Authenticator im Praxistest: Microsoft vs. Google

Zwei kostenlose Apps, ein großer Unterschied: Wer sein Smartphone wechselt, merkt schnell, welche Lösung mitdenkt – und welche zum Sicherheitsrisiko wird.

Liebe Leserinnen und Leser,

Zwei-Faktor-Authentifizierung (2FA) bzw. Multi-Faktor-Authentifizierung (MFA) ist heute Pflicht – ob für Microsoft 365, den Onlineshop oder das Firmen-VPN. Die beiden meistgenutzten kostenlosen Apps dafür sind der Microsoft Authenticator und der Google Authenticator. Auf den ersten Blick tun beide dasselbe: Sie erzeugen alle 30 Sekunden einen sechsstelligen Code. Der entscheidende Unterschied zeigt sich erst, wenn Sie das Smartphone wechseln – und genau hier trennt sich die Spreu vom Weizen.

Worauf es beim Gerätewechsel wirklich ankommt

Der Umzug auf ein neues Handy ist der wunde Punkt jeder Authenticator-App. Sind die Codes nicht sauber übertragbar, sperren Sie sich im schlimmsten Fall aus allen Konten aus – Wiederherstellung nur über mühsame Support-Prozesse oder Backup-Codes, die kaum jemand griffbereit hat. Für Unternehmen bedeutet das: Ausfallzeiten, Helpdesk-Aufwand und im Zweifel gesperrte Mitarbeiterkonten. Übertragbarkeit ist deshalb kein Komfort-, sondern ein Sicherheits- und Kostenthema.

Microsoft Authenticator – stark im Microsoft-Kosmos, schwach beim Umzug

Der Microsoft Authenticator spielt seine Stärke in Microsoft-365- und Entra-ID-Umgebungen aus: Statt nur Codes zu tippen, bestätigen Nutzer Anmeldungen per Push und Nummerncheck – bequem und phishing-resistenter. Auch passwortlose Anmeldung und Passkeys werden unterstützt.

Beim Gerätewechsel wird es allerdings unangenehm – und hier liegt der von vielen Anwendern beklagte Schwachpunkt:

• Plattformbindung: Ein Backup lässt sich nur auf denselben Gerätetyp zurückspielen. Der Wechsel von iPhone auf Android (oder umgekehrt) wird nicht unterstützt – die Codes müssen komplett neu eingerichtet werden.
• Kontobindung: Das Cloud-Backup hängt an einem persönlichen Microsoft-Konto. Unter iOS läuft es über iCloud, unter Android über ein MS-Konto – zwei verschiedene Mechanismen.
• Firmenkonten werden nicht vollständig wiederhergestellt: Bei Arbeits- und Schulkonten (Entra ID) kommt nur der Kontoname zurück. Sie müssen sich neu anmelden und die Anmeldung erneut verifizieren.
• Passkeys sind nicht im Backup: Hinterlegte Passkeys müssen auf dem neuen Gerät neu registriert werden – idealerweise, bevor das alte Handy abgemeldet wird.
• Kein echter Export: Eine Funktion, um Konten gebündelt zu exportieren, gibt es nicht.

In der Praxis heißt das: Ohne aktiviertes Backup und ohne griffbereite Wiederherstellungscodes wird der Handywechsel schnell zum Albtraum. Microsofts eigene Empfehlung – „Behalten Sie Ihr altes Gerät, bis alles funktioniert“ – ist ehrlich, aber sagt viel über die Umständlichkeit des Prozesses aus.

Google Authenticator – simpel und beim Umzug klar überlegen

Der Google Authenticator war jahrelang berüchtigt dafür, dass ein verlorenes Handy den Verlust aller Codes bedeutete. Seit 2023 synchronisiert die App die Codes jedoch automatisch mit dem Google-Konto. Genau das macht den Gerätewechsel heute nahezu mühelos:

• Automatischer Sync: Einmal im Google-Konto angemeldet, sind alle Codes auf dem neuen Gerät sofort verfügbar – auch plattformübergreifend zwischen iOS und Android.
• QR-Export als Alternative: Wer keinen Cloud-Sync möchte, exportiert die Konten per QR-Code direkt auf das neue Gerät („Konten übertragen“).
• Kein Anbieter-Lock-in beim Gerätetyp: Der Umzug funktioniert unabhängig davon, ob alt und neu iPhone oder Android sind.

Der Preis für den Komfort: Die Funktionalität ist bewusst schlicht. Es gibt keine Push-Bestätigung und keinen Nummerncheck wie bei Microsoft – nur klassische Zeit-Codes (TOTP). Und der Sync bindet Sie an Ihr Google-Konto: Ist dieses kompromittiert, sind es potenziell auch Ihre zweiten Faktoren.

