2FA bei Bitbucket: So richtest du eine Authenticator-App ein

Bitbucket Cloud, das Git-Hosting von Atlassian auf bitbucket.org, meldet dich mit einem Atlassian-Konto an (Bitbucket), aber die Two-Step Verification (Bestätigung in zwei Schritten) ist eine eigene Einstellung. Atlassian beschreibt zwei Prüfungen, eine für das Konto und eine für Bitbucket. Sind beide eingeschaltet, bekommst du unter Umständen zwei Code-Abfragen hintereinander, und ein Code für die eine funktioniert nicht bei der anderen (Atlassian).

Die Einstellung von Bitbucket selbst, um die es hier geht, akzeptiert eine zeitbasierte (TOTP) Authenticator-App oder einen FIDO-U2F-Sicherheitsschlüssel. SMS erwähnt die Hilfeseite nicht (Bitbucket). Sie ist freiwillig, es sei denn, ein Workspace mit Bitbucket Premium verlangt sie, bevor du auf seine privaten Repositorys zugreifen kannst (Bitbucket). Für die Kontoebene siehe Atlassians Hilfe zur Bestätigung in zwei Schritten.

Die Schritte verwenden Authenticator App - Novaz auf dem iPhone; andere Authenticator-Apps funktionieren nach demselben Prinzip.

Wie wir diese Anleitung geprüft haben: Die Schritte für Bitbucket stammen aus den Hilfeseiten von Atlassian zu Bitbucket Cloud, den Artikeln der Wissensdatenbank und dem Entwickler-Changelog (unten verlinkt), die wir am 20. Oktober 2026 gelesen haben. Wir haben sie nicht mit einem Bitbucket-Konto getestet, daher kann ein Label leicht abweichen. Die Schritte für Novaz sind mit der App in Version 1.0.5 geprüft.

Vorab: SSH und ein Passwort

Bitbucket nennt diese Voraussetzungen (Bitbucket):

• Ein SSH-Schlüssel in deinem Konto. Mit eingeschalteter Two-Step Verification sollen Remote-Aktionen von Git über SSH laufen, stelle also vorher deine Remotes, Git-Clients und Build-Tools um.
• Eine bestätigte E-Mail-Adresse und ein Passwort für dein Atlassian-Konto. Noch kein Passwort? Laut Bitbucket legst du eines über die Passwort-Wiederherstellung fest und meldest dich dann erneut an.

Die Seite zur Two-Step Verification empfiehlt für HTTPS und die API noch App-Passwörter, aber laut Changelog von Bitbucket werden sie zum 28. Juli 2026 vollständig abgeschafft (Bitbucket). Ihr Ersatz, API-Tokens, setzt keine Two-Step Verification voraus (Bitbucket).

2FA mit einer Authenticator-App einschalten

1. Wähle in Bitbucket das Zahnrad Settings (Einstellungen) und dann Personal Bitbucket settings (Persönliche Bitbucket-Einstellungen) (Bitbucket).
2. Wähle unter Security (Sicherheit) den Punkt Two-step verification. Die direkte Adresse ist bitbucket.org/account/settings/two-step-verification/manage (Bitbucket).
3. Prüfe die Voraussetzungen, gib das Passwort deines Atlassian-Kontos ein und wähle Set up two-step verification (Two-Step Verification einrichten).
4. Wenn der QR-Code erscheint, tippe in Novaz auf +, wähle QR-Code scannen und richte die Kamera darauf. Auf demselben iPhone mach stattdessen ein Bildschirmfoto und nutze Foto auswählen. Siehe QR-Code auf demselben iPhone scannen.
5. Wenn das Scannen nicht klappt, enthalten die Felder Account (Konto) und Key (Schlüssel) bei Bitbucket dieselben Angaben. Tippe in Novaz auf +, dann auf Schlüssel manuell eingeben, gib Bitbucket unter Dienst ein und füge den Key unter Einrichtungsschlüssel ein. Siehe Was ist ein 2FA-Einrichtungsschlüssel?
6. Gib den aktuellen Code aus Novaz unter Verification code (Bestätigungscode) ein.
7. Lade deine Wiederherstellungscodes herunter oder schreib sie auf.

Die Codes sind 6-stellig (Bitbucket), aber keine Seite nennt das Intervall, und ein eingetippter Schlüssel ergibt in Novaz immer 30-Sekunden-Codes, scanne also nach Möglichkeit. Danach fragt jede Anmeldung unter Verification code nach einem Code, gefolgt von Verify (Bestätigen). Bitbucket erwähnt nicht, dass es sich Geräte merkt.

Sechs Wiederherstellungscodes

Du bekommst 6 Wiederherstellungscodes, jeder einmal gültig, die du wie einen App-Code unter Verification code eingibst. Behalte mindestens zwei unbenutzte: So viele verlangt Bitbucket, um neue Codes zu erzeugen oder die Two-Step Verification auszuschalten. Show recovery codes (Wiederherstellungscodes anzeigen) auf der Seite Two-step verification zeigt sie an; sind alle 6 verbraucht, wähle dort Can't find codes? (Codes nicht auffindbar?) (Bitbucket).

