GitHub 2FA: So richtest du eine Authenticator-App ein

In deinem GitHub-Konto liegen deine Repositorys, Issues und Pull Requests, und dort ist die Zwei-Faktor-Authentifizierung (2FA) oft nicht deine Entscheidung. Seit März 2023 verlangt GitHub sie für Konten, die Code beitragen, und Organisationen können sie von ihren Mitgliedern verlangen. GitHub empfiehlt eine Authenticator-App, in der Dokumentation TOTP-App genannt, als Hauptmethode. SMS sind der einzige andere Weg für den Einstieg; Passkeys, Sicherheitsschlüssel und GitHub Mobile lassen sich danach hinzufügen (GitHub, GitHub). Diese Anleitung nutzt Authenticator App - Novaz auf dem iPhone, aber jede Authenticator-App funktioniert genauso.

Wie wir diese Anleitung geprüft haben: Die Schritte für GitHub stammen aus GitHub Docs und dem GitHub Blog, unten verlinkt, die wir am 20. Oktober 2026 gelesen haben. Wir haben sie nicht mit einem GitHub-Konto getestet, eine Bezeichnung kann also leicht abweichen. Die Schritte für Novaz sind mit der App geprüft, Version 1.0.5.

Ist 2FA für dein Konto Pflicht?

GitHub wählt Konten nach ihrer Aktivität aus: eine App oder Action veröffentlichen, ein Release erstellen, eine Organisation besitzen oder zu Repositorys beitragen, die Pakete veröffentlichen oder die GitHub als besonders wichtig einstuft. Ausgewählte Konten bekommen eine E-Mail und Banner und haben 45 Tage Zeit, 2FA einzurichten, plus eine Schonfrist von 7 Tagen. Danach ist GitHub.com gesperrt, bis 2FA aktiviert ist. Das Single Sign-on deines Unternehmens befreit dich nicht davon (GitHub).

Du musst GitHub nie eine Telefonnummer geben: Eine Authenticator-App reicht. Sie ist auch die einzige Wahl, wo GitHub keine SMS anbietet, und sie gilt als sichere Methode für Organisationen, die nur sichere Methoden erlauben (GitHub).

2FA mit einer Authenticator-App aktivieren

Die Schritte auf GitHub.com (GitHub):

1. Klicke oben rechts auf dein Profilbild und dann auf Settings (Einstellungen).
2. Klicke im Bereich Access (Zugriff) der Seitenleiste auf Password and authentication (Passwort und Authentifizierung).
3. Klicke unter Two-factor authentication (Zwei-Faktor-Authentifizierung) auf Enable two-factor authentication (Zwei-Faktor-Authentifizierung aktivieren).
4. Unter Scan the QR code (QR-Code scannen) zeigt GitHub einen QR-Code. Tippe in Novaz auf + und dann auf QR-Code scannen. Ist der Code auf demselben iPhone, mach ein Bildschirmfoto und nutze Foto auswählen. Siehe einen QR-Code auf demselben iPhone scannen.
5. Scannen klappt nicht? Klicke auf setup key (Einrichtungsschlüssel), um das Geheimnis als Text zu sehen. Tippe in Novaz auf +, dann auf Schlüssel manuell eingeben, und gib es als Einrichtungsschlüssel ein. GitHub nutzt 6 Ziffern, 30 Sekunden und SHA-1, ein eingetippter Schlüssel funktioniert also. Siehe Was ist ein 2FA-Einrichtungsschlüssel?
6. Gib den Code aus Novaz unter Verify the code from the app (Code aus der App bestätigen) ein.
7. Klicke unter Save your recovery codes (Wiederherstellungscodes sichern) auf Download (Herunterladen) und dann auf I have saved my recovery codes (Ich habe meine Wiederherstellungscodes gesichert). Dieser Klick aktiviert 2FA.

Die Kontrolle nach 28 Tagen

Neue 2FA-Einrichtungen starten eine 28-tägige Kontrollphase. Schließt du in dieser Zeit eine Anmeldung mit 2FA ab, endet sie. Wenn nicht, fragt GitHub an Tag 28 in einer deiner offenen Sitzungen nach 2FA (GitHub). Ziel ist, falsch eingerichtete Authenticator-Apps zu erkennen. Bestehst du die Prüfung nicht, bietet GitHub eine Abkürzung, um 2FA neu einzurichten, ohne ausgesperrt zu werden (GitHub). Der einfache Weg: Melde dich kurz nach der Einrichtung ab und mit einem Code aus Novaz wieder an.

Deine Wiederherstellungscodes

Du bekommst 16 Codes zur einmaligen Verwendung im Format xxxxx-yyyyy, standardmäßig gespeichert als github-recovery-codes.txt (GitHub, GitHub). GitHub empfiehlt Authenticator-Apps, die in die Cloud sichern (GitHub). Bei Novaz ist das das iCloud-Backup (PRO). Eine selbst exportierte Backup-Datei funktioniert auch, solange du sie aktuell hältst; ohne beides sind die Schlüssel nur auf deinem iPhone. Bewahre diese Codes in jedem Fall auf, für den Tag, an dem das Handy weg ist und das Backup fehlt oder veraltet ist. GitHub schlägt dafür einen Passwort-Manager vor.

Später klickst du in Password and authentication neben Recovery codes (Wiederherstellungscodes) auf View (Anzeigen), um sie mit Download, Print (Drucken) oder Copy (Kopieren) zu sichern. Generate new recovery codes (Neue Wiederherstellungscodes erzeugen) macht den alten Satz ungültig, ebenso das Aus- und Wiedereinschalten von 2FA. Der Wechsel der Authenticator-App tut das nicht (GitHub). Siehe Backup-Codes für 2FA.

