Zwei-Faktor bei Twitter/X: die SMS steht kostenlos gar nicht zur Wahl

Wer bei Twitter beziehungsweise X die Zwei-Faktor-Anmeldung einschalten will und die SMS-Variante sucht, findet sie nicht. Das ist kein Fehler und liegt nicht an der App: Der zweite Faktor per Textnachricht ist seit dem 20. März 2023 zahlenden Abonnenten vorbehalten. Bestehende Einrichtungen wurden damals abgeschaltet, mit einer Übergangsfrist von dreißig Tagen zum Wechsel.

Eine Anmerkung zur Quellenlage, weil sie zum Thema gehört: Die Hilfeseiten und der Unternehmensblog von X sind für automatisierte Abrufe gesperrt, wir konnten die Ankündigung also nicht im Original einsehen. Datum und Ablauf sind übereinstimmend in mehreren voneinander unabhängigen Berichten belegt. Wo wir uns auf solche Quellen stützen, steht das hier ausdrücklich dabei.

Was Ihnen ohne Abonnement bleibt, und was davon besser ist

Zwei Verfahren, und beide sind der SMS ohnehin überlegen:

• Eine Authenticator-App. Erzeugt alle dreißig Sekunden einen sechsstelligen Code, ohne Netz und ohne Mobilfunk. Der Umstieg dauert zwei Minuten. Wichtig ist nur, den beim Einrichten angezeigten Wiederherstellungscode aufzuschreiben, und zwar nicht im selben Gerät. Was hinter dem sechsstelligen Code technisch steckt, erklärt der Beitrag zum TOTP-Generator.
• Ein Sicherheitsschlüssel. Ein Stück Hardware oder ein Passkey auf dem Gerät. Das stärkste Verfahren, weil es an die echte Adresse der Seite gebunden ist und deshalb auf einer nachgebauten Anmeldeseite schlicht nicht funktioniert. Gegen Phishing ist das der einzige wirklich wirksame zweite Faktor.

Der Einwand, den man dazu oft hört, ist berechtigt: Ohne Telefon oder Schlüssel kommt man nicht mehr hinein. Deshalb gehört zu jeder Einrichtung der Wiederherstellungscode, und er gehört an einen Ort, den Sie in einem Jahr noch finden. Der häufigste Aussperrgrund bei diesem Verfahren ist nicht der verlorene zweite Faktor, sondern der nie notierte Ersatzcode.

Nebenbei eine Einordnung zum Kauf: Auf unserem Regal steht die Angabe „2FA“ auf 645 von 917 aktiven Twitter-Angeboten und liegt genau beim mittleren Preis. Sie ist dort also der Normalfall und kein Gütezeichen, und beim Übernehmen sogar eher eine Aufgabe als ein Vorteil, weil ein fremdes Verfahren erst abgeschaltet und durch Ihres ersetzt werden muss.

Abmelden, deaktivieren, löschen: drei Dinge, ein Wortfeld

Die deutschen Suchvorschläge werfen diese drei zusammen, und der Unterschied kostet im Ernstfall ein Konto.

Abmelden beendet eine Sitzung. Das Konto bleibt vollständig bestehen. Es gibt in den Einstellungen eine Übersicht der angemeldeten Geräte, und dort lässt sich einzeln oder alles auf einmal abmelden. Das ist der Schritt, den man bei einem Verdacht tut, und er ist folgenlos, wenn der Verdacht sich nicht bestätigt.

Deaktivieren stellt das Konto still und startet eine Frist. Nach dreißig Tagen ohne Anmeldung wird es endgültig gelöscht, samt Benutzername, Beiträgen, Nachrichten und Followern. Wer sich innerhalb dieser Frist anmeldet, hat es zurück, und die Frist beginnt danach von vorn. Das ist der Punkt, an dem sich Leute versehentlich selbst löschen: Deaktivieren wirkt wie eine Pause und ist eine Löschung mit Aufschub.

Löschen sofort gibt es nicht. Es führt kein Weg an der Frist vorbei, auch nicht über den Support.

Bei einem Verdacht auf einen fremden Zugriff ist die Reihenfolge deshalb eindeutig: erst abmelden, dann Passwort, dann zweiter Faktor. Deaktivieren gehört nicht in diese Liste, denn ein deaktiviertes Konto lässt sich von jemandem, der die Zugangsdaten hat, ebenso wieder aktivieren wie von Ihnen.

Zu den verbundenen Anwendungen, für die es auf Deutsch übrigens gar keine Suchnachfrage gibt: Sie stehen an derselben Stelle in den Einstellungen und lassen sich einzeln entziehen. Das lohnt sich einmal im Jahr und dauert eine Minute.

Gehackt: die eine Frage, die alles Weitere entscheidet

Der erste deutsche Vorschlag lautet „gehackt und email geändert“, und das ist genau die richtige Unterscheidung. Alles hängt daran, ob die hinterlegte Adresse noch Ihnen gehört.

Wenn die Adresse noch Ihre ist, sind Sie in der guten Lage, auch wenn es sich nicht so anfühlt. Passwort zurücksetzen über die Adresse, danach alle Geräte abmelden, danach den zweiten Faktor neu einrichten, weil das alte Verfahren möglicherweise auf einem fremden Gerät liegt. Zum Schluss die verbundenen Anwendungen durchsehen, denn eine Berechtigung, die jemand eingerichtet hat, überlebt Ihr neues Passwort.

Wenn die Adresse geändert wurde, ist der normale Weg zu, und der einzige verbleibende ist das Kontaktformular der Plattform. Dabei zählt eines mehr als alles andere: Sie brauchen einen Nachweis, dass das Konto Ihres war. Die alte E-Mail-Adresse, die früher hinterlegte Telefonnummer, das ungefähre Erstellungsdatum, alte Benachrichtigungsmails. Suchen Sie das zusammen, bevor Sie das Formular ausfüllen, denn nachliefern ist schwierig.

Was hier nicht hilft und regelmäßig versucht wird: ein neues Konto anlegen und von dort Hilfe erbitten, oder Dienste beauftragen, die eine Wiederherstellung zusichern. Es gibt keinen zweiten Weg neben dem Formular, und wer eine Wiederherstellung verspricht, benutzt genau denselben.

Die Anzeichen, bevor es soweit ist

Drei Dinge fallen früher auf als der Verlust selbst, und alle drei werden meist als Kleinigkeit abgetan:

1. Eine Benachrichtigung über eine Anmeldung, die Sie nicht waren. Prüfen Sie sie in der App, nicht über den Link in der Mail. Genau diese Mails werden am häufigsten nachgebaut, und die nachgebaute Variante ist der eigentliche Angriff.
2. Ein Zurücksetzungscode, den Sie nicht angefordert haben. Heißt: Jemand kennt Ihre Adresse oder Nummer und versucht es. Klicken Sie nichts an, ändern Sie aber das Passwort und prüfen Sie den zweiten Faktor.
3. Follower oder Likes, die nicht von Ihnen stammen. Der häufigste erste sichtbare Schritt bei einem übernommenen Konto, weil er unauffälliger ist als ein Beitrag.

Und eine Bemerkung zum Unterschied, der oft verwechselt wird: Ein gesperrtes Konto ist nicht dasselbe wie ein übernommenes. Wenn die Plattform selbst eingeschritten ist, gelten andere Regeln und ein anderer Weg; das steht im Beitrag zu eingeschränkten und gesperrten Konten.