Zwei Faktoren, null Aussperrung: Die neue 2FA-Einrichtung in ZEIT.IO
Robert Reiz | 07. September 2026 | 03:32 UTC Freitagnachmittag. Sie klicken in den Einstellungen auf „Aktiviert", speichern, ein QR-Code erscheint. Das Telefon liegt im anderen Zimmer, das Meeting beginnt in zwei Minuten. Sie schließen den Tab und denken: mache ich später.
Es gibt kein Später. Der QR-Code wird aus Sicherheitsgründen nur ein einziges Mal angezeigt — und die Zwei-Faktor-Authentifizierung ist ab diesem Moment scharf geschaltet. Beim nächsten Login fragt ZEIT.IO nach einem sechsstelligen Code, den niemand erzeugen kann. Auch Sie nicht.
Genau dieser Moment kann ab sofort nicht mehr passieren.
Die Einrichtung der Zwei-Faktor-Authentifizierung ist grundlegend überarbeitet: Sie wird erst dann aktiv, wenn Sie einmal bewiesen haben, dass Ihre App funktioniert. Und sie lässt sich nicht mehr mit einem einzigen Klick abschalten.
Kurz für alle, die „2FA" noch nie erklärt bekommen haben
Ihr Passwort ist etwas, das Sie wissen. Wissen lässt sich stehlen, erraten, abfischen oder aus einem fremden Datenleck einsammeln — und Sie merken davon nichts.
Der zweite Faktor ist etwas, das Sie besitzen: Ihr Smartphone. Darauf läuft eine kleine App — Google Authenticator, Microsoft Authenticator oder eine vergleichbare —, die alle 30 Sekunden eine neue sechsstellige Zahl anzeigt. Beim Login verlangt ZEIT.IO zusätzlich zum Passwort diese Zahl.
Der entscheidende Punkt: Die App bekommt die Zahlen nicht aus dem Internet. Sie rechnet sie selbst aus, offline, aus einem Geheimnis, das beim Einrichten einmalig zwischen Ihrem Telefon und ZEIT.IO ausgetauscht wurde. Wer Ihr Passwort hat, aber nicht Ihr Telefon, steht vor einer Tür, die er nicht öffnen kann.
Warum das für ZEIT.IO besonders zählt
„Ist doch nur eine Zeiterfassung." Das ist der häufigste Irrtum. Werfen Sie einen Blick darauf, was in einem ZEIT.IO-Account tatsächlich liegt:
- Verträge und Stundensätze — was Sie mit welchem Kunden vereinbart haben.
- Gehälter — bei Arbeitsverträgen steht die Vergütung mit drin.
- Rechnungen und Gutschriften — inklusive Bankverbindungen.
- Kunden- und Personendaten — Namen, Adressen, E-Mail-Verteiler, im Zweifel Abwesenheitszeiträume.
- Zahlungsdateien — der SEPA-Export erzeugt Überweisungsdateien für das Online-Banking.
Ein fremder Zugriff auf so einen Account bedeutet nicht „jemand sieht meine Stunden". Er bedeutet im schlimmsten Fall: Jemand ändert die IBAN auf einer Rechnung, kurz bevor der Zahllauf startet. Diese Betrugsmasche hat einen Namen — Rechnungsmanipulation — und sie ist der Grund, warum ein Zeiterfassungs-Account genauso zu schützen ist wie das Online-Banking selbst.
Dazu kommt: Personenbezogene Daten liegen hier ohnehin. Wer sie verarbeitet, schuldet nach DSGVO „geeignete technische Maßnahmen". Zwei-Faktor-Authentifizierung ist die bekannteste davon — und die einzige, die einen gestohlenen Zugang zuverlässig wertlos macht.
Und weil fast jeder Mensch Passwörter mehrfach verwendet: Das Passwort, das irgendwann in einem Datenleck eines fremden Onlineshops landet, ist statistisch gesehen erschreckend oft auch das Passwort für die Arbeit. Angreifer probieren solche Listen automatisiert durch — millionenfach, ohne Personal. Der zweite Faktor beendet diesen Angriff, bevor er anfängt.
