Multi-Faktor-Authentifizierung (MFA)
Mit Ihrem Unibas-Account greifen Sie rund um die Uhr auf das Netzwerk und die Anwendungen der Universität Basel zu. Weil dabei auch Daten mit erhöhtem Schutzbedarf bearbeitet werden, ist für alle Benutzeraccounts die Multi-Faktor-Authentifizierung, MFA (Two-Step-Login) aktiv. Neben dem Passwort brauchen Sie einen zweiten Faktor.
SMS und Telefonanruf entfallen
SMS und Telefonanruf gelten als unsichere Verfahren. Microsoft stellt beide Methoden ein. Seit dem 1. September 2026 lassen sie sich nicht mehr als zweiter Faktor registrieren, im Januar 2027 werden sie schrittweise abgeschaltet. Die Abschaltung erfolgt rollierend, ein Datum für einzelne Accounts können wir nicht nennen.
Wenn Sie heute noch SMS oder Telefonanruf nutzen, richten Sie jetzt eine andere Methode ein. Warten Sie nicht ab, bis Microsoft Ihnen keine andere Chance mehr lässt - es ist dann sicher ein unpassender Zeitpunkt.
Sichere Wege zum zweiten Faktor
Für den zweiten Faktor haben Sie drei Möglichkeiten:
- Software-Token auf einem mobilen Gerät, kostenlos
- Software-Token auf dem Notebook oder Desktop, kostenlos
- Hardware-Token in Form einer Hardware-Token Karte, Kosten CHF 20,–
INFO: Der Weg über das Notebook (Variante 2) läuft unter Windows, macOS und Linux und braucht weder ein Mobiltelefon noch eine Token-Karte. Sie können den zweiten Faktor also auch ohne Mobilgerät nutzen.
Die drei Arten von zweitem Faktor
Alle drei Arten erzeugen einen sechsstelligen Einmalcode, der alle 30 Sekunden wechselt. Fachlich heisst dieses Verfahren TOTP, also zeitbasiertes Einmalpasswort. Sie unterscheiden sich nur darin, wo der Code entsteht.
Eine Anmerkung zum Begriff: Ein Software-Token ist nicht weniger sicher als ein Hardware-Token, weil beide dasselbe Verfahren nutzen. Der Unterschied liegt darin, wo der geheime Schlüssel liegt und wie gut er dort geschützt ist. Aus diesem Grund schützen Sie bitte den Software-Token auf dem Notebook oder Desktop mittels Biometrie oder Passwort.
1. Software-Token auf einem mobilen Gerät
Eine Authenticator-App auf Mobiltelefon oder Tablet erzeugt den Code. Diese Variante bietet zusätzlich die Push-Benachrichtigung: Sie bestätigen die Anmeldung, indem Sie eine zweistellige Zahl vom Bildschirm auf dem Mobilgerät eintippen. Push ist im Alltag die schnellste Methode, es gibt sie aber nur mit der Microsoft Authenticator App.
2. Software-Token auf dem Notebook oder Desktop
Ein Programm auf Ihrem Arbeitsgerät erzeugt den Code, entweder eine reine Authenticator-Anwendung oder ein Passwortmanager mit TOTP-Funktion. Sie brauchen kein zweites Gerät und keine Karte. Der Code steht im selben Fenster zur Verfügung, in dem Sie sich anmelden. Es gibt kostenlose Programme für Windows, Linux und für macOS.
3. Hardware-Token
Eine Karte in Kreditkartenformat zeigt auf Knopfdruck einen Code an. Sie braucht keine Software, kein Gerät und keine Netzverbindung. Diese Variante kostet CHF 20.- und kann persönlich am Service Desk bezogen werden. (Überweisung, TWINT, Bargeld und Versand sind leider nicht möglich.)
Übersicht der Apps und Token
Die folgenden Listen zeigen je Art die gängigen Produkte. Klicken Sie auf einen Produktnamen, dann öffnet sich weiter unten die ausführliche Beschreibung.
