Authenticator-App auf dem privaten Handy: Dürfen Arbeitgeber das verlangen?

Die Multi-Faktor-Authentifizierung (MFA), oft auch Zwei-Faktor-Authentifizierung oder kurz 2FA genannt, ist heute Standard. Microsoft 365, VPN und Fachanwendungen verlangen neben dem Passwort einen zweiten Faktor. In den meisten Unternehmen ist das eine Authenticator-App auf dem Smartphone, meist der Microsoft Authenticator, seltener der Google Authenticator oder Authy. Die App erzeugt einen Code (TOTP) oder bestätigt die Anmeldung per Tippen, und erst dann können Mitarbeitende auf ihr Konto zugreifen. Das Problem: Nicht alle Mitarbeitenden haben ein Diensthandy. Also wird stillschweigend vorausgesetzt, dass die App auf dem privaten Handy landet. Spätestens wenn jemand das ablehnt oder der Betriebsrat nachfragt, stellt sich die Frage, ob das überhaupt zulässig ist.

Kurz gesagt: In der Regel nein. Arbeitgeber müssen die Arbeitsmittel stellen, die für die Arbeit nötig sind, und dazu gehört auch der zweite Faktor. Das private Smartphone kann nur freiwillig zum Einsatz kommen, und freiwillig ist es nur, wenn es eine echte Alternative gibt. Die einfachste Alternative ist ein FIDO2-Sicherheitsschlüssel.

Das Wichtigste in Kürze

• Arbeitsmittel: Grundsätzlich stellt der Arbeitgeber die Geräte, die für die Arbeit nötig sind. Eine Pflicht, das private Smartphone dienstlich zu nutzen, besteht in der Regel nicht.
• Freiwilligkeit: Eine Einwilligung im Arbeitsverhältnis ist nur wirksam, wenn Beschäftigte ohne Nachteile Nein sagen können. Das setzt eine Alternative voraus.
• Datenschutz: Die spanische Datenschutzbehörde hat in einem Anfang 2026 bekannt gewordenen Fall ein Bußgeld von 48.000 Euro verhängt, weil ein Unternehmen den zweiten Faktor über private Handys ohne echte Alternative verlangt hat.
• Betriebsrat: Die Einführung von MFA ist in aller Regel mitbestimmungspflichtig.
• Lösung: FIDO2-Sicherheitsschlüssel, Windows Hello for Business oder Hardware-Token ermöglichen eine sichere Anmeldung ganz ohne Smartphone.

Dürfen Arbeitgeber die Authenticator-App auf dem Privathandy verlangen?

Im Arbeitsrecht gilt ein einfacher Grundsatz: Der Arbeitgeber stellt die Arbeitsmittel, die Beschäftigte für ihre Arbeit brauchen. Das betrifft den Laptop ebenso wie das Telefon. Über sein Weisungsrecht kann er festlegen, wie gearbeitet wird. Er kann aber nicht verlangen, dass Beschäftigte dafür ihr privates Eigentum einsetzen.

Die Authenticator-App ist dabei kein Detail. Ohne den zweiten Faktor kommt niemand mehr an E-Mail, Teams oder Fachanwendungen. Wer die App auf dem Privathandy zur Bedingung macht, macht das private Gerät faktisch zum Arbeitsmittel. Das hat Folgen:

• Kosten: Wer ein privates Gerät dienstlich nutzt, kann unter Umständen Ersatz der Aufwendungen verlangen. Diskutiert wird das in Anlehnung an § 670 BGB.
• Haftung: Geht das Privathandy verloren oder kaputt, ist unklar, wer den Ersatz zahlt und wie schnell der Zugang wiederhergestellt wird.
• Erreichbarkeit: Auf dem privaten Gerät liegen dienstliche Anmeldungen. Die Grenze zwischen Arbeit und Freizeit verschwimmt.
• Sicherheit: Die IT hat keinen Einfluss darauf, ob das Privathandy aktuelle Sicherheitsupdates bekommt oder ob dort Apps aus unbekannten Quellen installiert sind. Der zweite Faktor liegt damit auf einem Gerät, das niemand im Unternehmen verwaltet.

Viele Beschäftigte installieren die App trotzdem, weil es bequem ist. Das ist in Ordnung, solange es tatsächlich freiwillig geschieht. Rechtlich durchsetzen lässt es sich in der Regel nicht. Im Einzelfall sollten Unternehmen die Rechtslage arbeitsrechtlich prüfen lassen.

