- Formatteer uw oude telefoon nog niet: Houd uw oude telefoon intact totdat u hebt geverifieerd dat ten minste 2 belangrijke aanmeldingen slagen met de 6-cijferige codes die door uw nieuwe telefoon worden gegenereerd.
- Let op meerdelige QR-codes: Als u meer dan 10 accounts hebt, verdeelt Google Authenticator de exportgegevens over opeenvolgende QR-codes (bijv. 1 van 3, 2 van 3). Scan ze allemaal.
- Cloudsynchronisatie is een tweesnijdend zwaard: Hoewel Cloudsynchronisatie via uw Google-account herstel moeiteloos maakt, geeft een gecompromitteerd Google-wachtwoord toegang tot al uw tweestapsverificatietokens.
- Hanteer een redundantiebeleid voor meerdere apparaten: Dubbel scannen bij het instellen van 2FA of het opslaan van versleutelde offline back-upsleutels garandeert dat u nooit buitengesloten raakt door een defect toestel.
Google Cloudsynchronisatie vs. offline QR-export: Beveiligings- en privacy-afwegingen
Google introduceerde Cloudsynchronisatie voor accounts (Google Cloud Sync) om het historische dilemma op te lossen waarbij gebruikers permanent de toegang tot hun accounts verloren bij het verlies van een telefoon zonder back-up. Tegenwoordig worden standaard al uw TOTP-tokens automatisch gesynchroniseerd tussen geregistreerde apparaten zodra u zich aanmeldt met uw primaire Google-account.
Hoewel dit uiterst handig is, moeten beveiligingsarchitecten en gebruikers met een verhoogd dreigingsprofiel de fundamentele cryptografische afwegingen zorgvuldig overwegen:
| Dimensie | Google Cloudsynchronisatie ingeschakeld | Offline Point-to-Point QR (Aanbevolen) |
|---|---|---|
| Gemak van overdracht | Ogenblikkelijk (inloggen op Google-account op nieuw apparaat) | Gemiddeld (vereist fysiek optisch scannen van QR-codes) |
| Netwerkafhankelijkheid | Vereist actieve internetverbinding & Google cloudservers | 100% offline, camera-naar-scherm optische overdracht |
| Single Point of Failure (SPOF) | Ernstig: Compromittering van Google-account legt alle 2FA-sleutels bloot | Geen: Geïsoleerde, hardwaregebonden tokenopslag |
| Platformonafhankelijke ondersteuning | Vereist actieve aanmelding bij Google-ecosysteem op beide apparaten | Vlekkeloos tussen Android en iOS zonder cloudaccount |
| Zero-Knowledge soevereiniteit | Seeds worden extern gehost op de infrastructuur van Google | Absoluut: ruwe seeds verlaten nooit het fysieke clientgeheugen |
Controlelijst vóór migratie & veiligheidsregels
Voorkom plotselinge app-crashes of optische herkenningsfouten door de volgende vereisten te controleren voordat u het overdrachtsproces start:
- Zorg ervoor dat beide telefoons ten minste 50% batterijlading hebben of op het lichtnet zijn aangesloten.
- Werk in een goed verlichte binnenruimte zonder felle weerspiegelingen op de telefoonschermen.
- Maak de cameralens aan de achterzijde van uw nieuwe telefoon schoon om onscherpte bij optisch scannen te voorkomen.
- Download de officiële Google Authenticator via de App Store of Google Play Store (vermijd misleidende namaak-apps).
- Verleen de app cameratoegang op het nieuwe apparaat.
- Werk Google Authenticator op de oude telefoon bij naar de nieuwste versie.
Platformonafhankelijke compatibiliteit: Google Authenticator gebruikt een standaard Protobuf-payload gecodeerd in een otpauth-migration:// URI. Dit wordt naadloos overgedragen van Android naar iPhone en van iPhone naar Android, zonder enige compatibiliteitsproblemen.
Stapsgewijze handleiding: Naadloze offline QR-overdracht
Volg de officiële optische exportprocedure om uw 2FA-seeds rechtstreeks te migreren zonder sleutels via tussenliggende servers te routeren:
Stap 1: Open het menu 'Accounts overzetten' op de oude telefoon
Start Google Authenticator op uw oude apparaat. Tik op uw profielicoon in de rechterbovenhoek (of het menu-icoon met drie streepjes/drie puntjes) en selecteer "Accounts overzetten" in het menu.
Stap 2: Biometrische verificatie & accountselectie
Het besturingssysteem vraagt om verificatie via Face ID, vingerafdruk of pincode/toegangscode van het vergrendelscherm. Zodra dit is geautoriseerd, verschijnt er een controlelijst van alle opgeslagen 2FA-tokens.
💡 Standaard zijn alle accounts geselecteerd. U kunt persoonlijke accounts deselecteren als u uitsluitend migreert naar een apparaat van uw werkgever.
Stap 3: Genereer de export-QR-code (controleer op paginering)
Tik op "Exporteren" of "Volgende". Er wordt een QR-code met hoge dichtheid op het scherm weergegeven.
