PayPal Zwei-Faktor-Authentifizierung einrichten & aktivieren

Ein gestohlenes Passwort reicht heute nicht mehr aus, um sich in fremde Konten einzuloggen - zumindest nicht, wenn ein zweiter Faktor davorsteht. Bei PayPal heißt diese Funktion offiziell “zweistufige Verifizierung” und lässt sich in wenigen Minuten aktivieren. Angesichts wachsender Bedrohungen durch Credential Stuffing, bei dem gestohlene Zugangsdaten aus anderen Diensten massenhaft durchprobiert werden, ist sie längst kein optionales Extra mehr, sondern eine der wirksamsten Schutzmaßnahmen für das eigene Konto.

Kurzzusammenfassung

• Die Zwei-Faktor-Authentifizierung bei PayPal lässt sich über die Sicherheitseinstellungen mit einer Authenticator-App, SMS-Code oder einem Hardware-Schlüssel einrichten.
• Ab März 2026 reduziert PayPal die Nutzung von SMS-Codes für den Login schrittweise und setzt stattdessen verstärkt auf Authenticator-Apps und Sicherheitsschlüssel.
• Sicherheitsexperten raten dazu, die tatsächliche Funktion der Zwei-Faktor-Authentifizierung regelmäßig zu testen, da PayPal-Konten in der Vergangenheit trotz aktivierter Einstellung ohne zweiten Faktor zugänglich waren.

So aktivierst du die zweistufige Verifizierung

Die Einrichtung erfolgt direkt im PayPal-Konto und dauert nur wenige Minuten. Am Computer navigierst du zu “Mein PayPal”, klickst auf das Zahnrad-Symbol für die Einstellungen und wechselst in den Bereich “Sicherheit”. Dort findest du die “Zweistufige Verifizierung” mit der Option, eine Authentifizierungs-App zu verwenden.

Der Ablauf im Detail:

• Im Browser bei PayPal anmelden und zu Sicherheit → Zweistufige Verifizierung navigieren.
• Die Option “Authentifizierungs-App verwenden” auswählen - daraufhin erscheint ein QR-Code auf dem Bildschirm.
• In einer App wie Microsoft Authenticator oder Google Authenticator ein neues Konto anlegen und den QR-Code scannen.
• Den von der App generierten sechsstelligen Code auf der PayPal-Website eingeben.
• Gegebenenfalls folgt noch eine zusätzliche Identitätsbestätigung per SMS oder Anruf, bevor die Funktion vollständig aktiv ist.

Neben Authenticator-Apps unterstützt PayPal je nach Kontokonfiguration auch SMS-Codes und Hardware-Sicherheitsschlüssel nach dem FIDO-Standard. Wer besonders sensibel mit dem eigenen Zahlungskonto umgeht, sollte einen physischen Schlüssel in Betracht ziehen - er lässt sich weder abfangen noch durch SIM-Swapping umgehen.

Warum PayPal von SMS-Codes abrückt

PayPal hat angekündigt, ab März 2026 SMS-Codes als Login-Faktor schrittweise zu entfernen. In einer E-Mail an Kundinnen und Kunden heißt es sinngemäß, dass SMS-Codes zwar weiterhin für allgemeine Sicherheitsprüfungen genutzt werden, als primäre Anmeldemethode aber zurückgefahren werden. Der Hintergrund: SMS-basierte Verfahren gelten als anfällig für SIM-Swapping und das Abfangen von Nachrichten - ein Angreifer, der die Kontrolle über eine Telefonnummer übernimmt, kann damit auch Sicherheitscodes abgreifen.

Diese Entwicklung folgt einem branchenweiten Trend. Immer mehr Anbieter setzen auf App-basierte Einmalcodes oder physische Sicherheitsschlüssel, weil diese deutlich schwerer zu kompromittieren sind. Wer aktuell noch SMS als einzige zweite Absicherung nutzt, sollte die Umstellung nicht abwarten, sondern schon jetzt eine Authenticator-App einrichten.

Wenn die Absicherung nicht so funktioniert wie gedacht

Ein Sicherheitsbericht vom Mai 2026 hat für Aufsehen gesorgt: Bei manchen Konten wurde die zweistufige Verifizierung beim Login über Wochen hinweg schlicht übersprungen, obwohl sie in den Einstellungen als aktiv angezeigt wurde. Das zeigt ein wichtiges Prinzip - eine aktivierte Funktion ist nicht automatisch eine funktionierende Funktion.