Warum „freiwillig“ oft nicht reicht

Viele Unternehmen lösen das Problem mit einer Formulierung in der IT-Richtlinie: Die Nutzung des privaten Smartphones sei freiwillig. Das klingt sauber, hält aber nur, wenn die Freiwilligkeit auch gelebt wird.

Im Arbeitsverhältnis besteht ein Machtgefälle. Datenschutzrechtlich ist eine Einwilligung deshalb nur wirksam, wenn Beschäftigte eine echte Wahl haben und ihre Zustimmung ohne Nachteile verweigern oder widerrufen können. Gibt es keinen anderen Weg zur Anmeldung, ist die Entscheidung nicht frei. Dann fehlt die Rechtsgrundlage für die Verarbeitung.

Wie ernst Aufsichtsbehörden das nehmen, zeigt ein Fall aus Spanien. Die Datenschutzbehörde AEPD hat einen Paketdienstleister mit 48.000 Euro belegt. Die Fahrer sollten für den Zugang zu den Firmenanwendungen eine App auf dem privaten Smartphone installieren oder ihre private Handynummer für SMS-Codes angeben. Das Unternehmen sprach von Freiwilligkeit, eine echte Alternative gab es aber nicht. Die Behörde sah die Einwilligung wegen des Machtgefälles nicht als freiwillig an. Die Nutzung der privaten Geräte hielt sie nicht für erforderlich, weil das Unternehmen Firmengeräte oder Token hätte bereitstellen können.

Die Entscheidung stammt aus Spanien, die Grundlage ist aber dieselbe Datenschutz-Grundverordnung, die auch in Deutschland gilt. Für Unternehmen heißt das: Wer MFA über das Privathandy organisiert, braucht für alle, die nicht mitmachen wollen, einen gleichwertigen Weg.

Welche Rolle der Betriebsrat spielt

Ein MFA-Verfahren protokolliert jede Anmeldung: wann, von wo, mit welchem Gerät. Damit ist es eine technische Einrichtung, die geeignet ist, Verhalten oder Leistung zu überwachen. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat dabei ein Mitbestimmungsrecht. Ob der Arbeitgeber die Daten tatsächlich auswertet, spielt keine Rolle.

In der Praxis empfehlen wir, MFA mit einer Betriebsvereinbarung einzuführen. Darin sollte geregelt sein:

• welche Anmeldeverfahren zur Wahl stehen, mit und ohne Smartphone
• dass die Nutzung privater Geräte freiwillig ist und jederzeit beendet werden kann
• wer bei Verlust oder Defekt den Ersatz übernimmt
• welche Anmeldedaten gespeichert und wofür sie genutzt werden

Wenn die Alternative von Anfang an Teil des Konzepts ist, wird aus einem Streitpunkt eine Formalie.

Wenn Mitarbeitende freiwillig ihr Smartphone nutzen

Viele Beschäftigte nutzen die Authenticator-App gern auf dem eigenen Handy. Das ist legitim. Damit es sauber bleibt, sollten Unternehmen ein paar Punkte klären:

• Echte Wahl: Die Alternative wird aktiv angeboten, nicht nur auf Nachfrage.
• Widerruf: Wer später wechseln möchte, bekommt ohne Begründung einen anderen zweiten Faktor.
• Trennung: Auf dem Privathandy liegt nur die Authenticator-App. Eine Geräteverwaltung des privaten Smartphones ist dafür nicht nötig.
• Verlust: Es ist geregelt, wie der Zugang schnell wiederhergestellt wird, zum Beispiel mit einem befristeten Zugangspass (Temporary Access Pass) in Microsoft Entra ID.

Neues Handy, verlorenes Handy: das unterschätzte Risiko

Ein Punkt wird bei der privaten Nutzung oft übersehen: der Handywechsel. Wer sich ein neues Handy kauft, das alte zurücksetzt oder es verliert, verliert auch die dienstlichen Konten in der Authenticator-App. Ohne Backup oder Wiederherstellung kommt die Person nicht mehr an ihr Microsoft-365-Konto, bis die IT den zweiten Faktor zurücksetzt und die App neu eingerichtet ist: anmelden, QR-Code scannen, Code eingeben. Das Cloud-Backup des Microsoft Authenticator hilft nur, wenn es vorher eingerichtet wurde, und bindet die dienstlichen Konten zusätzlich an ein privates Microsoft- oder Apple-Konto. Für den IT-Support bedeutet jeder Handywechsel ein Ticket. Bei einem Diensthandy oder einem Sicherheitsschlüssel hat die IT diesen Vorgang im Griff. Beim Privathandy hängt er davon ab, wann und wie Mitarbeitende ihr Gerät wechseln.

