2FA bei AWS: So richtest du eine Authenticator-App für Root- und IAM-Benutzer ein

Ein AWS-Konto kennt zwei Arten der Anmeldung an der Konsole: den Root-Benutzer, also die E-Mail-Adresse und das Passwort, mit denen das Konto eröffnet wurde (AWS), und IAM-Benutzer, eigene Zugänge mit eigenen MFA-Einstellungen (AWS). Die Multi-Faktor-Authentifizierung (MFA) ist für den Root-Benutzer bei jedem Kontotyp Pflicht: Ab deinem ersten Anmeldeversuch hast du 35 Tage Zeit, ein Gerät zu registrieren (AWS). Bei IAM-Benutzern entscheidet der Administrator des Kontos.

AWS akzeptiert Passkeys und Sicherheitsschlüssel, die es empfiehlt, außerdem Authenticator-Apps (in der Sprache von AWS virtuelle MFA-Geräte) und Hardware-Token. MFA per SMS lässt sich nicht mehr einschalten (AWS). Diese Anleitung verwendet Authenticator App - Novaz auf dem iPhone, aber jede Authenticator-App funktioniert genauso.

Wie wir diese Anleitung geprüft haben: Die Schritte für AWS stammen aus der eigenen Dokumentation und den Knowledge-Center-Artikeln von AWS (unten verlinkt), die wir am 20. Oktober 2026 gelesen haben. Wir haben sie nicht mit einem AWS-Konto getestet. Die Seiten von AWS verwenden nicht alle dieselben Labels, was du siehst, kann also leicht abweichen. Die Schritte für Novaz sind mit der App in Version 1.0.5 geprüft.

MFA für den Root-Benutzer einschalten

Prüfe zuerst, ob du die E-Mail-Adresse des Kontos und die Telefonnummer des Hauptkontakts noch erreichst. Sie sind der Weg zurück für den Root-Benutzer, wenn du die Authenticator-App verlierst (AWS). Folge dann den Schritten von AWS (AWS):

1. Melde dich mit der E-Mail-Adresse und dem Passwort des Kontos als Root user (Root-Benutzer) an der Konsole an.
2. Wähle rechts in der Navigationsleiste deinen Kontonamen und dann Security credentials (Sicherheitsanmeldeinformationen).
3. Wähle im Abschnitt Multi-Factor Authentication (MFA) die Option Assign MFA device (MFA-Gerät zuweisen).
4. Gib einen Device name (Gerätenamen) ein, wähle Authenticator app (Authenticator-App) und dann Next (Weiter).
5. Wähle Show QR code (QR-Code anzeigen). Tippe in Novaz auf + und dann auf QR-Code scannen. Wenn der Code auf demselben iPhone ist, mach ein Bildschirmfoto und nutze Foto auswählen. Siehe QR-Code auf demselben iPhone scannen.
6. Wenn du ihn nicht scannen kannst, wähle Show secret key (Geheimen Schlüssel anzeigen). Tippe in Novaz auf + und dann auf Schlüssel manuell eingeben, und gib ihn als Einrichtungsschlüssel ein. Die Codes von AWS haben 6 Ziffern und wechseln alle 30 Sekunden, ein eingetippter Schlüssel funktioniert also. Siehe Was ist ein 2FA-Einrichtungsschlüssel?
7. Gib den aktuellen Code aus Novaz unter MFA code 1 (MFA-Code 1) ein. Warte auf den nächsten Code, gib ihn unter MFA code 2 (MFA-Code 2) ein und wähle Add MFA (MFA hinzufügen).

Erledige Schritt 7 sofort, sonst wird das Gerät nicht synchron gespeichert und muss neu synchronisiert werden (siehe unten). Ab dann fragt AWS bei jeder Anmeldung an der Konsole nach deinem Passwort nach einem Code. Vertrauenswürdige Geräte erwähnen die Seiten von AWS nicht (AWS).

MFA für einen IAM-Benutzer einschalten

Für deinen eigenen IAM-Benutzer wählst du, sofern dein Administrator es erlaubt, oben rechts deinen Benutzernamen, dann Security credentials und dann Assign MFA device und folgst demselben Assistenten. Ein Tutorial von AWS zeigt stattdessen ein einziges Codefeld und Register MFA (MFA registrieren) (AWS).

Ein Administrator kann das in der IAM-Konsole unter Users (Benutzer), dem Namen des Benutzers und dann dem Tab Security Credentials erledigen, braucht dafür aber das Handy dieser Person (AWS).

