Authenticator-Backup: Was KMU tun müssen, bevor das Diensthandy verloren geht

Die Zwei-Faktor-Anmeldung ist in den meisten Betrieben inzwischen eingerichtet – was passiert, wenn das Smartphone mit der Authenticator-App ins Wasser fällt, gestohlen wird oder einfach ersetzt wird, ist dagegen selten geregelt. Eine angekündigte Änderung bei Microsoft macht das Thema jetzt konkret. Wer sein Authenticator-Backup nicht prüft, steht im ungünstigsten Fall vor Konten, in die niemand mehr hineinkommt.

Anlass: Microsoft ändert die Cloud-Sicherung unter Android

Laut heise online lässt sich die Cloud-Sicherung des Microsoft Authenticators unter Android ab Januar 2027 nicht mehr über ein persönliches Microsoft-Konto anlegen. Die Sicherung soll dem Bericht zufolge stattdessen über die Gerätesicherung von Google One laufen, in der der Authenticator als zu sichernde App ausgewählt wird. Auf iPhones ändert sich nichts, dort landet die Sicherung weiterhin in iCloud.

Für den Wechsel des Sicherungskontos nennt der Bericht mit Verweis auf Microsofts Support-Dokumentation das Vorgehen, die Cloud-Sicherung zu deaktivieren, das Löschen der vorhandenen Sicherung zu bestätigen und sie anschließend neu zu aktivieren. Heise ordnet die Änderung als weiteren Schritt ein, mit dem Microsoft den Funktionsumfang der App verkleinert: Bereits im Sommer 2025 wurde der Passwortmanager aus dem Authenticator entfernt und in den Edge-Browser verlagert.

Prüfen Sie die Details vor der Umstellung in der aktuellen Microsoft-Dokumentation – bis Januar können sich Menüpunkte und Abläufe noch ändern.

Warum das Authenticator-Backup mehr ist als eine Komfortfunktion

So funktioniert die App

Eine Authenticator-App erzeugt zeitbasierte Einmalcodes, die alle 30 Sekunden wechseln. Grundlage ist ein geheimer Schlüssel, der beim Einrichten per QR-Code auf das Gerät übertragen wird. Dieser Schlüssel liegt nur auf dem Smartphone. Ist das Gerät weg und gibt es keine Sicherung, ist auch der zweite Faktor weg – für jedes einzelne Konto, das in der App hinterlegt war.

Was im Betrieb typischerweise in der App steckt

Im Arbeitsalltag sammelt sich dort deutlich mehr als das Microsoft-365-Konto:

• Administratorzugänge zu Firewall, NAS, Hosting und Domainverwaltung
• Zugänge zu Buchhaltungs- und Banking-nahen Portalen
• Konten bei Cloud-Diensten, Shops, Social Media und Werbeplattformen
• Zugänge zum Passwortmanager selbst

Bei zentral verwalteten Konten kann ein Administrator den zweiten Faktor zurücksetzen. Bei einem Domainanbieter oder einem Cloud-Dienst, dessen einziger Admin-Zugang auf dem verlorenen Handy des Geschäftsführers lag, beginnt dagegen ein Wiederherstellungsverfahren mit Ausweiskopie und Wartezeit – sofern der Anbieter überhaupt eines anbietet.

Das eigentliche Problem: private Konten für dienstliche Zugänge

Die Änderung zeigt eine Schwäche, die vorher schon da war. Die Cloud-Sicherung einer Authenticator-App hängt an einem persönlichen Konto – Microsoft-Konto, Google-Konto oder Apple-ID des jeweiligen Mitarbeiters. Damit liegen die Schlüssel zu Firmenzugängen in einem privaten Cloud-Speicher, den das Unternehmen weder kontrolliert noch einsehen kann. Scheidet die Person aus, nimmt sie die Sicherung mit. Wird ihr privates Konto übernommen, sind die zweiten Faktoren der Firma betroffen.

Eine Sicherung über Google One ändert daran nichts, sie verlagert die Abhängigkeit nur zu einem anderen Anbieter. Ob Mitarbeiter dafür ein privates Google-Konto auf dem Diensthandy nutzen sollen, ist eine Entscheidung, die der Betrieb treffen muss – nicht der einzelne Mitarbeiter im Januar zwischen zwei Terminen.

Authenticator-Backup und Wiederherstellung in sechs Schritten regeln

1. Bestandsaufnahme: Welche Konten hängen an welchem Gerät?

Lassen Sie jede Person mit Admin- oder Finanzzugängen auflisten, welche Konten in ihrer Authenticator-App hinterlegt sind. Markieren Sie die Fälle, in denen genau ein Gerät den einzigen Zugang darstellt. Das sind die Stellen, an denen ein verlorenes Handy den Betrieb aufhält.

2. Android-Geräte vor Januar prüfen

Stellen Sie fest, auf welchen Android-Geräten der Microsoft Authenticator mit Sicherung über ein persönliches Microsoft-Konto läuft. Entscheiden Sie, ob und über welches Konto künftig gesichert wird, und führen Sie die Umstellung geplant durch. Da beim Kontowechsel laut Bericht die bestehende Sicherung gelöscht wird, sollte das nicht am Tag vor einem Gerätetausch passieren.

3. Zweiten Weg für jedes wichtige Konto einrichten

Die wirksamste Vorsorge ist kein Backup, sondern eine zweite, unabhängige Anmeldemethode:

• Wiederherstellungscodes bei der Einrichtung erzeugen, ausdrucken und im Tresor oder im Passwortmanager des Unternehmens ablegen
• Hardware-Sicherheitsschlüssel (FIDO2) als zweiten Faktor für Admin-Konten registrieren – einen im Alltag, einen als Reserve im Tresor
• Passkeys nutzen, wo der Dienst sie unterstützt
• Bei kritischen Konten einen zweiten Administrator mit eigenem Faktor hinterlegen

4. Geteilte Zugänge zentral ablegen

Für Konten, die mehrere Personen brauchen, gehört der Einmalcode nicht auf ein einzelnes Handy. Ein Team-Passwortmanager wie Bitwarden kann die Codes für freigegebene Einträge erzeugen. Der Zugang zum Passwortmanager selbst muss dann besonders gut geschützt sein – am besten mit Hardware-Schlüssel und nicht mit einem Code aus derselben Sammlung.

5. Notfallzugang für Microsoft 365 einrichten

Für den eigenen Microsoft-365-Mandanten empfiehlt Microsoft Notfallkonten, die unabhängig von den normalen Administratorkonten funktionieren. Sinnvoll sind zwei solcher Konten mit Hardware-Schlüssel, deren Zugangsmittel getrennt und physisch gesichert aufbewahrt werden. Jede Anmeldung mit diesen Konten sollte einen Alarm auslösen. Ohne Notfallzugang kann ein einziges defektes Smartphone den gesamten Mandanten blockieren.

6. Ablauf für Verlust und Gerätewechsel festlegen

Schreiben Sie auf einer Seite auf, was bei Verlust zu tun ist: Wer wird informiert, wer setzt den zweiten Faktor zurück, wie wird die Identität der anfragenden Person geprüft? Der letzte Punkt ist wichtig – „Ich habe mein Handy verloren, bitte MFA zurücksetzen” ist eine beliebte Masche für Telefonbetrug. Derselbe Ablauf gehört in den IT-Notfallplan und ins Offboarding. Testen Sie ihn einmal im Jahr mit einem echten Gerätewechsel.

Was das für KMU in Sachsen bedeutet

In vielen ostdeutschen KMU ist die IT-Verantwortung auf eine oder zwei Personen verteilt – häufig auf die Geschäftsführung selbst. Entsprechend liegen bei Betrieben in Dresden und Sachsen die Einmalcodes für Firewall, Domain, Microsoft 365 und Bank-Portal oft auf genau einem Smartphone. Solange das Gerät funktioniert, fällt das nicht auf. Die angekündigte Änderung ist ein guter Grund, diese Abhängigkeit jetzt aufzulösen, statt sie im Januar nur auf ein anderes privates Konto umzuziehen.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU beim Absichern ihrer Mehr-Faktor-Anmeldung: Bestandsaufnahme der hinterlegten Zugänge, Einrichtung von Hardware-Schlüsseln und Notfallkonten, Einführung eines Team-Passwortmanagers sowie ein dokumentierter Ablauf für Geräteverlust und Mitarbeiterwechsel – auf Wunsch als Teil eines IT-Sicherheitsaudits oder der laufenden IT-Betreuung. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Was ändert sich beim Microsoft Authenticator genau?

Laut heise online kann die Cloud-Sicherung unter Android ab Januar 2027 nicht mehr über ein persönliches Microsoft-Konto erfolgen, sondern läuft über die Gerätesicherung von Google One. Auf iPhones bleibt es bei der Sicherung in iCloud. Maßgeblich ist die aktuelle Dokumentation von Microsoft.

Reicht ein Authenticator-Backup in der Cloud als Absicherung aus?

Nein. Es hilft beim Umzug auf ein neues Gerät, hängt aber an einem persönlichen Konto und steht dem Unternehmen nicht zur Verfügung. Für wichtige Zugänge braucht es zusätzlich eine unabhängige zweite Methode, etwa Wiederherstellungscodes oder einen Hardware-Schlüssel.

Was tun, wenn das Handy mit der Authenticator-App bereits verloren ist?

Lassen Sie zuerst das Gerät sperren und den zweiten Faktor für zentral verwaltete Konten durch einen Administrator zurücksetzen. Für alle weiteren Dienste nutzen Sie die Wiederherstellungscodes. Fehlen diese, bleibt nur das Wiederherstellungsverfahren des jeweiligen Anbieters.

Wo sollten Wiederherstellungscodes aufbewahrt werden?

Getrennt vom Gerät, auf dem die App läuft: ausgedruckt im Tresor oder in einem Unternehmens-Passwortmanager mit eingeschränktem Zugriff. Nicht als Foto auf dem Smartphone und nicht im E-Mail-Postfach.

Sollten Mitarbeiter die Authenticator-App auf dem Privathandy nutzen?

Für das eigene Benutzerkonto ist das vertretbar, wenn der Betrieb den Faktor zentral zurücksetzen kann. Administrator- und gemeinsam genutzte Zugänge gehören auf verwaltete Geräte, Hardware-Schlüssel oder in den Team-Passwortmanager.