Kritische Einordnung: Bequemlichkeit vs. Sicherheit

Mehr Übertragbarkeit bedeutet nicht automatisch mehr Sicherheit – im Gegenteil, beide Ziele stehen in Spannung zueinander. Als Google 2023 den Cloud-Sync einführte, kritisierten Sicherheitsforscher, dass die synchronisierten Codes nicht Ende-zu-Ende verschlüsselt sind: Wer Zugriff auf das Google-Konto erlangt, könnte die Geheimnisse mitlesen. Google kündigte daraufhin eine optionale Ende-zu-Ende-Verschlüsselung an. Wer den Sync nutzt, sollte sein Google-Konto daher zwingend selbst mit einem starken zweiten Faktor absichern.

Microsofts Ansatz ist umgekehrt restriktiver – die schlechte Übertragbarkeit ist teils gewollt: Weniger Kopierbarkeit heißt auch weniger Angriffsfläche. Für stark regulierte oder Microsoft-zentrierte Umgebungen ist der Authenticator mit Push und Nummerncheck sicherheitstechnisch die reifere Wahl. Für Privatnutzer und kleine Betriebe, die vor allem Wert auf einen reibungslosen Gerätewechsel legen, ist Google klar komfortabler.

Ein Blick über den Tellerrand lohnt: Wer maximale Datenhoheit will, kann auf quelloffene Alternativen wie Aegis (Android) oder 2FAS setzen. Sie erlauben verschlüsselte lokale Backups, die man selbst kontrolliert – unabhängig von Google oder Microsoft. Für den professionellen Einsatz mit vielen Mitarbeitern sind zentral verwaltbare Lösungen (z. B. über einen Passwort-Manager fürs Team) oft die bessere Wahl.

Der Vergleich auf einen Blick

Fazit & Empfehlung

Es gibt nicht die eine richtige App – es gibt die richtige für Ihre Situation:

• Microsoft Authenticator – seine Stärke ist die nahtlose Einbindung in die Microsoft-365-/Entra-Welt: Push, Nummerncheck, passwortlose Anmeldung und zentrale Verwaltung greifen dort perfekt ineinander. In einer gemanagten Unternehmensumgebung ist er damit die richtige Wahl. Beim Gerätewechsel zeigt er aber Schwächen – planen Sie ihn sorgfältig und halten Sie Wiederherstellungscodes bereit.
• Google Authenticator – klar überlegen überall dort, wo der Nutzer sich selbst helfen können muss: für den privaten Einsatz und für den User-Self-Service. Dank automatischem Konto-Sync und QR-Export gelingt der Umzug auf ein neues Handy – auch zwischen iOS und Android – ohne Helpdesk-Ticket. Sichern Sie dafür Ihr Google-Konto selbst stark ab.
• Open-Source-Alternativen (Aegis, 2FAS) – für alle, die Backups selbst in der Hand behalten wollen, ohne Abhängigkeit von einem großen Anbieter.

Unsere Empfehlung als ITnavigator: Auch unseren Microsoft-365-Kunden raten wir in aller Regel zum Google Authenticator. Der Grund ist die tägliche Praxis: Der reibungslose, plattformübergreifende Gerätewechsel per Konto-Sync entlastet den User-Self-Service spürbar, verhindert Kontosperren beim Handytausch und reduziert Helpdesk-Tickets – während der Microsoft Authenticator genau hier die meisten Probleme verursacht. Die starke M365-Integration von Microsoft (Push, Nummerncheck) ist zwar komfortabel, wiegt den Aufwand rund um Backup und Gerätewechsel aus unserer Sicht aber selten auf. Für Umgebungen mit strengen Compliance-Vorgaben oder erzwungener passwortloser Anmeldung prüfen wir das im Einzelfall.

Unser Rat unabhängig von der App: Aktivieren Sie das Backup von Anfang an, drucken Sie die Wiederherstellungscodes jedes wichtigen Dienstes aus und bewahren Sie sie sicher auf. Der beste Zeitpunkt, den Handywechsel vorzubereiten, ist, bevor das alte Gerät kaputt ist.

Sie sind unsicher, welche MFA-Strategie zu Ihrem Unternehmen passt, oder möchten die Zwei-Faktor-Anmeldung sauber und ausfallsicher für Ihr Team aufsetzen? Als Ihr IT-Dienstleister richten wir MFA zentral verwaltbar ein, schulen Ihre Mitarbeitenden und sorgen dafür, dass ein Gerätewechsel nie zur Kontosperre wird. Sprechen Sie uns an.

Quellen

• Microsoft Learn: Authenticator auf ein neues Telefon übertragen – learn.microsoft.com
• Microsoft Support: Konten in Microsoft Authenticator sichern – support.microsoft.com
• Google-Konto-Hilfe: Bestätigungscodes mit Google Authenticator – support.google.com
• BleepingComputer / MacRumors (2023): Kritik am fehlenden Ende-zu-Ende-Sync bei Google Authenticator