Wann GitHub nach einem Code fragt

GitHub fragt bei der Anmeldung nach deinem Passwort nach einem Code. Erneut fragt GitHub nur, wenn du dich abgemeldet hast, ein neues Gerät nutzt, deine Sitzung abläuft oder du etwas Sensibles tust (GitHub). Zu den sensiblen Aktionen gehören das Ändern einer E-Mail-Adresse, das Hinzufügen eines SSH-Schlüssels, das Erstellen eines persönlichen Zugriffstokens und das Anzeigen der Wiederherstellungscodes. Danach fragt GitHub zwei Stunden lang nicht erneut (GitHub).

Git in der Befehlszeile fragt nie nach dem Code: HTTPS nutzt ein persönliches Zugriffstoken, und SSH funktioniert wie bisher (GitHub).

Wenn GitHub deinen Code ablehnt

Ein falscher Code zeigt Two-factor authentication failed (Zwei-Faktor-Authentifizierung fehlgeschlagen). GitHubs Prüfliste: Lies den Code aus der App und dem Eintrag ab, den du eingerichtet hast, lass Datum und Uhrzeit deines Handys automatisch einstellen und tippe sofort einen frischen Code ohne Leerzeichen ein (GitHub). Auf dem iPhone ist das Einstellungen › Allgemein › Datum & Uhrzeit › Automatisch einstellen. Novaz warnt dich, wenn die Uhr 15 Sekunden oder mehr abweicht.

Dieselbe Seite sagt, dass der GitHub-Support bei der Fehlersuche in deinen 2FA-Methoden nicht helfen kann („cannot assist with troubleshooting your 2FA methods“, GitHub). Siehe Authenticator-Code funktioniert nicht?

Wechsel auf ein neues iPhone

Du musst 2FA nicht deaktivieren. Klicke in Password and authentication unter Two-factor methods (Zwei-Faktor-Methoden) auf Edit (Bearbeiten) neben der Authenticator-App (bei mehreren Methoden öffnest du zuerst das Menü daneben). Scanne den neuen QR-Code mit Novaz auf dem neuen iPhone, gib einen Code ein und klicke auf Save (Speichern). Deine Wiederherstellungscodes bleiben dieselben (GitHub). Entferne GitHub erst dann aus Novaz auf dem alten iPhone: Konto öffnen und auf Konto entfernen tippen. Mach das, bevor du das alte abgibst. Hast du ein iCloud-Backup oder eine Backup-Datei von Novaz, kannst du deine Konten stattdessen auf dem neuen iPhone wiederherstellen, und der GitHub-Eintrag funktioniert weiter. Siehe So überträgst du deine Authenticator-App auf ein neues iPhone.

Wenn du deinen Authenticator verlierst

GitHubs Optionen, in dieser Reihenfolge (GitHub):

1. Eine andere Methode, die du hinzugefügt hast: Passkey, Sicherheitsschlüssel, GitHub Mobile oder SMS.
2. Ein Wiederherstellungscode. Wähle nach deinem Passwort unter More options (Weitere Optionen) 2FA recovery code (2FA-Wiederherstellungscode), gib einen Code ein und klicke auf Verify (Bestätigen).
3. Kontowiederherstellung. Wähle auf diesem Bildschirm Begin account or email recovery (Konto- oder E-Mail-Wiederherstellung starten) und dann I understand, get started (Verstanden, los geht's). Gib das Einmalpasswort ein, das GitHub dir per E-Mail schickt, und weise dann nach, dass du es bist, mit Verify with this device (Mit diesem Gerät bestätigen; wenn du dich darauf schon einmal angemeldet hast), SSH key (SSH-Schlüssel) oder Personal access token (persönliches Zugriffstoken). Der GitHub-Support prüft die Anfrage und antwortet innerhalb von drei Werktagen per E-Mail.

Auch das Passwort vergessen? Beginne mit dem Zurücksetzen des Passworts; GitHub bietet dann dieselben Optionen an.

Option 3 funktioniert nur, wenn du vorgesorgt hast. GitHub schlägt einen SSH-Schlüssel vor, der als Authentifizierungsschlüssel hinzugefügt ist, oder ein klassisches persönliches Zugriffstoken mit dem Scope repo (GitHub). Lösche Cookies nicht täglich: Über ein Cookie erkennt GitHub ein Gerät, das du schon benutzt hast (GitHub).

Funktioniert nichts davon, ist das Konto endgültig verloren. Der Support stellt es nicht wieder her und akzeptiert keine Ausweisprüfungen (GitHub). Du kannst deine E-Mail-Adresse aber trennen und für ein neues Konto verwenden. Siehe Handy mit der Authenticator-App verloren?

2FA deaktivieren

Öffne in Password and authentication das Drei-Punkte-Menü, wähle Disable two-factor authentication (Zwei-Faktor-Authentifizierung deaktivieren) und bestätige. Du verlierst den Zugriff auf Organisationen, die 2FA verlangen, und hat GitHub dich für die 2FA-Pflicht ausgewählt, kannst du sie gar nicht deaktivieren (GitHub). Um die App zu wechseln, bearbeite stattdessen die Methode.

Offizielle Hilfe von GitHub

• About mandatory two-factor authentication
• Configuring two-factor authentication
• Accessing GitHub using two-factor authentication
• Configuring two-factor authentication recovery methods
• Changing your two-factor authentication method
• Troubleshooting two-factor authentication issues
• Recovering your account if you lose your 2FA credentials
• GitHub Account Recovery Policy
• Disabling two-factor authentication for your personal account
• Sudo mode
• Requiring two-factor authentication in your organization
• Raising the bar for software security: GitHub 2FA begins March 13 (GitHub Blog)