Daraus lässt sich ein einfacher, aber wirkungsvoller Testablauf ableiten, den Sicherheitsexperten empfehlen:

Test	Vorgehen	Erwartetes Ergebnis
Fresh-Browser-Login	In einem privaten Browserfenster einloggen	2FA-Abfrage muss vor dem Dashboard erscheinen
Falscher Code	Bewusst einen ungültigen Code eingeben	Zugang muss verweigert werden
Recovery-Codes	Backup-Codes suchen und prüfen	Sollten in unter einer Minute auffindbar sein

Wer diesen Check einmal im Quartal für sein PayPal-Konto durchführt, bemerkt Fehlkonfigurationen frühzeitig - lange bevor sie zum Problem werden. Gerade weil PayPal ein beliebtes Ziel für Kontoübernahmen ist, lohnt sich diese Extra-Minute Aufwand.

Typische Probleme und wie sie sich lösen lassen

Nicht jede Einrichtung verläuft reibungslos. Kommt der SMS-Code nicht an, hilft oft schon ein Blick ins Profil: Ist die hinterlegte Handynummer noch aktuell? Bei hartnäckigen Problemen kann es sinnvoll sein, die zweistufige Verifizierung einmal zu deaktivieren und anschließend neu einzurichten, um fehlerhafte Konfigurationen zurückzusetzen.

Für den Ernstfall - etwa bei Verlust des Smartphones - sind Wiederherstellungscodes unverzichtbar. Sie werden bei der Einrichtung generiert und sollten an einem sicheren Ort abgelegt werden, etwa in einem Passwort-Manager oder ausgedruckt im Safe. Ohne diese Codes droht im schlimmsten Fall die komplette Aussperrung aus dem eigenen Konto. Lässt sich ein Problem nicht selbst beheben, bleibt der direkte Kontakt zum PayPal-Support die zuverlässigste Anlaufstelle - am besten mit allen relevanten Kontoinformationen griffbereit.

Auch die aktuelle Bedrohungslage spricht für eine konsequente Absicherung: Berichte über Credential-Stuffing-Angriffe zeigen, dass nicht PayPals Infrastruktur selbst angegriffen wurde, sondern Kriminelle gestohlene Zugangsdaten aus anderen Diensten massenhaft ausprobiert haben. PayPal reagiert in solchen Fällen mit proaktiven Benachrichtigungen und erzwungenen Passwort-Resets. Wer ohnehin schon eine funktionierende Zwei-Faktor-Authentifizierung nutzt, ist gegen diese Angriffsform deutlich besser geschützt als jemand, der sich allein auf ein Passwort verlässt.

Häufige Fragen

Reicht ein starkes Passwort nicht auch ohne Zwei-Faktor-Authentifizierung aus?

Nein, denn auch komplexe Passwörter können durch Datenlecks bei anderen Diensten oder durch Phishing-Angriffe in falsche Hände geraten. Die zweistufige Verifizierung bietet eine zusätzliche Schutzebene, die selbst bei einem kompromittierten Passwort einen unbefugten Zugriff erschwert. Gerade bei einem Zahlungsdienst wie PayPal ist dieser zusätzliche Schutz besonders wichtig.

Was passiert mit meinem PayPal-Konto, wenn ich mein Smartphone verliere?

Ohne eingerichtete Wiederherstellungscodes oder ein zweites Backup-Verfahren kann der Zugang zum Konto erschwert oder blockiert sein. Deshalb sollten Nutzerinnen und Nutzer die bei der Einrichtung generierten Recovery-Codes an einem sicheren, aber schnell zugänglichen Ort aufbewahren. Alternativ hilft in solchen Fällen der direkte Kontakt zum PayPal-Support weiter.

Sollte ich jetzt schon von SMS-Codes auf eine Authenticator-App umsteigen?

Ja, das ist empfehlenswert, da PayPal die Nutzung von SMS-Codes als Login-Faktor ab März 2026 ohnehin schrittweise zurückfährt. Authenticator-Apps gelten zudem als sicherer, weil sie nicht durch SIM-Swapping oder das Abfangen von Textnachrichten kompromittiert werden können. Der Umstieg dauert nur wenige Minuten und lässt sich direkt in den Sicherheitseinstellungen des PayPal-Kontos vornehmen.