Was sich jetzt konkret ändert
1. Aktivierung erst nach bestandener Probe
Der neue Ablauf hat drei Schritte:
- Passwort eingeben. Bevor überhaupt ein QR-Code erscheint, bestätigen Sie mit Ihrem aktuellen Passwort, dass Sie es wirklich sind.
- QR-Code scannen. ZEIT.IO zeigt den Code und darunter das Geheimnis in Textform — für den Fall, dass Ihre App das Abtippen dem Scannen vorzieht.
- Einen Code aus der App eintippen. Erst wenn diese sechs Ziffern stimmen, wird 2FA für Ihren Account eingeschaltet.
Der wichtigste Teil ist unsichtbar: Bis zu Schritt 3 wird nichts an Ihrem Konto verändert. Das Geheimnis existiert nur flüchtig in Ihrer aktuellen Sitzung. Schließen Sie den Browser, klicken Sie auf „Abbrechen" oder gehen Ihnen die Ideen aus — es bleibt einfach alles, wie es war. Kein halb eingerichtetes 2FA. Keine verschlossene Tür ohne Schlüssel.
Bricht die Einrichtung ab und Sie versuchen es in einem alten Tab trotzdem noch, erklärt ZEIT.IO das ausdrücklich: „Die Aktivierung wurde abgebrochen oder ist abgelaufen. Bitte starten Sie erneut." Statt einer kryptischen Fehlermeldung ein Satz, der sagt, was zu tun ist.
2. Abschalten geht nur mit dem zweiten Faktor
Bisher genügte ein Klick auf „Deaktiviert" und ein Druck auf Speichern. Wer immer an einem kurz unbeaufsichtigten, angemeldeten Rechner saß, konnte den Schutz in fünf Sekunden entfernen — und der Account stand danach wieder allein hinter dem Passwort.
Jetzt verlangt die Deaktivierung einen gültigen sechsstelligen Code aus Ihrer Authenticator-App. Ohne Telefon kein Abschalten. Damit schützt der zweite Faktor auch sich selbst.
3. Neues Telefon, ohne Zitterpartie
Handywechsel, Displayschaden, App aus Versehen gelöscht: Der Knopf „Neuen QR Code generieren" führt durch denselben dreistufigen Ablauf — Passwort, Scannen, Bestätigen.
Und weil der neue Schlüssel erst mit der Bestätigung übernommen wird, bleibt Ihre bisherige App bis dahin gültig. Sie können den Vorgang mittendrin abbrechen, ohne sich auszusperren. Genau die Sicherheit, die man braucht, wenn man mit zwei Telefonen und einem halb eingerichteten Authenticator dasteht.
4. Eine Oberfläche, die den Zustand zeigt
Statt zweier Radio-Buttons, bei denen man raten musste, welcher gerade gilt, steht dort jetzt eine schlichte Zeile:
Status: Aktiviert — oder — Status: Deaktiviert
Darunter genau die Knöpfe, die in diesem Zustand sinnvoll sind: bei aktivem 2FA „Deaktivieren" und „Neuen QR Code generieren", sonst schlicht „Aktivieren". Das Eingabefeld erscheint erst nach dem Klick und ist sofort scharfgestellt — Sie tippen los, ohne vorher irgendwo hineinklicken zu müssen. Vertippen Sie sich, bleiben Sie an Ort und Stelle, mit einer klaren Meldung und einem leeren Feld, statt zurück auf Start geworfen zu werden.
Unter dem Passwortfeld liegt außerdem der Link zum Passwort-Zurücksetzen — falls Ihnen ausgerechnet dort auffällt, dass Sie Ihr eigenes Passwort nicht mehr sicher wissen.
5. Alles wird protokolliert
Jede Änderung an Ihrem zweiten Faktor landet im Auditlog Ihres Benutzerkontos, das Sie selbst unter Einstellungen → Auditlog einsehen können:
| Vorgang | Eintrag |
|---|---|
| 2FA eingeschaltet | activated 2FA |
| 2FA abgeschaltet | deactivated 2FA |
| Neuen QR-Code bestätigt | generated a new 2FA QR code |
Ein Eintrag, den Sie nicht selbst verursacht haben, ist ein Alarmsignal — und der Grund, warum diese Protokolle überhaupt existieren.
