Handy mit Authenticator-App verloren: so kommen die Firmenkonten zurück

Handy mit Authenticator-App verloren: die Antwort in Kürze

Ohne das alte Handy kommen die Codes aus der Authenticator-App nur über eine Sicherung oder Synchronisierung auf ein neues Gerät, die vorher eingeschaltet war. Selbst dann kommen die Codes für Arbeitskonten bei Microsoft nicht mit zurück. Jedes Konto, das an der App hing, braucht deshalb einen eigenen Weg zurück: einen gespeicherten Wiederherstellungscode, ein zweites eingerichtetes Verfahren, einen Administrator in der Firma, der den zweiten Faktor zurücksetzt, oder als letzten Ausweg den Support des Dienstes.

Bei Firmenkonten fragen Sie zuerst den eigenen Administrator. In Microsoft 365 und Google Workspace kann er Ihren zweiten Faktor zurücksetzen oder Ihnen einen Ersatzcode geben. Bei Portalen mit nur einer Anmeldung für die ganze Firma hilft ein Wiederherstellungscode, sonst nur der Anbieter. Und bevor Sie sich um die Konten kümmern, sperren Sie das Gerät und die SIM-Karte.

Die erste Stunde: Gerät und Rufnummer sperren

Das Löschen aus der Ferne funktioniert nach der Verbraucherzentrale nur, solange das Handy eingeschaltet und die SIM-Karte nicht gesperrt ist. Sie rät deshalb, zuerst die Fernfunktionen zu nutzen und danach die Sperrhotline des Mobilfunkanbieters anzurufen. Bei Apple heißt der Dienst „Wo ist?“, bei Android „Mein Gerät finden“.

1. Gerät sperren oder als verloren markieren. Bei einem Firmenhandy erledigt das, wer das Apple- oder Google-Konto des Geräts verwaltet. Liegt das bei einem ausgeschiedenen Kollegen, ist das ein eigenes Problem, siehe Firmenhandy: Apple-ID und Google-Konto.
2. SIM-Karte sperren lassen. Fehlt die Nummer des Anbieters, hilft der Sperr-Notruf 116 116.
3. Bei Diebstahl Anzeige erstatten. Die Polizei braucht dafür die 15-stellige IMEI. Abfragen lässt sie sich mit *#06# am Gerät selbst, deshalb gehört sie für jedes Firmenhandy schon vorher in die Unterlagen.
4. Die Firma informieren. Wer Administrator ist, sollte noch am selben Tag wissen, dass ein Gerät mit Firmenzugängen fehlt.

Welche Konten an der App hingen

Schreiben Sie aus dem Gedächtnis auf, wofür Codes aus der App kamen. Hilfreich sind Rechnungen, das E-Mail-Postfach mit Anmeldehinweisen und die Kollegen, die dieselben Konten nutzen. Danach sortieren Sie nach dem Weg zurück:

Microsoft 365: der Administrator setzt den zweiten Faktor zurück

Für Geschäfts- und Schulkonten sichert die Microsoft Authenticator App nur den Kontonamen. Laut Microsoft-Hilfe müssen Sie sich nach einer Wiederherstellung erneut anmelden. Mit einem neuen Handy allein kommen Sie also nicht weiter, Sie brauchen den Administrator.

Er meldet sich im Microsoft Entra Admin Center an, mindestens mit der Rolle Authentifizierungsadministrator, öffnet unter Benutzer Ihr Konto und wählt „Authentifizierungsmethoden“. Dort verlangt er eine erneute Registrierung für die mehrstufige Authentifizierung („Require re-register MFA“). Damit löscht Microsoft die hinterlegten Telefonnummern, Authenticator-Apps und Software-Token des Kontos, und bei der nächsten Anmeldung richten Sie auf dem neuen Handy einen neuen zweiten Faktor ein. So steht es in der Microsoft-Dokumentation zu den Authentifizierungsmethoden, Stand der Seite 01.10.2026.