Diese Apps laufen auf Mobiltelefon oder Tablet:
| Produkt | Plattform | Push | Kosten | Anbieter, Sitz |
|---|---|---|---|---|
| Microsoft Authenticator [1] | iOS, Android | ja | kostenlos | Microsoft, USA |
| Proton Authenticator [1] | iOS, Android | nein | kostenlos | Proton AG, Schweiz |
| PingID [1] | iOS, Android | nein | kostenlos | Ping Identity, USA |
| Ente Auth | iOS, Android | nein | kostenlos | Ente, USA |
| Google Authenticator | iOS, Android | nein | kostenlos | Google, USA |
| Authy | iOS, Android | nein | kostenlos | Twilio, USA |
| Aegis Authenticator | Android | nein | kostenlos | Aegis-Projekt, Open Source |
| FreeOTP | iOS, Android | nein | kostenlos | Red Hat, USA |
| 1Password, Bitwarden | iOS, Android | nein | siehe Tab 2 | siehe Tab 2 |
[1] von IT-Services unterstützt
Diese Programme laufen auf Ihrem Arbeitsgerät. Sie brauchen dafür kein Mobiltelefon:
| Produkt | Betriebssysteme | Kosten | Anbieter, Sitz |
|---|---|---|---|
| Proton Authenticator [1] | Windows, macOS, Linux | kostenlos | Proton AG, Schweiz |
| KeePassXC | Windows, macOS, Linux | kostenlos | KeePassXC-Projekt, Open Source |
| Ente Auth | Windows, macOS, Linux | kostenlos | Ente, USA |
| Passwörter | macOS | kostenlos | Apple, USA |
| 2FAGuard | Windows | kostenlos | 2FAGuard, Deutschland |
| Bitwarden | Windows, macOS, Linux | nur mit Bezahlplan, ca. USD 20 pro Jahr | Bitwarden Inc., USA |
| 1Password | Windows, macOS, Linux | ca. USD 48 pro Jahr | AgileBits, Kanada |
Die Produktnamen in der ersten Spalte sind Links auf die Detailbeschreibungen in Abschnitt «Die Produkte im Detail».
[1] von IT-Services unterstützt
Eine Karte in Kreditkartenformat, die einen Code anzeigt:
| Produkt | Kosten | Bezug | Support |
|---|---|---|---|
| Hardware-Karte der IT-Services | CHF 20,- | persönlich am Service Desk | durch ITS unterstützt |
Alles zum Bezug steht in Abschnitt «Hardware-Karte beziehen».
Diese Listen sind nicht abschliessend. Es gibt weitere Authenticator-Apps und Passwortmanager mit TOTP-Funktion, die genauso funktionieren. Sie können jedes Produkt einsetzen, das zeitbasierte Einmalpasswörter nach dem TOTP-Standard erzeugt.
Unterstützt werden durch die IT-Services ausschliesslich die Microsoft Authenticator sowie die PingID, die Proton App und die Hardware-Karte. Alle weiteren Produkte können Sie selbständig einsetzen. Wenn Sie bei der Installation auf Ihrem Uni-Gerät Unterstützung brauchen, wenden Sie sich an Ihren Vor-Ort-Support. Die Nennung eines Produkts ist keine Empfehlung der Universität Basel. Preise nach Angaben der Hersteller, in Fremdwährung und ohne Gewähr, Stand September 2026.
Zwei Methoden auf zwei Geräten
Registrieren Sie zwei Methoden auf zwei voneinander unabhängigen Geräten, zum Beispiel Push auf dem Mobiltelefon und einen Einmalcode auf dem Uni-Notebook. Dann kommen Sie auch weiter, wenn ein Gerät zu Hause liegt, verloren geht oder neu aufgesetzt wird.
Push und Einmalcode in derselben Microsoft Authenticator App zählen dabei nicht als zwei Methoden. Beide liegen auf demselben Gerät und fallen bei Verlust gemeinsam weg.
