Neues Smartphone: Authenticator-Apps ohne Kontoverlust übertragen

21.10.26 von belmedia Redaktion Allgemein Alltag Apps business24.ch businessaktuell.ch Cyberkriminalität Cybersecurity digital.ch Digitalisierung nachrichtenticker.ch News Prävention Sicherheit sicherheit.ch Smartphones Technologie Tipps

Beim Smartphone-Wechsel genügt es nicht, die Authenticator-App auf dem neuen Gerät zu installieren. Die darin hinterlegten Kontoschlüssel müssen synchronisiert, exportiert oder bei den einzelnen Diensten neu registriert werden. Wer das alte Smartphone zu früh löscht, riskiert deshalb den Zugang zu E-Mail, Cloud, sozialen Netzwerken oder Geschäftskonten.

Mit einem geordneten Ablauf lässt sich dieses Risiko deutlich reduzieren. Entscheidend sind ein weiterhin funktionsfähiges altes Gerät, sichere Wiederherstellungswege und ein Test jedes wichtigen Kontos, bevor das bisherige Smartphone zurückgesetzt oder weitergegeben wird.

Das alte Smartphone vorerst nicht löschen

Der wichtigste Grundsatz lautet: Das bisherige Smartphone bleibt eingeschaltet, gesperrt und mit dem Internet verbunden. Die Authenticator-App darf noch nicht entfernt und das Gerät nicht auf die Werkseinstellungen zurückgesetzt werden. Es dient während des gesamten Umzugs als Rückfallmöglichkeit, falls ein Export scheitert oder ein Dienst eine zusätzliche Bestätigung verlangt.

Vor Beginn sollten beide Geräte vollständig geladen und mit aktuellen Betriebssystem- sowie App-Versionen ausgestattet sein. Automatische Datums- und Zeiteinstellungen sind ebenfalls wichtig. Viele Authenticator-Apps erzeugen zeitabhängige Einmalcodes. Weicht die Uhr des neuen Smartphones deutlich ab, können korrekt übertragene Codes trotzdem abgelehnt werden.

Zuerst eine Bestandsaufnahme erstellen

Nicht jeder Eintrag in einer Authenticator-App ist auf den ersten Blick eindeutig beschriftet. Deshalb lohnt es sich, vor dem Transfer sämtliche Konten zu erfassen. Dazu gehören private und geschäftliche E-Mail-Adressen, Plattformkonten, Cloud-Dienste, Passwort-Manager, soziale Netzwerke, Onlineshops, Entwicklerkonten und Administrationszugänge.

Besondere Priorität haben Konten, über die sich andere Zugänge wiederherstellen lassen. Das sind vor allem die primäre E-Mail-Adresse, der Apple Account oder das Google-Konto, der verwendete Passwort-Manager und geschäftliche Administrationskonten. Der Beitrag „Passwörter, Passkeys und Zwei-Faktor-Anmeldung: Konten zeitgemäss absichern“ erklärt, weshalb der Wiederherstellungsweg ebenso sorgfältig geschützt werden muss wie die normale Anmeldung.

Die Authenticator-App ist nur ein Teil des Sicherheitskonzepts. Für zentrale Konten sollten zusätzlich geprüfte Wiederherstellungsdaten oder ein unabhängig aufbewahrter Sicherheitsschlüssel vorhanden sein.

Notfallcodes vor dem Umzug sichern

Viele Dienste stellen bei der Aktivierung der Zwei-Faktor-Anmeldung mehrere einmalig verwendbare Wiederherstellungscodes bereit. Diese Codes ermöglichen den Zugang, wenn die Authenticator-App nicht verfügbar ist. Vor dem Smartphone-Wechsel sollte kontrolliert werden, ob sie noch vorhanden und gültig sind. Falls Zweifel bestehen, lassen sich in den Sicherheitseinstellungen des jeweiligen Kontos meist neue Codes erzeugen.

Die Codes gehören nicht ungeschützt in die Foto-App, in eine Notiz auf demselben Smartphone oder in eine unverschlüsselte Cloud-Datei. Sinnvoller sind ein Ausdruck an einem geschützten Ort, ein verschlüsselter Datenspeicher oder ein entsprechend abgesicherter Passwort-Manager. Neu erzeugte Codes machen ältere Sätze häufig ungültig. Deshalb müssen veraltete Ausdrucke oder Dateien vernichtet beziehungsweise gelöscht werden.

Synchronisierung und Export sind nicht dasselbe

Einige Authenticator-Apps synchronisieren die hinterlegten Schlüssel über ein Benutzerkonto. In diesem Fall können die Codes nach der Anmeldung auf dem neuen Smartphone automatisch erscheinen. Vor dem Verlassen der alten App sollte jedoch geprüft werden, mit welchem Konto die Synchronisierung erfolgt und ob sie tatsächlich aktiviert ist. Eine gewöhnliche Gerätesicherung garantiert nicht automatisch, dass Authenticator-Einträge vollständig übernommen werden.