Verlierst du das iPhone und hast kein Backup von Novaz oder nur eines von vor dem Bitbucket-Eintrag, sind diese Codes dein Weg zurück. Bewahre sie getrennt vom Handy auf. Mehr dazu unter 2FA-Backup-Codes.

Wenn Bitbucket deinen Code ablehnt

Die Hilfe von Bitbucket schlägt diese Prüfungen vor (Bitbucket, Bitbucket):

• Gib die Ziffern zusammenhängend ein, ohne Leerzeichen.
• Lies den richtigen Eintrag ab. Ist auch die Bestätigung für das Atlassian-Konto eingeschaltet, hast du zwei, und sie sind nicht austauschbar.
• Verwende keinen Wiederherstellungscode zweimal.
• Korrigiere die Uhr: Schon 30 bis 60 Sekunden Abweichung machen Codes ungültig. Schalte auf dem iPhone Einstellungen › Allgemein › Datum & Uhrzeit › Automatisch einstellen ein oder, wenn es schon an ist, aus und wieder ein, und warte dann auf einen neuen Code. Novaz warnt dich, sobald die Uhr um 15 Sekunden oder mehr abweicht.

Klappt es immer noch nicht? Nimm einen Wiederherstellungscode und sieh dir Authenticator-Code funktioniert nicht? an.

Wechsel auf ein neues Handy

Bei Bitbucket schaltest du die Two-Step Verification aus und wieder ein (Bitbucket). Solange das alte Handy funktioniert, öffne Two-step verification, gib dessen Code oder einen Wiederherstellungscode ein, wähle Disable two-step verification (Two-Step Verification deaktivieren), richte sie dann mit dem neuen Handy ein und sichere die neuen Codes.

In Novaz stellt ein iCloud-Backup oder eine Backup-Datei deine Konten auf dem neuen iPhone wieder her, sodass die Codes ohne diesen Schritt weiter funktionieren. Ohne Backup richtest du jedes Konto auf dem neuen iPhone von Grund auf neu ein. Siehe So überträgst du deine Authenticator-App auf ein neues iPhone.

Wenn du deinen Authenticator verlierst

Beginne mit einem Wiederherstellungscode. Bitbucket erwähnt auch, dass du sie über SSH abrufen kannst, nennt aber keine Schritte.

Sind keine Codes mehr übrig, beschreibt ein Artikel der Wissensdatenbank vom März 2026 die Wiederherstellung per E-Mail (Atlassian):

1. Wähle bei der Code-Abfrage Forgot code (Code vergessen) und dann Send recovery email (Wiederherstellungs-E-Mail senden). Die Haupt-Hilfeseite nennt das Can't find codes?, die Labels können also abweichen.
2. Die erste E-Mail sagt nur, dass du warten sollst. 24 Stunden später kommt eine zweite mit einem einmaligen Anmeldelink (sieh im Spam-Ordner nach).
3. Der Link läuft nach 24 Stunden ab und meldet dich mit ausgeschalteter Two-Step Verification an. Richte sie neu ein.

Die Wartezeit lässt sich nicht verkürzen: „Atlassian cannot disable two-step verification for any Bitbucket user account“ (Atlassian kann die Two-Step Verification für kein Bitbucket-Nutzerkonto deaktivieren) (Bitbucket). Wenn die E-Mail nicht klappt, schlägt der Artikel ein Ticket beim Atlassian-Support vor.

Wenn auch dein Atlassian-Konto die Bestätigung in zwei Schritten nutzt, löse zuerst diese Ebene mit dem 24-stelligen Notfall-Wiederherstellungsschlüssel. Mehr dazu unter Handy mit der Authenticator-App verloren?

2FA ausschalten

Gib unter Two-step verification einen App- oder Wiederherstellungscode ein, wähle Disable two-step verification und bestätige mit Disable (Deaktivieren) (Bitbucket). Wenn du für Inhalte, die du verwaltest, die Two-Step Verification verlangst, entferne zuerst das Häkchen bei Require two-step verification (Two-Step Verification verlangen) unter Access controls (Zugriffssteuerung) (Bitbucket). Lösche danach den Bitbucket-Eintrag in Novaz mit Konto entfernen.

Offizielle Hilfe von Bitbucket und Atlassian

• Enable two-step verification
• Log into or connect to Bitbucket Cloud
• Navigating Bitbucket Cloud and Atlassian Two-Step Verification for Bitbucket Cloud Users
• How to Disable/Reset 2FA on Bitbucket Cloud and Atlassian Account
• Bitbucket Cloud Login Fails with "Invalid two step verification code" error
• Enforce two step verification (access control) option is greyed out on premium plan
• Control access to private content in a workspace
• Control access to your private content
• API tokens
• Bitbucket Cloud changelog
• Manage two-step verification for your Atlassian account