Handy weg, Zugang weg? So sichere ich meine 2FA-Codes mit Bitwarden und Ente Auth

Kommt dir das bekannt vor? Ein Dienst oder eine Seite will den sechsstelligen 2FA-Code, und das Handy liegt im anderen Zimmer. Ja, das ist lästig, aber harmlos. Richtig deppert wird es erst, wenn das Handy ganz weg ist und die Codes nur dort drinnen waren. In diesem Beitrag möchte ich dir zeigen, wie dir das nicht mehr passieren kann.

TL;DR Meine Passwörter, 2FA-Codes und Passkeys liegen in Bitwarden. Zusätzlich sind alle 2FA-Codes in Ente Auth, einer zweiten App mit eigenem Konto gespeichert. Doch der Reihe nach.

Warum Google und Microsoft Authenticator allein riskant sein können

Beide Apps tun, was sie sollen. Das Problem ist der Umzug und damit ein Anbieter-Wechsel.

Der Google Authenticator synchronisiert die Codes seit 2023 mit deinem Google-Konto. Damals haben Sicherheitsforscher von Mysk gezeigt, dass das nicht Ende-zu-Ende-verschlüsselt passiert. Google hat versprochen, das nachzurüsten. Möchtest du deine Codes aus der App migireren, bleibt dir das übersiedeln per Hand schlicht nicht erspart.

Microsoft Authenticator sichert die Codes am iPhone in die iCloud, am Android-Handy in ein Microsoft-Konto und ab 2027 bei Android via Google One und bei iOS via iCloud. Der Haken? Ein Backup vom iPhone lässt sich nicht auf Android zurückspielen und umgekehrt. Einen Export für die Codes gibt es nicht. Das heißt auch hier: Die gesamten Codes müssen händisch neu erstellt werden, bei jedem Dienst.

Mein Setup: Bitwarden plus Ente Auth

Bitwarden für Passwörter, 2FA und Passkeys

Bitwarden, die App in Kombination mit dem selbst gehosteten Vaultwarden nutze ich schon lange, hier meine App des Monats vom Dezember 2022. Nutzt du Bitwarden mit deinem eigenen Vaultwarden Server, bekommst du alles gratis. Nutzt du Bitwarden mit deren Online-Dienst, dann ist das Speichern der Passwörter speichern gratis. Für die 2FA-Codes im Tresor brauchst du Premium: 1,65 US-Dollar im Monat, jährlich verrechnet, also 19,80$. Damit ist Bitwarden der günstigste Anbieter da draußen. Und wenn du mehr als eine Person im Haushalt bist, gibt es noch die Familienversion um 3,99$ im Monat für 6 Leute. 1Passwort kostet da 6$ für 5 Leute und Dashlane kostet für 10 Leute 7,25€ im Monat.

Der Vorteil von Premium und den damit verbundenen Kosten ist für mich recht klar, für diejenigen, die das nicht selbst hosten wollen: Am PC füllt die Browser-Erweiterung Benutzername, Passwort und gleich danach den 2FA-Code aus. Am Handy landet der Code beim Ausfüllen in der Zwischenablage, einfügen, fertig. Außerdem kümmert sich jemand um die sichere Verwahrung deiner Passwörter und du musst dich selbst nicht darum kümmern, dann dein kleiner Server online ist.

Auch meine Passkeys liegen in Bitwarden. Ein Passkey, den ich am Handy anlege, funktioniert so auch am PC. Voraussetzung sind iOS 17 bzw. Android 14.

Was Passkeys sind, warum sie jeder jetzt haben möchte und warum sie so wichtig sind, habe ich hier erklärt:

Was sind Passkeys und warum will das jetzt jeder Dienst aktivieren?

Ente Auth als zweites Standbein

Ente Auth habe ich ebenfalls schon mal als App des Monats im August 2024 vorgestellt. Gratis, Open Source, Ende-zu-Ende-verschlüsselt und laut Ente auch extern geprüft (Ente-Hilfe). Die Codes synchronisieren über alle Geräte, und im Notfall kommst du über auth.ente.io im Browser dran. Ein Konto ist keine Pflicht, die App läuft auch offline. Wobei ich das nicht empfehlen würde.

Warum zwei Apps? Sollte mein selbst gehosteter Bitwarden Server, Vaultwarden, ein Thema haben und ich akut nicht auf einen 2FA-Code zugreifen kann, dann habe ich noch immer Ente Auth mit den Codes. (Ja, ich sichere regelmäßig meinen Home Assistant Server, wo auch Vaultwarden mitgesichert wird.)

Alle Eier in einem Korb?

Wer Passwort und 2FA-Code im selben Tresor hat, gibt einem Angreifer mit Zugriff auf den Tresor beides auf einmal. Deshalb raten viele, Codes und Passwörter getrennt zu halten, etwa in dieser Diskussion im Techlore-Forum.

Die Gegenrechnung macht der Blogger hinter moonwriting: Eine eigene App am selben Handy hilft bei Schadsoftware kaum. Er gibt aber zu, dass Trennen immer etwas sicherer ist.

Ich habe mich für den Komfort entschieden, mit einem langen Master-Passwort und einer eigenen 2FA für Bitwarden. Ich für mich habe mich für den Weg entschieden die 2FA-Codes in beiden Apps zu speichern – nicht wegen der Sicherheit, vielmehr wegen der Gemütlichkeit. Denn: Im Browser kümmert sich die Extension von Bitwarden um das Ausfüllen der Passwörter und Codes. Und wer wer Bank oder E-Mail besonders schützen will, der lässt diese Codes nur in Ente Auth.