Google Authenticator kann Codes über das Google-Konto synchronisieren. Wer die App ohne Konto verwendet, kann die Einträge auf dem alten Smartphone über die Funktion „Konten übertragen“ exportieren. Das alte Gerät zeigt dafür einen oder mehrere QR-Codes an, die mit der neuen Installation importiert werden. Diese Exportcodes enthalten sicherheitsrelevante Geheimnisse. Sie dürfen weder fotografiert noch verschickt, ausgedruckt oder anderen Personen gezeigt werden.

Ein Export-QR-Code ist kein gewöhnlicher Verweis: Er kann die geheimen Grundlagen mehrerer Einmalcodes enthalten und darf nur direkt mit dem eigenen neuen Gerät gescannt werden.

Bei Microsoft Authenticator gelten zusätzliche Grenzen

Microsoft Authenticator bietet eine Sicherungs- und Wiederherstellungsfunktion. Eine Sicherung von einem iPhone lässt sich jedoch nicht ohne Weiteres auf Android wiederherstellen; umgekehrt gilt dasselbe. Wer gleichzeitig das Betriebssystem wechselt, muss daher mit einer erneuten Registrierung einzelner Konten rechnen.

Auch nach einer erfolgreichen Wiederherstellung können geschäftliche oder schulische Konten eine erneute Anmeldung verlangen. Push-Bestätigungen, kennwortlose Anmeldungen und bestimmte Passkeys sind nicht zwangsläufig identisch mit gewöhnlichen sechsstelligen Einmalcodes. Erscheint beim wiederhergestellten Konto ein Hinweis auf eine erforderliche Aktion, muss die Registrierung über die Sicherheitsseite der Organisation oder mit Unterstützung der zuständigen IT abgeschlossen werden.

Apps ohne Übertragungsfunktion einzeln umziehen

Fehlt eine Synchronisierung oder Exportfunktion, wird der zweite Faktor direkt beim jeweiligen Onlinedienst erneuert. Dazu erfolgt die Anmeldung auf einem vertrauenswürdigen Computer. In den Sicherheitseinstellungen findet sich die Verwaltung meist unter Bezeichnungen wie Zwei-Faktor-Authentisierung, Authenticator-App oder Anmeldemethoden. Solange der alte Code noch funktioniert, lässt sich häufig eine weitere App beziehungsweise ein neues Gerät hinzufügen.

Manche Anbieter erlauben nur einen einzigen TOTP-Schlüssel. Dann muss die bisherige Authenticator-Verknüpfung deaktiviert und unmittelbar neu eingerichtet werden. Dieser Schritt sollte nur erfolgen, wenn das Passwort, das alte Smartphone, die Wiederherstellungscodes und eine mögliche Ersatzmethode griffbereit sind. Die Bezeichnungen und Abläufe unterscheiden sich je nach Dienst; massgebend ist stets die offizielle Anleitung des Anbieters.

Das deutschsprachige Breitbildvideo „Google Authenticator auf neues Handy übertragen 2026 (schnell & einfach)“ von ErklärMeister zeigt den praktischen Umzug von Google-Authenticator-Codes auf ein neues Smartphone. Sicherheitskritische Export-QR-Codes sollten dabei ausschliesslich direkt zwischen den eigenen Geräten verwendet werden.

Banking- und Signatur-Apps gesondert behandeln

Eine Banking-, Zahlungs- oder elektronische Signatur-App ist nicht automatisch eine gewöhnliche Authenticator-App. Solche Anwendungen registrieren das konkrete Gerät häufig mit zusätzlichen kryptografischen Schlüsseln. Ein allgemeiner QR-Export aus einer TOTP-App kann diese Aktivierung nicht übertragen.

Vor dem Gerätewechsel sollte deshalb die Anleitung der Bank, Versicherung oder Signaturanbieterin geprüft werden. Je nach Verfahren werden ein Aktivierungsbrief, ein separates Lesegerät, eine bestehende App-Freigabe oder eine erneute Identitätsprüfung benötigt. Das alte Gerät sollte erst deregistriert werden, wenn die Freigabe auf dem neuen Smartphone nachweislich funktioniert.

Bei Finanzkonten kann die App neben einem Einmalcode auch als registriertes Freigabegerät dienen. Eine erfolgreiche Datenübernahme ersetzt daher nicht zwingend die erneute Aktivierung durch die Bank.

Jedes wichtige Konto in einer neuen Sitzung testen

Das blosse Erscheinen eines Kontoeintrags in der neuen App beweist noch nicht, dass die Anmeldung funktioniert. Für den Test wird eine frische private Browsersitzung oder ein anderes vertrauenswürdiges Gerät verwendet. Dort erfolgt die Anmeldung mit Passwort und dem Code des neuen Smartphones. Bestehende Sitzungen sind ungeeignet, weil der Dienst möglicherweise gar keinen zweiten Faktor abfragt.