Wie weit der Einblick des Arbeitgebers auf verwalteten Geräten tatsächlich reicht, erklären wir im Beitrag Diensthandy-Überwachung: Was kann der Arbeitgeber sehen?.

Die Alternative: MFA ganz ohne Smartphone

Für die Anmeldung ohne Handy gibt es mehrere Verfahren. Microsoft Entra ID unterstützt sie alle.

• FIDO2-Sicherheitsschlüssel: Ein kleiner Schlüssel für USB oder NFC, entsperrt mit PIN oder Fingerabdruck. Er ist phishingresistent und funktioniert an jedem Rechner.
• Windows Hello for Business: Anmeldung per Gesichtserkennung, Fingerabdruck oder PIN direkt am eigenen Windows-Gerät. Ideal für persönliche Arbeitsplätze, aber nicht für geteilte PCs.
• Hardware-Token (OATH): Kleine Geräte, die Einmalcodes anzeigen. Sie sind besser als SMS, aber nicht phishingresistent.
• SMS oder Anruf: Technisch möglich, aber das schwächste Verfahren. Es setzt außerdem wieder eine Telefonnummer voraus, oft die private.

Einen ausführlichen Vergleich finden Sie in unserem Beitrag MFA ohne Smartphone: Welche Möglichkeiten Unternehmen haben. Warum SMS-Codes keinen zuverlässigen Schutz bieten, zeigt Kann man trotz 2FA gehackt werden?.

Für die meisten Unternehmen ist der FIDO2-Sicherheitsschlüssel die beste Antwort auf die Privathandy-Frage. Er ersetzt das Smartphone vollständig, ist sicherer als jede Authenticator-App mit Codes oder Push-Nachrichten, und einfache Modelle gibt es im Handel bereits ab rund 30 Euro. Ob sich ein Passkey auf dem Smartphone oder ein Sicherheitsschlüssel besser eignet, hängt von der Rolle ab. Das erklären wir in Passkey oder Sicherheitsschlüssel: Was passt für welche Mitarbeitenden?.

So gelingt die Einführung in der Praxis

Technisch ist die Einrichtung in Microsoft Entra ID schnell erledigt: Passkeys (FIDO2) als Authentifizierungsmethode freischalten, zugelassene Schlüsselmodelle festlegen und per bedingtem Zugriff vorgeben, wer welches Verfahren nutzen muss. Die Schritte im Detail beschreiben wir in FIDO2 in Entra ID einrichten: Was beim Rollout zu beachten ist.

Die eigentliche Arbeit liegt in der Organisation:

• Bedarf klären: Wer hat ein Diensthandy, wer arbeitet an geteilten Geräten, wer möchte das Privathandy nicht nutzen?
• Hardware wählen: USB-A, USB-C oder NFC, je nach Geräten im Unternehmen. Für jede Person empfiehlt sich ein Ersatzschlüssel.
• Registrierung organisieren: Schlüssel vorab einrichten oder Mitarbeitende mit einem befristeten Zugangspass selbst registrieren lassen.
• Verlust regeln: Klare Abläufe, wie ein verlorener Schlüssel gesperrt und ersetzt wird.

Gerade bei verteilten Standorten, Schichtbetrieb oder Mitarbeitenden ohne festen Arbeitsplatz wird die Logistik schnell aufwendig. Hier setzen wir mit unserem Angebot FIDO as a Service an: Wir stimmen den Bedarf mit Ihnen ab, beschaffen die Schlüssel, richten sie für Ihren Microsoft-365-Tenant ein und liefern sie fertig an Ihre Mitarbeitenden. Die PIN stellen wir getrennt vom Schlüssel zu.

Fazit: Eine Alternative macht die Frage überflüssig

Arbeitgeber können die Authenticator-App auf dem privaten Handy in der Regel nicht verlangen. Sie können sie anbieten. Damit das rechtlich trägt, braucht es eine gleichwertige Alternative, eine klare Regelung mit dem Betriebsrat und einen Plan für Verlust und Ersatz. Mit FIDO2-Sicherheitsschlüsseln lösen Unternehmen alle drei Punkte auf einmal und erhöhen gleichzeitig die Sicherheit, weil die Anmeldung phishingresistent wird.

Sprechen Sie uns an. Wir zeigen Ihnen, wie MFA ohne Privathandy in Ihrem Unternehmen funktioniert, und richten FIDO2-Sicherheitsschlüssel fertig ein: Jetzt Termin vereinbaren.