Durch ein Missgeschick sind beim Export in Google Authenticator alle exportierte Codes entfernt worden; die Wiederherstellungscodes aller Einträge hatte ich zwar alle gesichert, nur eben nicht die von Facebook. Ich keinen Bedarf und keine Dringlichkeit, da ich das soziale Netzwerk seit Jahren nicht mehr benutzte, wollte aber schauen, ob ich irgendwie wieder Zugriff erlangen kann. Der Beginn einer Odyssee.
Der fatale Fehler lag in diesem Auswahldialog beim Exportieren aller Einträge im Google Authenticator, in dem ich übereilt die zweite Option wählte:
macht aber keine Backups.
Facebook verlangte nach der Passworteingabe einen zeitbasierten Code aus Google Authenticator. Genau diese TOTP-Konfiguration existierte nun nicht mehr. Codes per E-Mail bestätigten zwar den Zugriff auf das Postfach, ersetzten aber den fehlenden zweiten Faktor nicht. Auch ein neues Passwort hätte daran nichts geändert.
Bis zum erfolgreichen Login vergingen fast 3 Monate. Dazwischen lagen zwei Supportteams, eine Datenschutzanfrage, eine neue Wegwerf-E-Mail-Adresse, mehrfach verschickte Ausweisfotos und mehrere Nachfragen. Am Ende half kein Passwort-Reset, sondern ein manuell ausgestellter, zeitlich begrenzter 2FA-Code.
Nach sehr langem Suchen fand ich das offizielle EU-Datenschutzformular von Facebook. Darauf antwortete nach 2 Wochen unter einer 16-stelligen Fallnummer tatsächlich ein Mitarbeiter der "Privacy Operations". Ich übermittelte die Kontodaten, beschrieb den verlorenen Authenticator und bat um Identitätsprüfung, Zurücksetzen der alten 2FA-Methode und verlangte Auskunft nach Art. 15 DSGVO. Meta verwies beim Datenzugriff auf die üblichen Self-Service-Werkzeuge. Beim Kontozugriff könne dieses Team nicht helfen. Praktisch war das nutzlos: Die genannten Seiten setzten einen Login voraus.
Hilfe: Fehlanzeige.
Ich widersprach, setzte eine Frist und kündigte für den Datenschutzteil notfalls eine Beschwerde bei den zuständigen Aufsichtsbehörden an. Kontowiederherstellung und Datenauskunft blieben zwei getrennte Vorgänge; eine vollständige Art.-15-Auskunft erhielt ich dadurch nicht. 2 weitere Wochen später kam die erste brauchbare Anweisung: Ich sollte eine E-Mail-Adresse nennen, die noch nie mit einem aktuellen oder früheren Meta-Konto verknüpft war. Dafür verwendete ich eine Wegwerf-E-Mail-Adresse, auf die ich weiterhin zugreifen konnte.
Weitere 10 Tage später meldete sich Facebook Community Operations an dieser neuen Adresse. Verlangt wurden eine genaue Problembeschreibung und Fotos des Originalausweises – ausdrücklich keine Scans. Postwendend schickte ich Vorder- und Rückseite meines Personalausweises und formulierte zwei konkrete Ziele: die nicht mehr nutzbare TOTP-Methode entfernen und die neue Adresse dem Konto zuordnen.
Nun herrschte über 3 Wochen Funkstille – ich hakte schließlich erneut nach und Problembeschreibung sowie Ausweisfotos gingen erneut raus. Nach 2 weiteren Wochen fragte ich nach Eingang und Bearbeitungsstand. Eine erkennbare Änderung am Konto gab es weiterhin nicht. Nach weiteren 2 Wochen Wartezeit bündelte ich beide Vorgänge in einer Nachricht: Fallnummer, bisherige Schritte, versandte Unterlagen und das gewünschte Ergebnis.
Schließlich (ich hatte inzwischen die Hoffnung fast aufgegeben) schickte Meta fünf einmalig verwendbare achtstellige 2FA-Codes. Sie waren drei Tage gültig. In der Nachricht stand ausdrücklich, dass ich vor der Verwendung das Passwort nicht erneut zurücksetzen sollte. Ich konnte mich damit tatsächlich anmelden und direkt die Telefonnummer als zusätzliche Zwei-Faktor-Methode einrichten. Die alte Authenticator-Methode ließ sich allerdings noch nicht entfernen. Am Desktop meldete Facebook einen Sicherheits-Check für das neue Gerät, mobil blieb die Seite weiß.
von Google Authenticator wurde abgelehnt.
Ich bat Meta noch am selben Tag um die manuelle Entfernung, dessen Bitte dann weitere 2 Wochen später nachgekommen wurde. Zusammengefasst haben folgende Punkte geholfen:
- Kontakt mit einem Menschen über das offizielle EU-Datenschutzformular aufnehmen,
- (sehr penetrant) per E-Mail nachhaken und auf Auskunft nach Art. 15 DSGVO bestehen,
- manuelle 2FA-Codes erhalten und 2FA zurücksetzen.
Und die Moral von der Geschicht': Zwei-Faktor-Authentifizierung sollte nie an genau einem Gerät hängen. Wiederherstellungscodes, zweiter Faktor und Sicherheitsschlüssel richtet man ein, bevor man sie braucht!