WhatsApp schärft die Kontosicherung: Das ändert sich bei Passwort, Anrufen und Passkeys

Die alte PIN war ein kleiner Türspalt

Ein abgefangener Einmalcode ist schon unerquicklich genug. Wenn dahinter nur eine sechsstellige PIN wartet, wird aus einem kleinen Leck schnell ein sehr bequemer Seiteneingang. WhatsApp will diese Stelle nun enger machen: Die bisherige PIN der zweistufigen Verifizierung wird durch ein längeres Passwort ersetzt. Meta beschreibt die Änderung im eigenen Newsroom als zusätzliche Hürde gegen Kontoübernahmen, falls jemand an einen Einmalcode gelangt.

Das ist eine konkrete Änderung, keine Zauberformel. Ein Passwort kann Buchstaben, Zahlen und Sonderzeichen enthalten und ist damit nicht auf eine Million denkbare Kombinationen wie eine PIN beschränkt. Es hilft aber nur, wenn Sie es nicht als Variante Ihres Geburtstags oder als die gleiche Lösung für drei andere Dienste behandeln. Angreifer lieben Wiederverwendung, weil sie Arbeit spart. Leider nicht ihre.

Die Ende-zu-Ende-Verschlüsselung von WhatsApp bleibt davon getrennt. Sie schützt Inhalte der Unterhaltung, während die zweistufige Verifizierung den Zugang zu Ihrem Konto zusätzlich absichern soll. Beides gehört zusammen, aber keines repariert das andere. Wer die Kontosicherung nie eingerichtet hat, bekommt durch eine neue Passwortform zunächst vor allem einen Anlass, die Lücke zu schließen.

Vor dem Abheben gibt es mehr als ein Bauchgefühl

Unbekannte Nummern arbeiten gern mit Tempo. Ein Anruf, eine knappe Geschichte, dann soll sofort ein Code vorgelesen oder ein Link geöffnet werden. WhatsApp zeigt auf Android bei nicht gespeicherten Anrufern künftig mehr Kontext: ob eine Nummer aus einem anderen Land stammt und ob es gemeinsame Gruppen gibt. Das kann helfen, einen Anruf einzuordnen, bevor der Daumen schneller ist als der Kopf.

Mehr Kontext ist kein Vertrauenssiegel. Eine ausländische Nummer kann zu Familie, Reise oder Arbeit gehören; gemeinsame Gruppen können ebenso leicht aus einem großen Kurs oder einer öffentlichen Community stammen. Für Betrüger wäre es allerdings nett, wenn wir zwei Hinweise in einen Freispruch verwandeln. Tun wir ihnen den Gefallen nicht.

Bleibt ein Anruf unplausibel, rufen Sie nicht über die angezeigte Nummer zurück und geben Sie keine Codes weiter. Der sichere Weg führt über einen bereits bekannten Kontaktkanal. Dass bekannte Namen für Betrugsmaschen missbraucht werden, zeigt auch unser Beitrag über Phishing mit Banknamen. Der Markenname am Telefon ist kein Ausweis; der Kontext muss stimmen.

Praktisch heißt das auch: Lassen Sie einen verpassten Anruf ruhig verpasst sein, wenn er keinen nachvollziehbaren Bezug zu Ihrem Alltag hat. Seriöse Kontakte finden einen zweiten Weg, etwa über eine bekannte Nummer oder eine bereits laufende Unterhaltung. Eine Nachfrage über einen etablierten Kanal kostet wenig. Ein preisgegebener Code kann dagegen sehr schnell zum Umzug Ihres Kontos werden.

Passkeys sollen nicht am Zweithandy scheitern

WhatsApp-Passkeys melden Sie mit dem an, womit Sie Ihr Gerät ohnehin entsperren: Fingerabdruck, Gesichtserkennung oder Gerätecode. Meta schreibt, dass inzwischen mehr als eine Milliarde Menschen einen Passkey eingerichtet hätten. Neu ist laut Ankündigung, dass sich mehrere Passkeys pro Konto hinterlegen lassen, wenn Sie Android und iOS parallel nutzen.

Das ist im Alltag weniger glamourös als es klingt und gerade deshalb sinnvoll. Wer ein privates iPhone und ein Android-Gerät für Reisen oder Arbeit verwendet, musste bisher eher hoffen, dass der eine Zugang nicht zum einzigen wird. Zwei hinterlegte Passkeys schaffen Redundanz. Sie sind kein Freibrief, den Gerätecode zu vernachlässigen oder jede Wiederherstellungsfrage auf später zu verschieben.

Die Einstellung liegt laut Meta unter Einstellungen, Konto, Passkeys. Prüfen Sie dort, ob ein Passkey existiert und ob die angezeigten Geräte zu Ihnen passen. Bei einer Kontowiederherstellung zählt die Reihenfolge der Schutzschichten. Ein Passkey kann bequem sein, ein starkes 2FA-Passwort bleibt trotzdem sinnvoll.

Verwechseln Sie dabei Passkeys nicht mit einer vollständigen Inventarliste Ihrer Geräte. Die Quelle kündigt die Funktion an, sie beschreibt keine Prüfung jedes einzelnen Wiederherstellungsfalls. Wenn Sie ein altes Telefon verkaufen oder verlieren, sollten Sie seine Gerätesperre und Ihre Kontozugänge deshalb separat behandeln. Komfort ist gut, aber er darf nicht zur Ausrede werden, den zweiten Schritt zu überspringen.

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellflux_2; model=pro; resolution=1k; aspect_ratio=16:9; web derivative 1200x675PromptPhotorealistic editorial magazine photograph of a man in his forties at home in the evening, seated on a sofa while securely unlocking a phone with a fingertip and comparing it with a second device on the side table; warm floor-lamp light contrasts with dim blue city light through the window, candid documentary composition from slightly above using a 50mm lens, believable consumer technology setting, focused ordinary household action. No readable text, labels, logos, screens, user interfaces, dashboards, signs, watermarks, fantasy hardware, workbench, or material metaphor.