Gleich danach sollte der Administrator die Sitzungen des Kontos widerrufen. Dann muss sich auf dem verlorenen Handy jede angemeldete App neu anmelden, etwa Outlook oder Teams. Hat der Administrator selbst sein Handy verloren und gibt es keinen zweiten, steht der Weg zurück unter Microsoft 365: Admin und Notfallkonto.

Google: Backup-Code vom Administrator oder aus dem eigenen Konto

In Google Workspace öffnet ein Administrator mit dem Recht zur Nutzerverwaltung in der Admin-Konsole Verzeichnis, Nutzer, Ihr Konto und dort Sicherheit, Bestätigung in zwei Schritten. Mit „Back-up-Codes abrufen“ bekommt er Einmalcodes, von denen er Ihnen einen schickt. Sie melden sich mit Passwort und diesem Code an und richten das neue Handy ein. Backup-Codes für ein anderes Administratorkonto kann nur ein Super Admin erzeugen (Google-Hilfe, Stand 11.10.2026).

Google Authenticator kann die Codes im Google-Konto synchronisieren. War das eingeschaltet, erscheinen sie nach der Anmeldung auf dem neuen Gerät. War es aus, braucht der Export laut Google das alte Handy. Dann entfernen Sie den Authenticator bei jedem Dienst einzeln über dessen Ersatzweg und richten ihn neu ein. Für ein Google-Konto ohne Administrator bleibt die Kontowiederherstellung, deren Prüfung laut Google drei bis fünf Arbeitstage dauern kann.

Konten ohne Administrator: Code oder Anbieter

Schwierig wird es bei den Konten, die die Firma als Ganzes nutzt und für die es nur eine Anmeldung gibt: das Kundenkonto beim Großhändler, das Händlerportal eines Herstellers, das Konto beim Webhoster. Hier gibt es keinen Kollegen mit Verwaltungsrechten. Wer bei der Einrichtung die Wiederherstellungscodes gespeichert hat, meldet sich mit einem davon an und richtet den zweiten Faktor neu ein. Wo eine Firma diese Codes ablegt, damit sie im Ernstfall auffindbar sind, beschreibt Wiederherstellungscodes aufbewahren.

Ohne Code bleibt nur der Support des Anbieters. Er will dann einen Nachweis, dass das Konto Ihrer Firma gehört, und welcher Nachweis reicht, legt jeder Anbieter selbst fest. Läuft das Konto auf die private Adresse des Mitarbeiters mit dem verlorenen Handy, ist der Nachweis für die Firma besonders mühsam.

Wenn auch der zweite Faktor für den Tresor auf dem Handy war

Liegen die Codes der gemeinsamen Firmenkonten im Passwort-Tresor, ändert ein verlorenes Handy wenig an ihnen. Kollegen rufen sie weiter in ihren Apps ab, und Sie selbst sehen sie am Rechner, solange dort die App oder Browser-Erweiterung angemeldet ist. Zum Entsperren genügt laut Dokumentation der Apps das Master-Passwort, der zweite Faktor wird nur beim Anmelden verlangt.

Am Tresor stehen als zweiter Faktor eine Authenticator-App und ein Code per E-Mail zur Wahl. Wer den Code per E-Mail nutzt und an sein Postfach kommt, meldet sich damit auch auf dem Ersatzhandy an. Die App ist trotzdem die sicherere Wahl, besonders wenn das Passwort des Postfachs im Tresor liegt. Lag die App auf dem verlorenen Handy, brauchen Sie für eine neue Anmeldung den Wiederherstellungscode Ihres Tresorkontos, den Sie bei der Einrichtung ausgedruckt haben.

Wer den Wiederherstellungscode einlöst, meldet sich an, und die Software schaltet alle zweiten Faktoren des Kontos ab. Weil am Tresor eine Zwei-Faktor-Pflicht gilt, verliert ein Konto ohne Verwaltungsrechte damit vorerst den Zugriff auf die Sammlungen der Firma. Sie richten den neuen Faktor ein, und ein Eigentümer oder Administrator der Organisation stellt den Zugriff in der Verwaltung des Tresors wieder her. Danach gibt es einen neuen Wiederherstellungscode, den Sie wieder außerhalb des Tresors ablegen.

