Authenticator-App auf dem Privathandy: der Stand in Kürze
Das Weisungsrecht des Arbeitgebers in § 106 der Gewerbeordnung spricht von Inhalt, Ort und Zeit der Arbeit sowie von Ordnung und Verhalten im Betrieb. Private Geräte oder Apps nennt die Vorschrift nicht. Eine deutsche Gerichtsentscheidung genau zu der Frage, ob ein Arbeitgeber die Authenticator-App auf dem Privathandy verlangen kann, haben wir bei unserer Recherche nicht gefunden, Stand 14.10.2026. Dieser Text ist keine Rechtsberatung. Was in Ihrem Betrieb gilt und ob ein Betriebsrat mitzureden hat, klärt ein Anwalt für Arbeitsrecht.
Ohne Privathandy kommen Sie auf drei Wegen aus: mit einem Diensthandy, mit einem Sicherheitsschlüssel für die Konten, die ihn unterstützen, und bei Konten, die das ganze Team nutzt, mit dem Code im Passwort-Tresor der Firma. Zwei davon lassen sich in einem Betrieb gut kombinieren, wie das Beispiel weiter unten zeigt. Wer sein Privathandy trotzdem nutzen möchte, kann das tun, wenn die Firma es mit ihm abspricht und aufschreibt.
Welche Konten einen Faktor pro Person brauchen
Trennen Sie zuerst die Konten, bevor Sie über Geräte reden. Ein persönliches Konto gehört genau einer Person: ihr Benutzer in Microsoft 365 oder Google Workspace, ihr Zugang zur Buchhaltungssoftware, ihr Konto am Passwort-Tresor. Hier braucht jede Person ihren eigenen zweiten Faktor, und der liegt bei ihr.
Ein gemeinsames Konto nutzt die Firma als Ganzes, etwa das Kundenkonto beim Großhändler oder das Konto beim Paketdienst. Dafür muss niemand eine App auf irgendein Handy laden. Der geheime Schlüssel für den Code liegt beim Zugang im Tresor, und alle Berechtigten rufen den Code dort ab. Wie Sie das einrichten, steht unter Bestätigungscodes im Team teilen. Übrig bleiben für die Frage nach dem Privathandy die persönlichen Konten.
Die Wege im Vergleich
| Weg | Was er braucht | Grenzen |
|---|---|---|
| Privathandy mit Absprache | Zustimmung des Mitarbeiters, eine schriftliche Regel für Verlust und Austritt | Bei einem Verlust ist die Firma auf die Mitarbeit der Person angewiesen |
| Diensthandy | Ein Gerät je Person, Konto für die App-Stores auf die Firma | Anschaffung und Verwaltung, ein weiteres Gerät in der Tasche |
| Sicherheitsschlüssel (FIDO2) | Zwei Schlüssel je Person, Freigabe durch den Administrator des Dienstes | Nicht jeder Dienst unterstützt ihn, Verlust nur mit dem zweiten Schlüssel zu überbrücken |
| Code im Tresor | Zugang in einer Sammlung, Schlüssel beim Eintrag | Nur für gemeinsame Konten gedacht, der Schutz hängt am Tresor selbst |
Das BSI hält Passkeys auf einem Sicherheitsschlüssel für resistent gegen übliche Phishing-Angriffe. Codes aus einer Authenticator-App schützen laut BSI dagegen nicht vor Phishing in Echtzeit. Die Bewertung des BSI nennt auch den Aufwand: Die Schlüssel müssen gekauft werden, und das Verfahren sieht zwei davon vor, damit einer den anderen ersetzen kann.
Microsoft 365: was ohne Privathandy geht
Bei Mandanten, die am oder nach dem 22.10.2019 angelegt wurden, sind laut Microsoft möglicherweise die Sicherheitsstandards eingeschaltet. Dann registrieren sich Benutzer mit der Microsoft Authenticator App, Codes darf auch eine andere App nach dem Verfahren OATH TOTP erzeugen. Ob diese App auf einem privaten oder einem dienstlichen Handy läuft, entscheidet die Firma.
Ohne Handy geht es mit einem Sicherheitsschlüssel. Passkeys auf FIDO2-Schlüsseln gibt es laut Microsoft in allen Ausgaben von Entra ID, auch in der kostenlosen, Stand 01.10.2026. Ein Administrator schaltet das Verfahren unter Authentifizierungsmethoden, Richtlinien, Passkey (FIDO2) frei. Zum Registrieren verlangt Microsoft, dass sich der Benutzer in den letzten fünf Minuten mit einem zweiten Faktor angemeldet hat. Klären Sie deshalb mit dem Administrator, bevor Sie Schlüssel kaufen, wie sich der Mitarbeiter dafür einmalig anmeldet und ob das zusammen mit den Sicherheitsstandards in Ihrem Mandanten funktioniert.
Wechselt ein Mitarbeiter später vom Privathandy auf ein Diensthandy oder einen Schlüssel, kann ein Authentifizierungsadministrator für sein Konto eine erneute Registrierung verlangen. Danach löscht der Mitarbeiter den alten Eintrag in der App auf seinem Privathandy. Wer in Ihrer Firma diese Rolle hat und wer sie im Notfall übernimmt, beschreibt Microsoft 365: Admin und Notfallkonto.
