Wozu Recovery-Codes
Wenn du 2FA aktiv hast und dein Authenticator (z. B. Google Authenticator auf dem Smartphone) verloren geht — neues Handy, App gelöscht, Diebstahl — sind Recovery-Codes dein letzter Schlüssel.
Recovery-Codes sind Einmal-Codes, die du statt eines TOTP-Codes beim Login eingeben kannst.
Wann werden sie erzeugt?
- Automatisch beim Aktivieren von 2FA (
profile.security.enable-2fa) - Manuell regenerierbar über
profile.security.regenerate-recovery-codes(Throttle: 3 / 60min)
Aufruf
Sidebar → Profil → Sicherheit → Recovery-Codes (Route profile.security.recovery-codes).
Was du siehst
- 10 Codes in einer Liste (typisches Format:
xxxxx-xxxxx) - Verbrauchte Codes sind als verwendet markiert
- „Codes regenerieren"-Button — erzeugt neue 10, alte werden ungültig
Wo aufbewahren
Wichtig: Codes sind so wertvoll wie dein Password. Sicher aufbewahren!
Empfehlungen:
- Password-Manager (1Password, Bitwarden) — verschlüsselt + Backup
- Drucken und in physischem Tresor / Safe
- NICHT im Klartext-Mail oder Notiz-App ohne Schutz
Login mit Recovery-Code
Im 2FA-Challenge-Screen (two-factor.challenge): unter dem TOTP-Feld findest du „Recovery-Code verwenden" → Code eingeben → Login.
Der verwendete Code ist danach dauerhaft ungültig.
Codes regenerieren — wann sinnvoll?
- Wenn du sie kompromittiert vermutest (verloren, geklaut, geleakt)
- Wenn du mehr als 5 verbraucht hast — Reserve nachschieben
- Routinemäßig alle 12 Monate als Hygiene
Achtung beim Regenerieren
- Alte Codes werden sofort ungültig
- Wenn du gerade keinen Zugang zu deinem Authenticator hast: erst recovery-code-Login, dann regenerieren — sonst sperrst du dich aus
Wenn Codes UND Authenticator weg sind
- Live-Chat Support kontaktieren → Identitäts-Verifikation → manuelles 2FA-Reset
- Erwarte 1-2 Werktage Bearbeitungszeit
- Du brauchst Nachweise (Ausweis-Kopie, ggf. Sicherheits-Fragen)