die Enea für SilentAir beschreibt ^[11], zielt auf Nachrichten, die über das Telefonnetz gesendet werden; in einer App erzeugte Codes gehören nicht dazu.

• Wählen Sie eine Authenticator-App, die Codes sichern oder auf ein neues Telefon übertragen kann, damit Sie sich bei Verlust des Telefons nicht aussperren.
• Bewahren Sie die Wiederherstellungscodes des Dienstes auf Papier auf.
• Lesen Sie niemals einen Code jemandem vor, der Sie anruft oder anschreibt, selbst wenn er behauptet, der Support des Dienstes zu sein.
• Prüfen Sie es in einigen Monaten erneut: Die Passkey-Unterstützung breitet sich schnell aus, und Microsofts Abkehr von SMS bei Arbeitskonten zeigt die Richtung ^[1].

Wenn eine Bank oder ein Behördendienst nur SMS anbietet, können Sie das nicht selbst ändern, aber Sie können das Risiko senken: Schützen Sie Ihren Mobilfunkanschluss mit einer Anbieter-PIN, halten Sie Ihre Mailbox-PIN geheim und achten Sie auf plötzlichen Signalverlust, der auf einen SIM-Tausch (SIM swap) hindeuten kann. Dies ist allgemeine Sicherheitshilfe; maßgeblich für die Einstellungen jedes Dienstes sind dessen eigene Hilfeseiten.