6. Automatisiertes Durchprobieren läuft ins Leere
Der Einstieg in die Aktivierung und die Deaktivierung sind auf fünf Versuche pro Minute begrenzt. Ein Mensch merkt davon nichts. Ein Skript, das systematisch Passwörter oder Codes durchprobiert, verliert dadurch seinen einzigen Vorteil: Geschwindigkeit.
Was das für Sie bedeutet
Als Freelancer:innen hängt an Ihrem Account Ihr Geld. Stundenzettel, Gutschriften, Ihre Bankverbindung. Sie haben keine IT-Abteilung, die einen Vorfall für Sie aufräumt — Sie sind die IT-Abteilung. Fünf Minuten Einrichtung sind hier die mit Abstand günstigste Versicherung, die Sie abschließen können.
Als Mitarbeitende schützen Sie nicht nur sich, sondern auch Ihre Kolleg:innen: In Ihrer Ansicht stecken Projektdaten, Kundennamen, unter Umständen die Zeiten anderer. Und der häufigste Weg in ein Unternehmen führt nicht durch die Firewall, sondern durch eine überzeugend gestaltete E-Mail an genau eine Person. Wer auf so eine Mail hereinfällt und 2FA aktiviert hat, hat trotzdem noch nichts verloren.
Als Führungskräfte und Administrator:innen haben Sie die weitesten Rechte im System — Verträge, Gehälter, Rechnungsfreigaben, Exporte. Ihr Account ist damit das lohnendste Ziel der ganzen Organisation. Zwei Dinge lohnen sich sofort: 2FA für sich selbst einschalten, und im Team darüber sprechen. Ein Team, in dem alle 2FA nutzen, ist kein Zufall — es ist das Ergebnis davon, dass jemand angefangen hat.
In fünf Minuten eingerichtet
- Installieren Sie eine Authenticator-App auf Ihrem Smartphone — Google Authenticator oder Microsoft Authenticator, beide kostenlos.
- In ZEIT.IO auf Einstellungen → 2FA gehen.
- Aktivieren klicken und Ihr aktuelles Passwort eingeben.
- Den QR-Code mit der App scannen und den Eintrag speichern.
- Die sechs Ziffern, die die App anzeigt, in das Feld eintippen und Bestätigen klicken.
Fertig. Der Status springt auf Aktiviert, und beim nächsten Login fragt ZEIT.IO nach Passwort und Code.
Ein Tipp aus der Praxis: Notieren Sie sich das angezeigte Geheimnis einmal an einem sicheren Ort — im Passwortmanager, nicht auf einem Zettel am Monitor. Damit richten Sie die App auf einem neuen Gerät ein, ohne den QR-Code erneut zu brauchen. Viele Authenticator-Apps bieten dafür inzwischen auch eine eigene Cloud-Sicherung an; auch die ist ihr Häkchen wert.
Auf einen Blick
| Vorher | Nachher |
|---|---|
| 2FA sofort aktiv, QR-Code nur einmal sichtbar | Aktiv erst nach bestätigtem Code aus der App |
| Abbruch mitten in der Einrichtung = ausgesperrt | Abbruch = alles bleibt unverändert |
| Aktivieren mit einem Klick, ohne Passwort | Passwortabfrage vor jeder Aktivierung |
| Deaktivieren mit einem Klick | Deaktivieren nur mit gültigem Code |
| Neuer QR-Code ersetzt den alten sofort | Alter Zugang gilt, bis der neue bestätigt ist |
| Zwei Radio-Buttons ohne klaren Zustand | Statusanzeige mit passenden Aktionen |
| Keine Nachvollziehbarkeit | Jede Änderung im Auditlog |
Fragen?
Wenn Sie Fragen zur Einrichtung haben, Ihr Telefon verloren haben oder 2FA im Team ausrollen möchten, schreiben Sie uns an support@zeit.io — wir helfen gern.
Der beste Zeitpunkt, den zweiten Faktor einzuschalten, ist der Tag, bevor jemand Ihr Passwort hat. Man erfährt nur leider nie, welcher Tag das ist.