Wer Ihr Konto übernehmen will, braucht Reibung

Kontoübernahmen beginnen selten mit einer spektakulären Sicherheitslücke. Häufig reichen ein erschlichener Code, eine überzeugend vorgetragene Notlage und ein Moment Hektik. Das neue Passwort erhöht die Reibung nach dem Code; die Anrufhinweise sollen Hektik vor dem Gespräch bremsen. Beides adressiert verschiedene Schritte derselben unangenehmen Choreografie.

Die Gegenmaßnahme bleibt erfreulich konkret: Aktivieren Sie die zweistufige Verifizierung, wählen Sie ein einzigartiges Passwort und speichern Sie es so, dass nicht der Chat mit dem Passwortmanager zusammen verschwindet. Prüfen Sie außerdem regelmäßig, welche Geräte und Passkeys noch Zugriff haben. Alte Telefone in der Schublade sind keine Sicherheitsstrategie, sie sind Inventar mit Akku.

Bei einem verlorenen Gerät lohnt es sich, weitere Anmeldewege früh zu prüfen. Der Beitrag zur Wiederherstellung eines Google-Kontos zeigt, wie schnell ein zusätzlicher Schutzschritt zum Nadelöhr wird. Für WhatsApp gilt dieselbe nüchterne Regel: Recovery ist dann gut, wenn Sie sie verstehen, bevor Sie sie brauchen.

Ein Angreifer benötigt dafür keinen Zugriff auf Ihre Chats, um Schaden anzurichten. Oft genügt es, eine Anmeldung auf einem anderen Gerät anzustoßen und Sie zum Weitergeben eines Codes zu bewegen. Gerade deshalb ist die Reihenfolge wichtig: erst prüfen, wer anruft oder schreibt, dann selbst einen bekannten Weg zum Dienst öffnen. Niemals den Weg nehmen, den die fremde Person gerade besonders dringend empfiehlt.

Ein kurzer Check verhindert später langes Rätselraten

Öffnen Sie jetzt die Kontoeinstellungen und sehen Sie nach, ob die zweistufige Verifizierung aktiv ist. Wenn WhatsApp bereits die Umstellung anbietet, vergeben Sie ein neues, ausschließlich dafür genutztes Passwort. Notieren Sie nicht das Passwort selbst in einem Chat oder in einer ungesicherten Notiz. Das wäre ungefähr die Sicherheitsversion eines Haustürschlüssels unter der Fußmatte.

Schauen Sie anschließend in den Passkey-Bereich. Haben Sie mehrere Geräte, sollte dort kein unbekanntes auftauchen. Nutzen Sie Android und iOS, prüfen Sie nach der Verfügbarkeit der Funktion, ob beide Plattformen einen eigenen Passkey hinterlegen können. Meta kündigt genau diese Mehrfachbelegung an; daraus folgt nicht, dass jeder Rollout am selben Tag auf jedem Gerät erscheint.

Für unbekannte Anrufe gilt eine noch kürzere Regel: Kontext ansehen, nicht überbewerten, im Zweifel nicht abheben. Wer eine dringende Geschichte erzählt und gleichzeitig einen Code verlangt, hat sich bereits selbst als schlechte Idee vorgestellt. Die Sperrtaste darf in solchen Momenten ruhig überqualifiziert sein.

Nehmen Sie sich auch die E-Mail-Adresse vor, die mit dem Konto verbunden ist, falls WhatsApp sie in Ihrer Einrichtung anzeigt. Sie muss erreichbar und ihr eigenes Passwort stark sein. Sonst wird aus einer sorgfältig gewählten WhatsApp-Sperre eine schwere Tür an einem Haus mit offenem Kellerfenster. Das ist keine exotische Technikfrage, sondern eine Abhängigkeit, die im Ernstfall sehr gewöhnlich wird.

Sicherheit ist hier eine Folge kleiner Entscheidungen

WhatsApp baut drei unterschiedliche Sicherungen aus: ein stärkeres Passwort statt einer kurzen PIN, mehr Hinweise vor unbekannten Anrufen und mehrere Passkeys für ein Konto. Das senkt nicht jede Gefahr. Es macht die üblichen Abkürzungen für Angreifer aber ungemütlicher, und genau darin liegt der praktische Nutzen.

Setzen Sie die Funktionen nicht auf Vertrauen in eine Ankündigung, sondern auf einen eigenen Check. Ein aktives 2FA-Passwort, bekannte Passkeys und eine skeptische Haltung bei fremden Anrufen sind keine große Sicherheitskampagne. Sie sind drei Minuten in den Einstellungen, die sich im falschen Moment sehr lang anfühlen können.

Aktualisieren Sie die Einstellungen in Ruhe zu Hause, nicht erst zwischen Bahnsteig, Termin und Rückrufversuch.

Auch eine gut gesetzte Schutzfunktion entbindet Sie nicht davon, Warnungen ernst zu nehmen. Wenn ein neues Gerät plötzlich nach einem Code fragt oder ein Kontakt Geld, Fotos oder Zugangsdaten fordert, stoppen Sie den Vorgang. Öffnen Sie WhatsApp selbst, kontrollieren Sie die Einstellungen und sprechen Sie mit der Person über einen vertrauten Kanal. Das wirkt altmodisch. Altmodisch ist hier ein Kompliment.

Wenn der Schutz greift, merken Sie davon meist nichts. Das ist kein Mangel. Ein Konto, das nicht übernommen wird, produziert bekanntlich die langweiligste Geschichte des Tages.