Bitwarden und Ente sind meine Wahl, Alternativen wie Aegis (Android), 2FAS oder Proton Pass tun es genauso.

So ziehst du deine Codes um

Aus Google Authenticator

1. Am alten Handy Google Authenticator öffnen, Menü → Konten übertragen → Konten exportieren.
2. Konten auswählen, Weiter tippen. Bei vielen Konten kommen mehrere QR-Codes.
3. In Ente Auth unter Daten → Codes importieren Google Authenticator wählen und den QR-Code scannen.
4. In Bitwarden Authenticator unter Einstellungen → Importieren Google Authenticator wählen und scannen. Mit langem Druck auf einen Code kopierst du ihn in den Tresor.
5. Prüfen, ob jeder Code stimmt. Erst dann die Konten im alten Google Authenticator löschen.

Aber Achtung: Laut Ente klappt der Import nicht bei jedem Eintrag, vor allem bei Google-Konten. Die richtest du beim Dienst neu ein.

Aus Microsoft Authenticator

Kein Export, also Konto für Konto:

1. Beim Dienst einloggen (Amazon, Facebook, …) und in den Sicherheitseinstellungen die Authenticator-App neu einrichten.
2. Den QR-Code mit Bitwarden und mit Ente Auth scannen.
3. Zeigen beide denselben Code, bestätigen. Dann das Konto aus Microsoft Authenticator löschen.

Für das Microsoft-Konto selbst und Firmenkonten nutzt der Authenticator Push-Anmeldungen und Passkeys, die lassen sich nicht mitnehmen. Mein Tipp: Für diese Konten die App behalten.

Neue Codes anlegen

Aktivierst du 2FA bei einem Dienst, zeigt er einen QR-Code. In Bitwarden den Eintrag öffnen, Bearbeiten, Code scannen. In Ente Auth auf + und QR-Code scannen. Gleich beide scannen, dann ist das Backup erledigt.

Viele Dienste zeigen dabei auch Wiederherstellungscodes an. Das ist dein Notausgang, wenn alle Apps weg sind. Manche Leute drucken sie aus, andere speichern sie an anderen, sicheren Orten. Ich nutze dafür mein lokales NAS. Das ein anderes Gerät als mein Home Assistant ist, wo unteranderem mein Passwort-Manager läuft.

Notfallplan: Das Handy ist weg

• Ruhig bleiben, die Codes sind in Bitwarden und Ente gesichert.
• Am PC bei Bitwarden einloggen. Den 2FA-Code dafür holst du aus Ente Auth im Browser (auth.ente.io) oder vom Ausdruck.
• Handy über “Mein Gerät finden” (Google) oder “Wo ist?” (Apple) sperren oder löschen.
• SIM beim Mobilfunker sperren lassen, damit niemand SMS-Codes abfängt.
• Neues Handy: Bitwarden und Ente Auth installieren, einloggen, die Codes kommen von selbst.
• Bei E-Mail, Bank, Google und Apple das alte Gerät aus der Geräteliste werfen.
• An ID Austria denken!

Die vier Apps im Vergleich

	Google Authenticator	Microsoft Authenticator	Bitwarden	Ente Auth
Backup	Sync über Google-Konto	iCloud (iPhone) oder Microsoft-Konto (Android)	im Tresor	Ende-zu-Ende-verschlüsselt in der Ente-Cloud
Wechsel iPhone ↔ Android	per QR-Code oder Sync	nur Neueinrichtung	ja	ja
Sync auf mehrere Geräte	ja (mit Google-Konto)	nein	ja, auch PC und Browser	ja, auch PC und Browser
Export	QR-Code	keiner für Codes	ja (.json/.csv)	ja (verschlüsselt oder Klartext)
Open Source	nein	nein	ja	ja
Kosten	gratis	gratis	2FA im Tresor mit Premium (19,80 US-Dollar/Jahr), Bitwarden Authenticator gratis	gratis

FAQ

Wie übertrage ich Google Authenticator auf ein neues Handy?

Am alten Handy Konten übertragen → Konten exportieren und den QR-Code mit dem neuen Handy scannen. Oder du nutzt den Sync mit dem Google-Konto, dann reicht das Einloggen.

Kann ich Microsoft Authenticator exportieren?

Nein, nicht für 2FA-Codes. Das Backup funktioniert nur zwischen gleichen Systemen (iPhone zu iPhone, Android zu Android). Beim Wechsel richtest du jedes Konto neu ein.

Ist Ente Auth sicher?

Die Codes sind Ende-zu-Ende-verschlüsselt, der Server sieht laut Ente nichts davon. Die Apps sind Open Source, die Verschlüsselung wurde extern geprüft.

Ist 2FA in Bitwarden kostenlos?

Im Tresor nur mit Premium (1,65 US-Dollar/Monat, jährlich verrechnet). Die eigene App Bitwarden Authenticator ist gratis, auch ohne Konto.

Was tun, wenn das Handy mit 2FA verloren ist?

Mit dem Backup (Bitwarden, Ente Auth, Google-Sync) auf einem anderen Gerät weitermachen. Ohne Backup bleiben nur die Wiederherstellungscodes oder der Wiederherstellungsprozess des Dienstes.