Stap 4: Scan met de nieuwe telefoon via "Accounts importeren"
Open Google Authenticator op uw nieuwe telefoon. Kies bij een nieuwe installatie "Bestaande accounts overzetten?", of tik op het profielicoon ➔ "Accounts overzetten" ➔ "Accounts importeren".
Richt de camera op uw oude telefoon. De app trilt bij elke succesvol gescande pagina en vraagt u naar de volgende QR-code op uw oude telefoon te vegen totdat alle tokens zijn ingelezen.
Stap 5: Verplichte inlogverificatie (sla dit niet over!)
Alle overgezette accounts verschijnen direct in de lijst op uw nieuwe telefoon en vernieuwen elke 30 seconden een 6-cijferige code.
De gouden regel: Open onmiddellijk uw laptop of een secundaire browser, log in bij 1 of 2 kritieke diensten (bijv. GitHub of uw primaire e-mail) en vul de 6-cijferige code in die op de nieuwe telefoon wordt weergegeven. Pas wanneer het inloggen slaagt, is de migratie gegarandeerd voltooid.
Oude apparaten wissen: Zero-remnant veiligheidsbeleid
Veel beveiligingsincidenten ontstaan wanneer een oude smartphone wordt doorgegeven aan familieleden, wordt ingeruild via een inruilprogramma of wordt verkocht op tweedehands marktplaatsen zonder cryptografische sanering:
myaccount.google.com ➔ Beveiliging ➔ Uw apparaten. Zoek uw oude telefoon en klik op "Afmelden" om alle actieve sessietokens in te trekken.
Offline koude redundantie voor meerdere apparaten
Vertrouwen op één enkele fysieke telefoon maakt u kwetsbaar voor diefstal, waterschade of onverwachte hardwaredefecten. Volg de 3-2-1 2FA-redundantiearchitectuur om gegarandeerd operationeel te blijven:
Dagelijkse smartphone
Wordt dagelijks meegedragen voor biometrische verificatie en codegeneratie.
iPad / Reserve-telefoon thuis
Gelijktijdig gescand tijdens de configuratie en veilig opgeborgen in een lade of kluis.
KeePassXC / Papieren kluis
Ruwe Base32-geheime sleutels opgeslagen in een offline, versleutelde kluis of fysieke afdruk.
Testen met 2FA-Tool: Telkens wanneer u een nieuwe 2FA-dienst instelt of een alfanumerieke Base32-seed opslaat (bijv. JBSWY3DPEHPK3PXP), kunt u deze lokaal verifiëren op 2FA-Tool. Schakel uw computer naar de vliegtuigstand, voer de sleutel in de generator in en controleer of de resulterende 6-cijferige code overeenkomt met uw authenticator-app. Alle berekeningen worden volledig client-side uitgevoerd via de native Web Crypto API van de browser.
Probleemoplossing & Veelgestelde vragen (FAQ)
V1: Nieuw overgezette 6-cijferige codes worden overal geweigerd als ongeldig. Hoe kan dat?
99% van de verificatiefouten wordt veroorzaakt door tijdsafwijking (Clock Drift). TOTP berekent HMAC-tokens op basis van strikte Unix epoch-intervallen van 30 seconden. Als de klok van uw nieuwe telefoon zelfs maar 15–20 seconden afwijkt, behoort het gegenereerde token tot het verkeerde tijdsvenster.
Oplossing:
• Android: Ga in Google Authenticator naar Instellingen ➔ "Tijdscorrectie voor codes" ➔ "Nu synchroniseren".
• iPhone: Ga naar iOS-instellingen ➔ Algemeen ➔ Datum en tijd ➔ Schakel "Stel automatisch in" uit en weer in om een geforceerde NTP-hersynchronisatie via het netwerk uit te voeren.
V2: Wat als het scherm van mijn oude telefoon volledig verbrijzeld is en geen QR-codes kan tonen?
Als Google Cloudsynchronisatie was ingeschakeld op de defecte telefoon, meldt u zich eenvoudig aan met hetzelfde Google-account in de Google Authenticator-app op uw nieuwe apparaat. Alle accounts worden automatisch opnieuw geladen.
Als Cloudsynchronisatie was uitgeschakeld en u geen secundair back-upapparaat hebt, kunnen de optische gegevens niet van het kapotte scherm worden hersteld. U moet dan gebruikmaken van de noodback-upcodes (Recovery Codes) van elke afzonderlijke dienst of een identiteitsverificatie / KYC-procedure doorlopen via de klantenservice.
V3: Kunnen mijn oude en nieuwe telefoon gelijktijdig identieke codes genereren?
Test uw geheime 2FA-sleutel in 2FA-Tool
Hebt u uw overdracht voltooid? Verifieer uw geback-upte Base32-geheime seeds met onze client-side Web Crypto generator. Volledig offline, snel en veilig.
📚 Aanbevolen beveiligingshandleidingen
Naleving van verplichte 2FA, herstelcodes bewaren, samenspel met SSH-sleutels en reddingsprocedures.
Hoe u weer toegang krijgt tot Google, Microsoft, Steam, Binance, Apple en Discord.
Van RFC 4226 naar RFC 6238: Wiskundige hash-truncation, desynchronisatie en acceptatie op het web.