Wiederherstellungscodes: wo eine Firma sie aufbewahrt

Wiederherstellungscodes für Zwei-Faktor: was sie sind und wohin sie gehören

Wiederherstellungscodes, je nach Dienst auch Backup-Codes oder Ersatzcodes genannt, ersetzen bei der Anmeldung den zweiten Faktor. Wer Passwort und einen dieser Codes hat, kommt in das Konto, auch ohne das Handy mit der Authenticator-App. Manche Dienste zeigen sie nur bei der Einrichtung der Zwei-Faktor-Anmeldung, bei anderen lassen sie sich später in den Sicherheitseinstellungen abrufen oder neu erzeugen. In der Hand eines Fremden ersetzen sie das Handy, deshalb gehören sie genauso geschützt wie der zweite Faktor selbst.

In einer Firma bewahren Sie sie an zwei Orten auf. Die Codes der Firmenkonten kommen in den Passwort-Tresor, als Notiz oder Anhang beim Zugang, in eine Sammlung, die nur Geschäftsführung und eine zweite Vertrauensperson sehen. Der Code für das eigene Konto am Tresor kommt auf Papier in einen verschlossenen Umschlag im Firmensafe, denn wer ihn braucht, kommt gerade nicht in den Tresor. Nicht dorthin gehören die Codes: als Foto in die Galerie des Handys, als Textdatei auf den Desktop, als Mail an sich selbst.

Die Codes der großen Dienste im Vergleich

Jeder Dienst handhabt die Codes etwas anders. Für die Ablage zählt, wie viele Codes es gibt und was mit den alten passiert, wenn jemand neue erzeugt.

Stand der Angaben ist der 14.10.2026, nach den Hilfeseiten von Google, Microsoft und GitHub und der Dokumentation der Apps. Für Google Workspace empfiehlt Google, dass Super Admins Backup-Codes für die anderen Administratoren vorab erzeugen, ausdrucken und sicher aufbewahren. Microsoft rät beim persönlichen Konto, den Code auszudrucken und nicht auf einem Gerät zu speichern, mit dem Sie sich an diesem Konto anmelden. GitHub empfiehlt, die Codes in einem sicheren Passwort-Manager zu speichern.

Drei Orte und was jeweils dorthin gehört

Ein Tresor ohne Sammlung für Notfall-Codes zwingt zu einer schlechten Wahl: Entweder liegen die Codes beim Zugang, wo alle Kollegen mit Zugriff sie sehen, oder im persönlichen Bereich einer Person, an den im Alltag sonst niemand kommt. Eine eigene Sammlung „Notfall-Codes“ löst beides.

Wer die Codes sehen darf

Wer einen Wiederherstellungscode und das Passwort kennt, meldet sich an wie der Inhaber des Kontos. Beim Tresor schaltet das Einlösen sogar alle zweiten Faktoren des Kontos ab. Für Passwörter verlangt das BSI im Baustein ORP.4.A8, dass sie nur der Person selbst bekannt sind und schriftlich nur für eine Hinterlegung im Notfall festgehalten werden, die dann sicher aufbewahrt sein muss. Für Codes, die den zweiten Faktor ersetzen, empfehlen wir dieselbe Strenge.

• Gemeinsame Firmenkonten: Geschäftsführung und eine zweite Person, zum Beispiel die Büroleitung oder der IT-Ansprechpartner. Das Team, das den Zugang nutzt, braucht die Codes im Alltag nicht.
• Persönliche Konten eines Mitarbeiters: der Mitarbeiter selbst. Bei Konten mit Verwaltung in der Firma, etwa Google Workspace, kann ein Administrator ohnehin neue Codes abrufen.
• Administratorkonten: die Person mit dem Konto, dazu ein Ausdruck im Safe. Fällt sie aus, greift der Notfallzugriff auf Firmenpasswörter.

Wie Sie Sammlungen und Rechte im Tresor schneiden, steht unter Passwörter im Team teilen. Die Codes selbst, mit denen ein ganzes Team sich täglich anmeldet, sind ein anderes Thema, das Bestätigungscodes im Team teilen behandelt.

Der Code für den Tresor gehört nicht in den Tresor

Laut Dokumentation der Apps gehört der Wiederherstellungscode des Tresorkontos außerhalb des Tresors, und der Hersteller kann ihn nicht für Sie abrufen. Solange Sie angemeldet sind, sehen Sie ihn in der Weboberfläche des Tresors in den Sicherheitseinstellungen bei der Zwei-Faktor-Anmeldung, nachdem Sie Ihr Master-Passwort eingegeben haben. Ist der Code verloren und der zweite Faktor auch, setzt ein Eigentümer oder Administrator Ihrer Organisation den zweiten Faktor des Kontos über die Kontowiederherstellung zurück. Geht das nicht, etwa beim einzigen Eigentümer, entfernen wir ihn auf Auftrag im Admin-Bereich des Servers, nach Aufwand (74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde).