Anschliessend sollte auch mindestens ein Notfallweg kontrolliert werden. Dabei genügt es meist festzustellen, dass die hinterlegte Telefonnummer, alternative E-Mail-Adresse, der Sicherheitsschlüssel oder die Wiederherstellungscodes vorhanden sind. Ein Wiederherstellungscode muss nicht versuchsweise verbraucht werden, wenn der Dienst seine Gültigkeit in den Sicherheitseinstellungen bestätigt.

Schlägt ein neuer Einmalcode fehl, werden zuerst Uhrzeit, Zeitzone und automatische Zeitsynchronisierung kontrolliert. Danach ist zu prüfen, ob möglicherweise zwei ähnlich bezeichnete Kontoeinträge vorhanden sind. Wiederholte Fehlversuche sollten vermieden werden, weil einzelne Plattformen den Zugang vorübergehend sperren.

Exportierte Konten nicht unbesehen als abgeschlossen betrachten

Nach einem Sammelimport können veraltete oder doppelte Einträge auftauchen. Ein Code kann zudem noch generiert werden, obwohl das betreffende Konto die zugehörige Authenticator-Verknüpfung längst nicht mehr akzeptiert. Die Bestandsliste wird deshalb erst abgehakt, wenn eine echte Testanmeldung gelungen ist.

Besondere Aufmerksamkeit verdienen gemeinsam verwaltete Firmenkonten. Ein geteilter QR-Code oder ein gemeinsam genutzter TOTP-Eintrag erschwert die Kontrolle darüber, wer Zugang besitzt. Wo es möglich ist, sollten Mitarbeitende eigene Konten, persönliche zweite Faktoren und nachvollziehbare Berechtigungen erhalten. Für besonders wichtige Zugänge bieten sich zusätzlich registrierte Hardware-Sicherheitsschlüssel an.

QR-Codes sind bequem, können aber sehr unterschiedliche Daten enthalten. Beim Authenticator-Umzug muss vor dem Scan klar sein, dass der Code aus der Exportfunktion der vertrauenswürdigen App stammt.

Erst nach der Kontrolle das alte Gerät entfernen

Wenn sämtliche wichtigen Konten erfolgreich getestet wurden, kann das bisherige Smartphone aus den jeweiligen Gerätelisten entfernt werden. Dabei werden auch alte Sitzungen, Push-Freigaben und nicht mehr benötigte App-Berechtigungen kontrolliert. Bei Konten mit hohem Schutzbedarf empfiehlt sich ein Blick in die Anmeldehistorie, um unbekannte Geräte oder verdächtige Aktivitäten auszuschliessen.

Der Beitrag „Smartphone verloren oder gestohlen: So werden Gerät, Konten und Daten geschützt“ zeigt, weshalb vorbereitete Wiederherstellungswege auch nach dem regulären Gerätewechsel wichtig bleiben. Ein Defekt oder Verlust kann jederzeit eintreten und lässt dann keine geordnete Exportphase mehr zu.

Vor einem Verkauf oder einer Weitergabe werden persönliche Daten nach den Vorgaben des Betriebssystems gelöscht. Dazu gehören das Abmelden vom Plattformkonto, das Entfernen von Bezahldiensten, gegebenenfalls das Deaktivieren einer Aktivierungssperre und erst danach das Zurücksetzen auf die Werkseinstellungen. Eine eSIM muss ebenfalls bewusst übertragen oder entfernt werden.

Wenn das alte Smartphone bereits fehlt

Ist das bisherige Gerät defekt, verloren oder bereits gelöscht, kann eine lokal gespeicherte Authenticator-Datenbank nicht nachträglich aus dem Nichts rekonstruiert werden. Dann helfen nur zuvor eingerichtete Synchronisierungen, gültige Wiederherstellungscodes, ein zweites registriertes Gerät, ein Sicherheitsschlüssel oder ein alternativer Faktor.

Fehlen auch diese Möglichkeiten, bleibt der offizielle Wiederherstellungsprozess des jeweiligen Anbieters. Je nach Konto sind Identitätsnachweise, Wartezeiten oder die Unterstützung einer Firmenadministration erforderlich. Angebote, angeblich verlorene Authenticator-Schlüssel ohne gültigen Wiederherstellungsweg zurückzuholen, sind mit grosser Vorsicht zu behandeln.

Ein sicherer Smartphone-Wechsel endet deshalb nicht mit dem Kopieren der Apps. Er ist erst abgeschlossen, wenn alle wichtigen Konten auf dem neuen Gerät getestet, unabhängige Notfallwege vorhanden und die Berechtigungen des alten Smartphones kontrolliert entfernt worden sind.

Bildquellen: Titelbild: Shutterstock/Alex Verrone; Bild 1: Shutterstock/tsingha25; Bild 2: Shutterstock/Shark_749; Bild 3: Shutterstock/PhotoGraph-ic; Bild 4: Shutterstock/shisu_ka