Keine Backup-Codes: Registriere ein zweites Gerät

Die Seiten von AWS erwähnen keine Backup-Codes. Stattdessen kann jeder Root-Benutzer und jeder IAM-Benutzer bis zu acht MFA-Geräte beliebigen Typs registrieren, und jedes davon meldet dich an (AWS). AWS empfiehlt das Cloud-Backup einer Authenticator-App (AWS). In Novaz ist das iCloud-Backup (PRO) unter Einstellungen › Backup, wo du auch eine Backup-Datei exportieren kannst. Ein zweites Gerät lohnt sich trotzdem, etwa ein Passkey, ein Sicherheitsschlüssel oder eine Authenticator-App auf einem anderen Gerät.

Die Seite von AWS zum Root-Benutzer schlägt außerdem eine sicher aufbewahrte Kopie des QR-Codes oder des geheimen Schlüssels vor, mit der du später einen Ersatz einrichten kannst (AWS). Wenn du eine aufbewahrst, schütze sie wie das Root-Passwort.

Wenn AWS deinen Code ablehnt

Laut AWS kann eine Authenticator-App aus dem Takt geraten. Nach fehlgeschlagenen Anmeldungen bittet AWS dich, neu zu synchronisieren, indem du zwei aufeinanderfolgende Codes unter MFA code 1 und MFA code 2 eingibst. Du kannst das Gerät auch unter Security credentials auswählen und Resync (Neu synchronisieren) wählen (AWS).

Auf dem iPhone ist meist die Uhr schuld: Einstellungen › Allgemein › Datum & Uhrzeit › Automatisch einstellen. Novaz warnt dich, wenn sie um 15 Sekunden oder mehr abweicht. Mehr dazu unter Authenticator-Code funktioniert nicht?

Handy wechseln oder ein Gerät entfernen

Füge zuerst das neue Handy als zusätzliches MFA-Gerät hinzu. Wähle dann unter Security credentials das alte aus und wähle zweimal Remove (Entfernen). AWS schickt dem Root-Benutzer eine Bestätigung per E-Mail (AWS). IAM-Benutzer brauchen ein vorhandenes Gerät, um eines hinzuzufügen oder zu entfernen (AWS). Der Root-Benutzer muss immer eines behalten.

Wenn du Novaz auf dem neuen iPhone aus dem iCloud-Backup oder einer Backup-Datei wiederherstellst, funktionieren die Codes weiter, und du musst das neue Handy nicht als Gerät hinzufügen. Siehe So überträgst du deine Authenticator-App auf ein neues iPhone.

Wenn du deine Authenticator-App verlierst

Wenn du ein anderes registriertes Gerät hast, wähle bei der Anmeldung Try another MFA method (Andere MFA-Methode versuchen). Ohne eines (AWS):

• Root-Benutzer: Wähle Troubleshoot MFA (MFA-Fehlerbehebung) und dann Sign in using alternative factors (Mit alternativen Faktoren anmelden). Bestätige die E-Mail-Adresse mit Send verification email (Bestätigungs-E-Mail senden) und dann die Telefonnummer mit Call me now (Jetzt anrufen): Tippe die 6-stellige Zahl vom Bildschirm auf der Tastatur deines Telefons ein. Sobald du angemeldet bist, lösche das alte Gerät unter Security credentials und füge ein neues hinzu. Wenn das Handy gestohlen wurde, ändere auch das Root-Passwort.
• Kein Zugriff auf diese E-Mail-Adresse oder Telefonnummer: Nutze das Formular Lost or unusable MFA device des AWS-Supports. Wenn nur die Telefonnummer veraltet ist, kann ein IAM-Benutzer mit Administratorzugriff sie aktualisieren (AWS). AWS sagt nicht, wie lange die Wiederherstellung dauert.
• IAM-Benutzer: Bitte deinen Administrator, das Gerät zu entfernen. AWS sagt klar: „Support can't assist IAM users with MFA device issues“ (Der Support kann IAM-Benutzern bei Problemen mit MFA-Geräten nicht helfen) (AWS).

Mehr dazu unter Handy mit der Authenticator-App verloren?

Anmeldung über das AWS-Zugriffsportal

IAM Identity Center hat eine eigene MFA: Wähle im AWS-Zugriffsportal MFA devices (MFA-Geräte) und dann Register device (Gerät registrieren), im Rahmen der Regeln, die dein Administrator festlegt (AWS).

Offizielle Hilfe von AWS

• Multi-factor authentication for AWS account root user
• Sign in to the AWS Management Console as the root user
• Enable a virtual MFA device for the root user (console)
• Assign a virtual MFA device in the AWS Management Console
• AWS Multi-factor authentication in IAM
• IAM tutorial: Permit users to manage their credentials and MFA settings
• MFA enabled sign-in
• Resynchronize virtual and hardware MFA devices
• Recover an MFA protected identity in IAM
• Deactivate an MFA device
• Troubleshooting AWS account sign-in issues
• Update your telephone number to reset an MFA device (AWS Knowledge Center, von AWS verfasst)
• Registering your device for MFA