Die Produkte im Detail
Hier finden Sie zu jedem Produkt aus der Übersicht die Stärken, die Schwächen und die Angaben zu Datenhaltung und Umzug auf ein neues Gerät:
Anbieter Microsoft, Sitz USA. iOS und Android. Kostenlos. Von den IT-Services unterstützt.
Die einzige App mit Push-Benachrichtigung und Number Matching. Sie tippen die zweistellige Zahl vom Bildschirm ein, statt sechs Ziffern abzulesen. Das verhindert zugleich, dass eine versehentliche Bestätigung ausreicht, wenn Angreifende Sie mit Anfragen überhäufen. Es erschwert Phishing Attacken, weil Angreifer den Text der angefragten Applikation mit anpassen müssen, um nicht vom aufmerksamen Benutzenden entlarvt zu werden.
Die App lässt sich über Face ID, Touch ID oder die Geräte-PIN sperren. Ein Cloud-Backup ist möglich. Die Codes lassen sich nicht in eine andere App übertragen. Läuft nur auf Mobilgeräten und löst deshalb den Fall «kein Mobiltelefon» nicht.
Anbieter Proton AG, Sitz Schweiz. Windows, macOS, Linux, iOS und Android. Kostenlos, Open Source. Von den IT-Services unterstützt.
Läuft auf dem Notebook und auf dem Mobiltelefon und deckt den Fall «kein Mobiltelefon» vollständig ab. Ein Konto ist nicht nötig, der Abgleich zwischen Geräten ist optional über ein Proton-Konto oder über iCloud möglich. Die Anwendung lässt sich über Biometrie oder eine PIN sperren, die Codes lassen sich exportieren und auf ein neues Gerät mitnehmen.
Verwaltet nur Codes, keine Passwörter. Kein Push.
KeePassXC-Projekt, Open Source ohne Firmensitz. Windows, macOS und Linux. Kostenlos.
Passwörter und Codes liegen in einer Datei, die mit einem Hauptpasswort geschützt ist. Für alle geeignet, die ihre Daten selbst in der Hand behalten wollen. Einen eigenen Abgleich bringt KeePassXC nicht mit, die Datenbankdatei lässt sich aber in einem synchronisierten Ordner ablegen und damit auf mehreren Geräten nutzen. Eine Sicherung der Datei ist Pflicht, sonst sind die Codes bei einem Gerätedefekt verloren. Diese Variante kein Push.
Anbieter Ente, Sitz USA. Windows, macOS, Linux, iOS, Android und im Browser. Kostenlos, Open Source.
Auf allen Plattformen verfügbar, der Abgleich läuft verschlüsselt über ein Konto oder entfällt bei rein lokaler Nutzung. Codes lassen sich exportieren. Kleinerer Anbieter, kein Push.
Anbieter Apple, Sitz USA. macOS, iOS und iPadOS, unter Windows über iCloud für Windows. Kostenlos, im Betriebssystem enthalten.
Auf Apple-Geräten schon vorhanden, füllt den Code beim Anmelden automatisch ein und gleicht ihn über iCloud auf Ihre weiteren Apple-Geräte ab. Entsperrt über Touch ID, Face ID oder den Geräte-Code. Für Apple-Nutzende der Weg mit dem geringsten Aufwand.
Nur im Apple-Umfeld sinnvoll. Kein Push. Eine Funktion zum Export der Codes gibt es nicht.
Anbieter 2FAGuard, Sitz Deutschland. Nur Windows. Kostenlos, Open Source.
Reine Windows-Anwendung, Entsperrung über Windows Hello, Daten bleiben lokal. Sehr kleines Projekt, Pflegezustand vor dem Einsatz prüfen. Kein Push.
Anbieter Bitwarden Inc., Sitz USA. Alle Plattformen und als Browser-Erweiterung. Open Source. Der integrierte Authenticator ist seit Januar 2026 nicht mehr im kostenlosen Plan enthalten, der Bezahlplan kostet ca. USD 20 pro Jahr, ohne Gewähr.
Passwörter und Codes zusammen, auf allen Geräten abgeglichen, Serverbetrieb auch selbst möglich.
Die separate App «Bitwarden Authenticator» ist kostenlos, gibt es aber nur für iOS und Android und löst den Fall «kein Mobiltelefon» daher nicht.
Anbieter AgileBits, Sitz Kanada. Alle Plattformen und als Browser-Erweiterung. Ca. USD 48 pro Jahr, ohne Gewähr, kein kostenloser Plan.
Ausgereifte Bedienung, Codes werden automatisch eingefüllt, Abgleich über die Cloud. Kein Push.
Anbieter Ping Identity, Sitz USA. iOS und Android. Kostenlos. Von den IT-Services unterstützt.
Die App erzeugt TOTP-Codes und kann dafür Konten von Drittanbietern aufnehmen. Sie lässt sich über Biometrie oder eine PIN sperren.
Beachten Sie: Beim Wechsel auf ein neues Gerät werden Konten von Drittanbietern nicht automatisch übernommen. Sie müssen jedes Konto einzeln neu verbinden. Kein Push für den Unibas-Account.
Anbieter Twilio, Sitz USA. Nur iOS und Android. Kostenlos.
Die Desktop-Versionen für Windows, macOS und Linux hat Twilio 2024 eingestellt. Authy läuft seither ausschliesslich auf Mobilgeräten. Die App lässt sich über Biometrie oder die Geräte-PIN entsperren. Ein verschlüsseltes Cloud-Backup ist möglich, Synchronisation über mehrere Geräte ist möglich. Kein Push für den Unibas-Account.
Drei schlanke Apps für Mobilgeräte, alle kostenlos.
Aegis Authenticator läuft nur unter Android, ist Open Source und speichert die Codes in einem verschlüsselten Tresor mit verschlüsselter Sicherungsdatei. FreeOTP von Red Hat läuft auf iOS und Android, ist Open Source und braucht kein Konto. Ob sich die Codes aus FreeOTP exportieren lassen, ist uns nicht bekannt, wir haben es nicht geprüft. Google Authenticator läuft auf iOS und Android und gleicht die Codes optional über ein Google-Konto ab.
Keine dieser Apps bietet Push, und keine läuft auf dem Notebook.
So richten Sie den zweiten Faktor ein
Der Ablauf ist bei allen Varianten gleich: Sie melden sich im Portal von Microsoft an, fügen eine Anmeldemethode hinzu und verbinden sie mit Ihrem Programm oder Ihrer App.
- Wählen Sie aus der Übersicht ein Produkt für Ihr Betriebssystem und installieren Sie es auf Ihrem Uni-Notebook. Brauchen Sie dabei Unterstützung, wenden Sie sich an Ihren Vor-Ort-Support.
- Öffnen Sie ein privates Browserfenster und rufen Sie aka.ms/mfasetup auf. Melden Sie sich mit Ihrer Unibas-Mailadresse und Ihrem Passwort an.
- Wählen Sie «Anmeldemethode hinzufügen» und dort die Authenticator-App. Geben Sie an, dass Sie eine andere App verwenden möchten.
- Sie erhalten einen QR-Code. Ein Programm auf dem Notebook kann den Code am eigenen Bildschirm nicht abscannen. Wählen Sie deshalb die Anzeige des Schlüssels als Text und tragen Sie diesen in Ihr Programm ein.
- Geben Sie den angezeigten sechsstelligen Code zur Bestätigung ein.
- Fertig
Die ausführlichen Anleitungen mit Bildern finden Sie in den Kurzanleitungen und in den Schritt-für-Schritt-Anleitungen, siehe Linkbox weiter unten.
Hardware-Karte beziehen
Die Hardware-Karte ist die Antwort für alle, die gar kein Gerät für die Anmeldung einsetzen wollen. Sie ist eine Möglichkeit, keine Pflicht.
Empfehlung: Kündigen Sie einen Bezug vorher per Ticket an support-its@clutterunibas.ch an. So kann die Registrierung Ihrer Karte vorbereitet werden und Ihr Aufenthalt am Service Desk verkürzt sich auf ein Minimum. Ohne Ankündigung erfolgt die Registrierung vor Ort und dauert länger.
- Bezug persönlich am Service Desk, Spitalstrasse 41, 3. Obergeschoss, Montag bis Freitag 8 bis 12 und 13 bis 17 Uhr
- Kosten CHF 20.-, Zahlung vor Ort und ausschliesslich mit Kredit- oder Debitkarte. Barzahlung, Rechnung und Überweisung sind nicht möglich
- Ein Versand ist nicht möglich, auch nicht an eine Privatadresse oder an einen Forschungsstandort
- Eine Drittperson kann die Karte für Sie abholen. Voraussetzung sind eine Ankündigung per Support-Ticket und eine Vollmacht
- Geht die Karte verloren oder ist defekt, fallen für den Ersatz erneut CHF 20.- an
Ein zentrales Budget für diese Karten besteht nicht, deshalb tragen die Nutzenden die Kosten selbst. Sie können den Betrag als Spesen bei Ihrer/Ihrem Vorgesetzten oder bei der Geschäftsführung Ihrer Einheit einreichen. Eine offizielle Regelung dafür gibt es nicht und einer Übernahme können wir nicht zusagen.
Gerät wechseln, verloren oder vergessen
Sie wechseln das Gerät und haben noch Zugriff auf das alte.
Öffnen Sie ein privates Browserfenster, rufen Sie https://aka.ms/mfasetup auf und melden Sie sich an. Bestätigen Sie die Anmeldung auf dem alten Gerät. Entfernen Sie danach die alte Methode über «Löschen» und fügen Sie das neue Gerät über «Anmeldemethode hinzufügen» hinzu.
Hat das alte Gerät keine Internetverbindung, brauchen Sie keine Push-Nachricht. Klicken Sie am Anmeldebildschirm auf «Ich kann meine Microsoft Authenticator-App im Moment nicht verwenden» und dann auf «Verwenden eines Prüfcodes». Den sechsstelligen Prüfcode zeigt die App auch ohne Netz an.
Sie haben Ihr Gerät vergessen.
Nutzen Sie Ihre zweite Methode. Genau dafür ist sie da. Haben Sie keine zweite Methode registriert, wenden Sie sich an den Service Desk.
Sie haben keinen Zugriff mehr auf Ihr Gerät.
Ist das Gerät verloren, defekt oder neu aufgesetzt und keine zweite Methode registriert, ist der selbständige Wechsel nicht möglich. Der Service Desk setzt die registrierten MFA-Methoden nach einer Identitätsprüfung zurück. Entweder telefonisch unter +41 61 207 14 11, halten Sie dafür Ihre UNIcard bereit, oder per Video-Call, im Call ist das Vorzeigen eines gültigen Ausweisdokuments (z.B. ID, Personalausweis oder Reisepass) zwingend notwendig.
Häufige Fragen
Ja. Ein Mobiltelefon ist keine Voraussetzung. Der Einmalcode entsteht entweder kostenlos in einem Programm auf Ihrem Uni-Notebook oder auf einer Hardware-Karte für CHF 20.-.
Nein. Wir schreiben kein privates Gerät vor. Nutzen Sie den Einmalcode auf dem Uni-Notebook oder eine Hardware-Karte.
Nein. Der Weg über das Uni-Notebook ist kostenlos, ebenso die Microsoft Authenticator App. Kosten entstehen nur, wenn Sie sich für die Hardware-Karte entscheiden. Zu den CHF 20.- und zur Möglichkeit, sie als Spesen einzureichen, siehe Abschnitt «Hardware-Karte beziehen».
Nein. Ausgabe und Bezahlung sind nur vor Ort am Service Desk möglich, ausschliesslich mit Kredit- oder Debitkarte. Ein Versand ist nicht möglich, auch nicht an eine Privatadresse oder an einen Forschungsstandort. Rechnung und Überweisung können wir nicht anbieten.
Ja. Die App «Passwörter» ist auf macOS, iOS und iPadOS bereits vorhanden, kann Verifizierungscodes erzeugen, füllt sie beim Anmelden automatisch ein und gleicht sie über iCloud auf Ihre weiteren Apple-Geräte ab. Beim Einrichten wählen Sie unter https://aka.ms/mfasetup die Authenticator-App und dort die Anzeige des Schlüssels als Text, den Sie in die App übernehmen. Ein Support durch den Service Desk steht dafür nicht zur Verfügung.
Für den Uni-Basel Benutzeraccount bieten wir Passkeys nach dem WebAuthn-Standard heute noch nicht an und ein Einführungstermin steht nicht fest. Was Sie eventuell von SWITCH edu-ID kennen, gehört zu einem anderen System mit eigenem Katalog an Anmeldemethoden. Nahe kommt dem gewohnten Ablauf die Entsperrung der Microsoft Authenticator App per Face ID oder Touch ID, danach bestätigen Sie die Anmeldung per Push mit zwei Ziffern.
Ja, und wir empfehlen es ausdrücklich. Zwei Methoden auf zwei voneinander unabhängigen Geräten ersparen Ihnen den Anruf beim Service Desk, wenn ein Gerät fehlt.
Bibliotheksnetz, VPN, Self-Services und E-Mail sind eigenständige Dienste mit eigenen Sitzungen und eigenen Sitzungsdauern. Mit der Wahl der Methode lässt sich daran nichts ändern. Mit Push und biometrischer Entsperrung dauert die einzelne Bestätigung aber nur wenige Sekunden.
Sehr wahrscheinlich ja. Jedes Produkt, das zeitbasierte Einmalpasswörter nach dem TOTP-Standard erzeugt, lässt sich verbinden. Die Listen auf dieser Seite sind nicht abschliessend.
Schliessen Sie das Fenster, öffnen Sie ein neues privates Browserfenster und rufen Sie https://aka.ms/mfasetup dort erneut auf.
Sicherheit und Datenschutz
Warum SMS und Telefonanruf nicht mehr genügen.
Beide laufen über das Mobilfunknetz und lassen sich vergleichsweise leicht abfangen oder umleiten, etwa über einen SIM-Swap, über Schwachstellen im Signalisierungsnetz SS7 oder über eine unbemerkt eingerichtete Anrufumleitung. Beim Telefonanruf kann der Code zudem auf der Combox landen, die oft nur mit einer schwachen PIN geschützt ist.
Warum ein Einmalcode besser schützt.
Der geheime Schlüssel wird einmal beim Einrichten übertragen und verlässt Ihr Gerät danach nicht mehr. Der Code entsteht lokal aus diesem Schlüssel und der aktuellen Uhrzeit, es wird also bei jeder Anmeldung nichts über ein Netz verschickt. Deshalb funktioniert das Verfahren auch offline.
Was Push überträgt.
Bei der Push-Benachrichtigung erhält Ihr Gerät eine Anfrage mit dem Namen des Dienstes und dem Standort der Anmeldung. Sie bestätigen mit einer zweistelligen Zahl, die auf dem Anmeldebildschirm steht. Dieses Number Matching verhindert, dass eine versehentliche Bestätigung ausreicht.
Wenn Sie ein privates Gerät einsetzen.
Von Ihrem privaten Gerät fliessen keine Daten an die Universität. Das Gerät wird nicht verwaltet, und wir sehen keine Inhalte darauf. Registriert wird nur die Anmeldemethode selbst, damit Ihre Anmeldung funktioniert.
Wenn Sie kein privates Gerät einsetzen wollen.
Das ist vorgesehen und braucht keine Begründung. Nutzen Sie den Einmalcode auf dem Uni-Notebook oder eine Hardware-Karte. Beide Wege kommen ohne privates Gerät aus.
Datenschutzinformation
Die Datenschutzinformation zum MFA-Verfahren finden Sie in der Linkbox unten.
Anleitungen
Service Desk
IT-Services
Spitalstrasse 41, 3. OG
CH-4056 Basel
Tel. +41 61 207 14 11
E-Mail support-its@unibas.ch
Quick Links