Deshalb gehört das Ausdrucken bei Passwortheld zur Einrichtung: Jeder Nutzer druckt den Code am selben Tag aus, an dem er seinen zweiten Faktor einrichtet. Für eine Firma mit acht Konten am Tresor heißt das acht Umschläge, oder ein Mitarbeiter verwahrt seinen Code selbst zu Hause, wenn die Firma das so regelt. Auf das Notfallblatt (PDF) gehört der Code nicht, das Blatt beschreibt nur Wege und Personen. Wie der Code im Ernstfall eingesetzt wird, steht unter Handy mit Authenticator-App verloren.

Codes pflegen: verbraucht, neu erzeugt, veraltet

1. Verbrauchte Codes markieren. Google empfiehlt das selbst. Im Tresor streichen Sie den Code in der Notiz, auf Papier durchstreichen.
2. Nach dem Neuerzeugen sofort ersetzen. Bei Google, Microsoft und GitHub werden alte Codes ungültig, sobald jemand neue anlegt. Eine veraltete Liste im Safe ist im Ernstfall wertlos.
3. Nach einem Weggang neu erzeugen. Konnte ein ausgeschiedener Mitarbeiter die Sammlung mit den Codes sehen, erzeugen Sie für diese Konten neue. Die übrige Reihenfolge steht in der Checkliste Mitarbeiter verlässt die Firma.
4. Einmal im Jahr prüfen. Für jedes Konto mit Zwei-Faktor-Anmeldung: Gibt es Codes, liegen sie am richtigen Ort, sind sie noch gültig? Den Termin legen Sie am besten auf denselben Tag wie die jährliche Prüfung des Notfallblatts.

Fehler mit Ersatzcodes

• Das Bildschirmfoto in der Galerie. Liegt es auf dem Handy mit der Authenticator-App, verschwinden beim Verlust Faktor und Ersatz gemeinsam.
• Die Datei „backup-codes.txt“. Unverschlüsselt auf dem Rechner kann Schadsoftware sie lesen, und Google legt beim Herunterladen genau so eine Textdatei an. Für Codes gilt dasselbe wie für Passwortlisten, siehe Passwörter in Excel.
• Die Codes des Kollegen, der sie eingerichtet hat. Er hat die Zwei-Faktor-Anmeldung für den Großhändler-Zugang eingeschaltet und die Codes in seinem persönlichen Bereich gespeichert. Nach seinem Weggang weiß niemand, dass es sie gab.
• Keine Codes abgerufen. Bei Google und beim Tresor holt man sie in den Sicherheitseinstellungen eigens ab. Wer das überspringt, hat im Ernstfall nur noch den Administrator oder den Support des Anbieters.

Ein Beispiel aus einem Übersetzungsbüro

Ein erfundenes Übersetzungsbüro mit vier Angestellten nutzt Google Workspace, ein Übersetzungsportal mit einer gemeinsamen Anmeldung und ein Konto beim Domain-Anbieter. Die Inhaberin ist einzige Super Admin in Workspace. Beim Aufräumen legt sie im Tresor die Sammlung „Notfall-Codes“ an, die nur sie und ihr Projektleiter sehen, und speichert dort die Ersatzcodes des Übersetzungsportals und des Domain-Kontos.

Ihre eigenen Workspace-Codes druckt sie aus, wie Google es für Administratoren rät, und legt sie mit ihrem Wiederherstellungscode für den Tresor in einen Umschlag im Büroschrank mit Schloss. Den Projektleiter macht sie zum zweiten Super Admin, damit nicht alles an einer Person hängt. Was Übersetzungsbüros sonst an Zugängen haben, steht auf der Seite für Übersetzungsbüros.

Bei Passwortheld

Im Tresor von Passwortheld sind Dateianhänge bei jedem Kunden eingeschaltet, Codes als Datei lassen sich also direkt beim Zugang ablegen. Die Sammlungen und wer sie sieht, legen Sie selbst fest. Für alle Mitarbeiter gilt am Tresor die Zwei-Faktor-Pflicht, Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Deshalb hat auch jeder einen eigenen Wiederherstellungscode für sein Konto. Als zweiter Faktor stehen eine Authenticator-App und ein Code per E-Mail zur Wahl, die App ist sicherer, besonders wenn das Passwort des Postfachs im Tresor liegt.

Liegen die Ersatzcodes der Firmenkonten nur noch im Tresor, brauchen Sie eine Sicherung des Tresors. Ohne Backup-Paket sichern wir den Tresor nicht. Vor Updates legen wir nur eine Kopie auf demselben Server an, sie ersetzt keine Sicherung. Sie exportieren den Tresor dann selbst verschlüsselt, wie wir es bei der Einrichtung zeigen. Das Backup-Paket kostet 7,99 € im Monat inkl. MwSt. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt., nur für Unternehmer. Mehr im kostenlosen Erstgespräch (15 Minuten).