Fehler, die den Verlust in Firmen teuer machen

• Den zweiten Faktor danach abschalten. Nach einem Verlust ist die Versuchung groß, Zwei-Faktor bei den Konten einfach wegzulassen. Das BSI rät in jedem Fall davon ab, die Zwei-Faktor-Authentisierung zu deaktivieren, und empfiehlt stattdessen, mehrere zweite Faktoren zu hinterlegen.
• Nur eine Person mit Verwaltungsrechten. Verliert ausgerechnet sie ihr Handy, kann ihr in der Firma niemand helfen.
• Gemeinsame Konten auf einem persönlichen Handy. Der Verlust trifft dann alle, die das Konto nutzen, und nicht nur den Besitzer des Geräts.
• Den alten Faktor stehen lassen. Entfernen Sie das alte Gerät in jedem Dienst, bei dem es hinterlegt war.

Ein Beispiel aus dem Messebau

Ein erfundener Messebauer mit zwölf Leuten: Der Projektleiter verliert beim Abbau einer Messe sein Diensthandy. In seiner Authenticator-App lagen die Codes für sein Microsoft-365-Konto, für das Bestellportal des Holzhändlers und für das Kundenkonto bei der Spedition, mit der die Firma ihre Stände verschickt. Die beiden Portale nutzen drei Leute.

Am nächsten Morgen setzt die Büroleiterin als Administratorin seinen zweiten Faktor bei Microsoft zurück. Für Holzhändler und Spedition gibt es keinen Administrator in der Firma. Den geheimen Schlüssel dieser beiden Portale hatte er im Frühjahr zusätzlich beim Zugang im Tresor hinterlegt, also bestellen die Kollegen weiter, ohne dass jemand beim Anbieter anrufen muss. Weil derselbe Schlüssel auch auf dem verlorenen Handy liegt, richtet er den zweiten Faktor bei beiden Portalen noch am selben Tag neu ein und speichert den neuen Schlüssel wieder im Tresor. Wie mehrere Mitarbeiter einen Code für ein gemeinsames Konto nutzen, erklärt Bestätigungscodes im Team teilen.

Vorsorge: Codes für Firmenkonten gehören nicht auf ein einzelnes Handy

Für persönliche Konten, etwa das eigene Microsoft-365-Konto, ist ein zweiter Faktor auf dem Handy der Person richtig. Ob das ein privates oder ein Diensthandy sein soll, behandelt Authenticator-App auf dem Privathandy. Konten, die die Firma als Ganzes nutzt, sollten an keinem einzelnen Gerät hängen: Der geheime Schlüssel für den Code kommt zum Zugang in den Tresor, die Ersatzcodes in eine Sammlung für Geschäftsführung oder IT. Außer ihnen kommt nur heran, wer im Tresor Eigentümer oder Administrator ist.

Damit hängt der Schutz dieser Konten am Tresor selbst. Bei Passwortheld ist deshalb für alle Mitarbeiter ein eigener zweiter Faktor am Tresor Pflicht. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Welche Konten in einer Firma zuerst einen zweiten Faktor bekommen sollten, steht unter Zwei-Faktor im Betrieb einführen.

Bei Passwortheld

Wir richten den Tresor auf einem Server ein, den Ihre Firma bei netcup mietet, und schalten die Zwei-Faktor-Pflicht für alle Mitarbeiter ein. Zur Einrichtung gehört, dass jeder Nutzer den Wiederherstellungscode seines Tresorkontos ausdruckt. Die Codes für gemeinsame Konten trägt Ihr Team selbst bei den Zugängen ein. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu kommt die Servermiete ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Hilfe beim Umstellen der Konten rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Ob das zu Ihrem Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten).