Ein WhatsApp-Konto hängt längst nicht mehr nur an einer Telefonnummer. Wer das Smartphone wechselt, einen Registrierungscode abfangen lässt oder auf einen unbekannten Anruf reagiert, trifft an verschiedenen Stellen unterschiedliche Sicherheitsentscheidungen. Genau dort setzt WhatsApp nun mit drei Erweiterungen an: mehreren Passkeys pro Konto, einem längeren Passwort für die Zwei-Schritt-Verifizierung und mehr Kontext vor Anrufen unbekannter Kontakte auf Android.
Die Neuigkeiten vom 25. August betreffen damit nicht dieselbe Schutzfunktion in drei Varianten. Passkeys gehören zur Anmeldung. Das neue Passwort soll eine weitere Hürde bei der erneuten Registrierung schaffen. Die Anrufhinweise sollen helfen, eine unbekannte Nummer besser einzuordnen. Das ist sinnvoll, solange man daraus kein geschlossenes Sicherheitsversprechen macht. Entscheidend bleibt, wie Passkey-Verwaltung, Wiederherstellung und Gerätewechsel zusammen funktionieren.
Drei Funktionen, drei Angriffspunkte
Meta und WhatsApp kündigten an, dass sich künftig mehrere Passkeys für ein Konto hinterlegen lassen sollen. Das ist vor allem für Menschen relevant, die WhatsApp auf Android und iOS nutzen. Bisher konnte ein Gerätewechsel oder ein zweites System schnell zur Frage werden, welche Anmeldung noch vorhanden ist. Mehrere Passkeys sollen diese Verwaltung erleichtern. Wie schnell die Option auf einzelnen Konten erscheint, bleibt allerdings vom Rollout abhängig.
Die zweite Änderung betrifft die Zwei-Schritt-Verifizierung. Statt eines sechsstelligen PINs soll sie ein längeres alphanumerisches Passwort mit Sonderzeichen erlauben. Das ist ein zusätzliches Geheimnis für den Fall, dass jemand einen Registrierungscode in die Hände bekommt. Ein Passkey ist das nicht: Er basiert auf einem kryptografischen Schlüsselpaar. Das neue Zwei-Schritt-Passwort bleibt ein Passwort, das man kennen und sicher verwahren muss.
Auf Android sollen Nutzer bei Anrufen von nicht gespeicherten Kontakten vor dem Abheben zusätzlichen Kontext sehen, etwa ein anderes Herkunftsland oder gemeinsame Gruppen. Das kann eine kurze Plausibilitätsprüfung erleichtern. Es sagt aber weder, wer tatsächlich anruft, noch ob die Person gute Absichten hat. Gerade bei Betrugsversuchen kann ein überzeugend wirkender Name oder Gruppenbezug Teil der Masche sein.
Warum Passkeys typisches Phishing erschweren
Ein Passkey ersetzt nicht einfach ein Passwort durch einen Fingerabdruck. Technisch liegt dahinter ein Schlüsselpaar: Der private Schlüssel bleibt beim Authenticator, also etwa im Smartphone oder beim verwendeten Credential-Provider. Der Dienst speichert den öffentlichen Teil und prüft eine kryptografisch signierte Anfrage. Die Freigabe erfolgt lokal über Biometrie, PIN oder Gerätesperre.
Der wichtige Punkt ist die Bindung an den jeweiligen Dienstkontext. Ein gefälschtes Login-Formular kann kein Passwort abfragen, das der Nutzer anschließend auf der echten Seite wiederverwendet. Deshalb gelten Passkeys im Vergleich zu klassischen Passwörtern als widerstandsfähiger gegen typisches Phishing. FIDO Alliance und MDN beschreiben diese Mechanik allgemein; sie ist jedoch keine unabhängige Prüfung der konkreten WhatsApp-Implementierung.
Auch ein Passkey beendet das Konto-Risiko nicht. Ein kompromittiertes Gerät, ein gestohlenes entsperrtes Smartphone oder ein angegriffener Credential-Provider bleiben eigene Probleme. Mehrere hinterlegte Passkeys können nach einem Geräteverlust vor einer Aussperrung schützen. Sie schaffen aber auch die Aufgabe, alte Geräte und Anmeldewege im Blick zu behalten.
Die offene Stelle liegt bei der Wiederherstellung
Bei vielen Sicherheitsfunktionen zeigt sich die praktische Qualität erst dann, wenn etwas schiefgeht. Die aktuelle WhatsApp-Hilfe zur Wiederherstellung eines kompromittierten Kontos beschreibt weiterhin eine erneute Registrierung mit einem sechsstelligen Code an die eigene Telefonnummer. Dadurch werden andere angemeldete Geräte abgemeldet. Ist eine unbekannte Zwei-Schritt-Verifizierung eingerichtet, kann laut Hilfe eine Wartefrist von sieben Tagen gelten.
Diese Dokumentation widerspricht der neuen Ankündigung nicht automatisch. Sie zeigt aber, dass der genaue Übergang zum längeren Passwort noch nicht aus den verfügbaren Unterlagen hervorgeht. Die Hilfeseite verwendet weiterhin PIN-Sprache und trägt im vorliegenden Material kein sichtbares Änderungsdatum. Wer die neue Option bereits sieht, kann sie nutzen; daraus lässt sich aber noch nicht ableiten, wie sie in jedem Recovery-Fall, bei Geräteverlust oder nach einem Plattformwechsel greift.
Das ist mehr als ein Detail. Wenn ein Angreifer einen Registrierungscode erhält, entscheidet nicht allein die Login-Methode über den Ausgang. Telefonnummer, Zwei-Schritt-Verifizierung, verknüpfte Geräte, Wartefristen und die eigene Reaktion gehören zur selben Kontokette. Die Produktankündigung stärkt einzelne Stellen dieser Kette. Einen unabhängigen Nachweis, dass dadurch Kontoübernahmen oder Scam-Erfolge messbar zurückgehen, gibt es bislang nicht.
Was WhatsApp konkret ankündigt – und was offen bleibt
- Mehrere Passkeys
- WhatsApp will mehr als einen Passkey pro Konto ermöglichen, insbesondere für Android- und iOS-Nutzung. Belegt ist die Ankündigung; die Verfügbarkeit kann nach Konto, Plattform und Region variieren.
- Längeres Zwei-Schritt-Passwort
- Der bisherige sechsstellige PIN soll durch ein längeres Passwort mit Buchstaben, Zahlen und Sonderzeichen ergänzt beziehungsweise ersetzt werden. Seine genaue Rolle in allen Wiederherstellungswegen ist noch nicht dokumentiert.
- Kontext vor unbekannten Android-Anrufen
- Landesangabe und gemeinsame Gruppen können beim Einordnen helfen. Sie sind kein Identitätsnachweis und keine Betrugserkennung.
- Nächster belastbarer Nachweis
- Entscheidend sind Rollout-Readbacks auf Android und iOS, eine aktualisierte Recovery-Dokumentation sowie unabhängige Daten zu Kontoübernahmen, Fehlalarmen und erfolgreichen Wiederherstellungen.
Was Nutzer jetzt prüfen können
Die Einstellungen für Passkeys finden sich nach Anbieterangabe unter Einstellungen > Konto > Passkeys. Wer WhatsApp auf mehreren Geräten nutzt, sollte prüfen, welche Geräte und Credential-Provider tatsächlich hinterlegt sind. Ein alter Passkey auf einem nicht mehr verwendeten Gerät ist kein Vorteil.
Für die Zwei-Schritt-Verifizierung gilt eine einfache Regel: Ein neues Passwort sollte lang sein und nicht an anderer Stelle wiederverwendet werden. Ebenso wichtig bleibt der Blick auf verknüpfte Geräte, besonders nach einem Gerätewechsel oder wenn sich ein Konto ungewöhnlich verhält. Bei einem unbekannten Anruf können Herkunftsland und gemeinsame Gruppen Hinweise liefern. Sie ersetzen keine Rückfrage über einen bekannten Kontaktweg.
WhatsApp baut den Kontoschutz damit an den richtigen Stellen aus. Mehrere Passkeys, eine stärkere zusätzliche Verifizierung und Anrufkontext lösen jeweils ein anderes Problem. Ob daraus im Alltag ein robusteres Ganzes wird, entscheidet sich bei Rollout, Recovery und Gerätemanagement – nicht allein in den neuen Menüs.
Quellen und weiterführende Informationen
- Meta Newsroom: New Account Security Features for WhatsApp, 25. August 2026
- WhatsApp Blog: One billion people are now protected with passkeys on WhatsApp, plus more account security features, 25. August 2026
- TechCrunch: WhatsApp tightens account security with stronger two-step verification and more, 25. August 2026
- BleepingComputer: WhatsApp adds stronger two-step verification, multiple passkeys, 25. August 2026
- FIDO Alliance: Passkeys und MDN Web Docs: Passkeys
- WhatsApp Help Center: How to recover a compromised account
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-27.
