Ein Google-Verifizierungscode ist eine temporäre Sequenz, die in der Regel aus sechs Ziffern besteht und beim Anmelden an ein Google-Konto, das durch die zweistufige Bestätigung geschützt ist, generiert oder gesendet wird. Dieser Code stellt die zweite Authentifizierungsebene nach dem Passwort dar. Es gibt mehrere Methoden, um ihn zu empfangen oder zu erzeugen, und die Wahl der Methode hat direkten Einfluss auf das Schutzniveau des Kontos.
TOTP, SMS oder Google-Benachrichtigung: die Mechanismen hinter dem Verifizierungscode
Nicht alle Verifizierungscodes sind gleichwertig. Das Verständnis ihrer technischen Funktionsweise ermöglicht es, die am besten geeignete Methode für den eigenen Gebrauch auszuwählen.
Das Protokoll TOTP (zeitbasierter Einmalpasswort-Algorithmus) basiert auf einem geheimen Schlüssel, der zwischen dem Google-Server und dem Gerät während der Ersteinrichtung geteilt wird. Die Google Authenticator-App generiert alle dreißig Sekunden einen sechsstelligen Code, ohne dass eine Internetverbindung oder ein Mobilfunknetz erforderlich ist.
Der Code per SMS oder Sprachanruf wird über das Telefonnetz übertragen. Diese Methode bleibt funktionsfähig, ist jedoch anfällig für Abfangaktionen (SIM-Swapping, Anrufumleitungen). In Google Workspace können Administratoren jetzt die Methoden der zweiten Stufe einschränken und Codes, die per SMS oder Anruf empfangen werden, als weniger zuverlässig ausschließen zugunsten von Sicherheitsschlüsseln oder Authentifizierungsanwendungen.
Das Verfahren zur Erhalt eines Google-Verifizierungscodes hängt also von der auf dem Konto konfigurierten Validierungsmethode ab. Die Google-Benachrichtigung (Push-Benachrichtigung auf einem vertrauenswürdigen Gerät) stellt einen dritten, flüssigeren Weg dar, der einfach nur die Genehmigung der Verbindung über das verbundene Telefon erfordert.
Die zweistufige Bestätigung auf einem Google-Konto einrichten
Die zweistufige Bestätigung wird über die Sicherheitseinstellungen des Google-Kontos aktiviert. Der Prozess folgt einer schrittweisen Logik, die das Passwort mit einer zweiten Authentifizierungsmethode verknüpft.
Einrichtungssteps in den Sicherheitseinstellungen
Greifen Sie auf Ihr Google-Konto zu und dann auf den Abschnitt Sicherheit. Wählen Sie “Zweistufige Bestätigung” und folgen Sie den Anweisungen. Google bietet zunächst die Benachrichtigung auf dem Telefon an und lässt dann andere Methoden hinzufügen.
- Installieren Sie Google Authenticator (Version 6.0 oder höher unter Android, 4.0 oder höher unter iOS) und scannen Sie den QR-Code, der von Google angezeigt wird, um das Konto zu verknüpfen
- Fügen Sie eine Wiederherstellungs-Telefonnummer hinzu, um Codes per SMS als Backup zu erhalten
- Generieren Sie ein Set von Notfallcodes (zehn Einmalcodes), die an einem sicheren Ort aufbewahrt werden sollten, wie man einen Reisepass aufbewahren würde
Sobald aktiviert, wird bei jeder neuen Anmeldung von einem nicht erkannten Gerät zuerst das Passwort und dann der Verifizierungscode angefordert.
Synchronisierung der Authenticator-Codes zwischen Geräten
Google Authenticator ermöglicht jetzt die Synchronisierung der Bestätigungscodes auf mehreren Geräten, indem man sich in der App mit seinem Google-Konto anmeldet. Die Codes sind während der Übertragung und im Ruhezustand verschlüsselt. Ein Verlust des Telefons bedeutet nicht mehr, den Zugang zu allen Konten zu verlieren, vorausgesetzt, diese Synchronisierung wurde zuvor aktiviert.
Google-Notfallcodes: das oft vernachlässigte Sicherheitsnetz
Die Notfallcodes sind ein Set von zehn Einmalcodes, die von der Sicherheitsseite des Kontos heruntergeladen werden können. Jeder Code funktioniert nur einmal. Wenn ein neues Set generiert wird, wird das alte automatisch deaktiviert.
Diese Codes sind nützlich, wenn das Telefon verloren geht, gestohlen wird oder nicht zugänglich ist. Ohne sie wird die Wiederherstellung des Kontos deutlich komplizierter und kann einen langen Identitätsverifizierungsprozess erfordern.
Ein wichtiger Hinweis: Google wird niemals einen Notfallcode außerhalb eines vom Benutzer initiierten Anmeldevorgangs anfordern. Jede Anfrage per E-Mail oder Nachricht, einen Notfallcode weiterzugeben, ist ein Phishing-Versuch.
Passkeys und die Zukunft des Google-Verifizierungscodes
Seit 2023-2024 führt Google die Passkeys (Zugangsschlüssel, die auf dem FIDO/WebAuthn-Standard basieren) ein. Diese Technologie verändert die Logik des klassischen Verifizierungscodes. Mit einem Passkey erfolgt die Validierung direkt auf dem vertrauenswürdigen Gerät über Biometrie (Fingerabdruck, Gesichtserkennung) oder den Geräte-PIN.
Konkret gibt es bei einem Konto, das mit einem Passkey konfiguriert ist, keinen SMS-Code oder TOTP-Code, der bei jeder Anmeldung eingegeben werden muss. Die zweite Stufe ist in die Entsperrbewegung integriert. Für Google Workspace-Konten können Administratoren die Verwendung von Passkeys oder physischen Sicherheitsschlüsseln vorschreiben und eine verpflichtende Registrierungsfrist festlegen.
Passkeys machen Notfallcodes nicht obsolet. Im Falle des Verlusts aller vertrauenswürdigen Geräte bleiben Notfallcodes der letzte Ausweg, um den Zugang zum Konto wiederherzustellen. Ein gedrucktes Set an einem sicheren Ort aufzubewahren, bleibt eine sinnvolle Vorsichtsmaßnahme, unabhängig von der gewählten Hauptauthentifizierungsmethode.
Der Google-Verifizierungscode koexistiert also mit neueren Technologien. Konten, die noch nicht auf Passkeys migriert sind, verlassen sich weiterhin auf Authenticator, SMS oder Benachrichtigungen. Die technische Empfehlung bleibt klar: Bevorzugen Sie die Authentifizierungsanwendung oder Passkeys, halten Sie die Notfallcodes aktuell und deaktivieren Sie SMS als Hauptmethode, sobald eine robustere Alternative vorhanden ist.