Google Workspace und andere Dienste
Für die Bestätigung in zwei Schritten beim Google-Konto lässt Google einen Sicherheitsschlüssel zu. Administratoren rät die Workspace-Hilfe, für ihr Administratorkonto mehr als einen Schlüssel zu registrieren. Verlangt die Firma ausschließlich Sicherheitsschlüssel, können Nutzer laut Google keine eigenen Backup-Codes erzeugen. Dann bleiben für den Notfall der zweite Schlüssel und der Administrator.
Bei Händler- und Herstellerportalen zeigen die Sicherheitseinstellungen, welche Verfahren es gibt. Bietet ein Portal nur eine App an und gehört der Zugang einer einzelnen Person, braucht diese Person ein Handy. Nutzen ihn mehrere, gehört der Code in den Tresor. Bei Portalen, die nur SMS kennen, hilft auch der Tresor nicht: Die SMS geht an eine Rufnummer, und die sollte auf die Firma laufen, nicht auf einen Mitarbeiter.
Wenn ein Mitarbeiter sein Privathandy nutzen möchte
Manche Mitarbeiter wollen kein zweites Gerät mit sich tragen. Dann regeln Sie schriftlich vier Dinge, am besten auf einer Seite:
- Welche Apps und Konten. Nur die Authenticator-App für die persönlichen Firmenkonten, keine gemeinsamen Konten und keine Firmendaten auf dem Gerät.
- Was bei Verlust passiert. Der Mitarbeiter meldet den Verlust am selben Tag, der Administrator setzt den zweiten Faktor zurück. Den Ablauf beschreibt Handy mit Authenticator-App verloren.
- Wie Vorsorge aussieht. Wo die Ersatzcodes seiner persönlichen Konten liegen, erklärt Wiederherstellungscodes aufbewahren.
- Was am letzten Arbeitstag passiert. Der Administrator entfernt die Anmeldeverfahren des Kontos, der Mitarbeiter löscht die Einträge der Firma aus der App. Die übrigen Schritte enthält die Checkliste Mitarbeiter verlässt die Firma.
Ob eine solche Absprache arbeitsrechtlich oder datenschutzrechtlich ausreicht, beurteilen Anwalt und Datenschutzbeauftragter. Wer ein bestimmtes Passwort herausgeben muss und was beim Weitergeben unter Kollegen gilt, behandelt Passwörter am Arbeitsplatz weitergeben.
Auch der Tresor verlangt einen zweiten Faktor
Wer die Codes der gemeinsamen Konten im Tresor abruft, meldet sich am Tresor selbst mit Master-Passwort und einem eigenen zweiten Faktor an. Bei Passwortheld ist das für alle Mitarbeiter Pflicht, und ein neuer Mitarbeiter richtet den zweiten Faktor ein, bevor er die Sammlungen der Firma sieht. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Zur Wahl stehen eine Authenticator-App oder ein Code per E-Mail.
Für Mitarbeiter, die weder Privathandy noch Diensthandy nutzen, ist der Code per E-Mail an die dienstliche Adresse ein Weg. Die App ist sicherer, denn wer an das Postfach kommt, liest auch den Code mit. Das wiegt schwerer, wenn das Passwort dieses Postfachs selbst im Tresor liegt und dort weitere Personen es sehen.
Ein Beispiel aus einem Malerbetrieb
Ein erfundener Malerbetrieb mit 15 Leuten: Zwei Meister, eine Bürokraft und der Inhaber arbeiten mit Microsoft 365, die Gesellen nicht. Beide Meister haben ohnehin ein Diensthandy für Baustellenfotos und richten die Authenticator-App dort ein. Die Bürokraft will auf ihrem privaten Handy nichts von der Firma haben und bekommt ein einfaches Diensthandy, das im Büro bleibt, wenn sie Feierabend macht.
Der Inhaber nutzt sein Privathandy und unterschreibt dieselbe Regel wie alle anderen. Die Codes für das Bestellportal des Farbengroßhändlers liegen in der Sammlung „Einkauf“ im Tresor, dort holen sie sich beide Meister und die Bürokraft. Welche Zugänge in Handwerksbetrieben sonst anfallen, steht auf der Seite für Handwerksbetriebe. Welche Konten in so einem Betrieb zuerst einen zweiten Faktor bekommen, behandelt Zwei-Faktor im Betrieb einführen.
Bei Passwortheld
Wir richten den Tresor auf einem Server bei netcup ein, den Ihre Firma mietet, mit Sammlungen pro Abteilung und Zwei-Faktor-Pflicht für alle Mitarbeiter. Die Codes der gemeinsamen Konten hinterlegt Ihr Team selbst. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu kommt die Servermiete ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Hilfe beim Umstellen rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Ob das zu Ihrem Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten).
Hinweis: Ob Sie die Nutzung eines privaten Geräts verlangen dürfen, was ein Mitarbeiter ablehnen kann und welche Mitbestimmungsrechte bestehen, beurteilt ein Anwalt für Arbeitsrecht anhand Ihres Falls.
Quellen: § 106 Gewerbeordnung: Weisungsrecht des Arbeitgebers; BSI: Bewertung von Zwei-Faktor-Authentisierungsverfahren; Microsoft Learn: Sicherheitsstandards für Microsoft Entra ID; Microsoft Learn: Passkeys (FIDO2) in Microsoft Entra ID aktivieren; Google-Konto-Hilfe: Sicherheitsschlüssel für die Bestätigung in zwei Schritten. Stand: 14.10.2026.