Seit Mai 2022 hat Google den einfachen Benutzername/Passwort-Zugriff auf Gmail für Drittanbieter-Apps dauerhaft gesperrt — eine Änderung, die tausende älterer E-Mail-Setups von einem Tag auf den anderen unterbrochen hat. Das BSI empfiehlt in seinen IT-Grundschutz-Kompendium-Richtlinien seit Jahren die Zwei-Faktor-Authentifizierung für alle geschäftlichen E-Mail-Konten, und dieser Google-Schritt folgt exakt dieser Logik. App-Passwörter sind der vorgesehene Fallback für Apps, die keinen OAuth-Flow abschließen können — aber Google selbst bezeichnet sie als „in den meisten Fällen unnötig”. Dieser Leitfaden erklärt genau, wann Sie in 2026 noch eines benötigen, wie Sie in unter zwei Minuten eines generieren, und wie Sie die nicht mehr genutzten aufräumen.
Was ist ein Gmail App-Passwort?
Ein Gmail App-Passwort ist ein 16-stelliger Code, der einer bestimmten App oder einem Gerät Zugriff auf Ihr Google-Konto ermöglicht, ohne Ihr echtes Google-Passwort preiszugeben. Es funktioniert nur, wenn die zweistufige Verifizierung (2SV) bereits aktiv ist — Google zeigt Ihnen die App-Passwort-Seite sonst nicht. Nach der Generierung wird der Code einmalig angezeigt; Sie kopieren ihn direkt in das Passwortfeld der App.
Das Konzept stammt aus der Zeit, als die meisten E-Mail-Programme die Authentifizierung mit einem einfachen Benutzername + Passwort-Austausch über IMAP oder SMTP abwickelten. Dieses Modell hat ein grundlegendes Problem: Sie übergeben einer Drittanbieter-App Ihre echten Google-Zugangsdaten, was bedeutet, dass bei einem Datenleck der App Ihr gesamtes Google-Konto gefährdet ist. App-Passwörter wurden als Teillösung eingeführt — ein auf IMAP/SMTP beschränktes Token, das keinen vollständigen Kontozugriff gewährt.
Google beschreibt App-Passwörter auf seiner Hilfeseite so: „Ein App-Passwort ist ein 16-stelliger Code, der einer weniger sicheren App oder einem Gerät die Erlaubnis gibt, auf Ihr Google-Konto zuzugreifen.” Die Formulierung „weniger sicher” ist bewusst und ehrlich — App-Passwörter sind eine Kompatibilitätsschicht für veraltete Systeme, kein empfohlener Ansatz.
Ein wichtiges Detail, das viele Nutzer überrascht: App-Passwörter sind nur verfügbar, wenn Sie die Standard-Zweistufige Verifizierung verwenden (SMS, Authentifizierungs-App oder Hardware-Key). Wenn Sie im Erweiterten Schutzprogramm von Google eingeschrieben sind, sind App-Passwörter vollständig deaktiviert. Falls Ihr Google Workspace-Administrator die Erstellung von App-Passwörtern auf Domainebene eingeschränkt hat, gibt die Seite einen Fehler zurück oder lädt schlicht nicht.
Brauchen Sie wirklich noch eines im Jahr 2026?
Für die große Mehrheit der Gmail-Nutzer in 2026: nein. Moderne E-Mail-Clients, mobile Apps und die meisten Desktop-Programme unterstützen OAuth 2.0 — den „Mit Google anmelden”-Button-Flow, der ein beschränktes Token ausstellt, ohne Ihr Passwort jemals zu berühren. Sie brauchen ein App-Passwort nur, wenn Sie Software verwenden, die keinen OAuth-Flow abschließen kann.
Hier die praktische Übersicht:
Sie brauchen KEIN App-Passwort, wenn Sie verwenden:
- Gmail im Browser
- Die offizielle Gmail-App auf iOS oder Android
- Mailbird (unterstützt OAuth für Gmail seit 2020)
- Thunderbird 115 und höher (wechselt standardmäßig auf OAuth)
- Outlook 2016 und höher mit moderner Authentifizierungskonfiguration
- Apple Mail auf macOS Ventura und höher
- Jeden E-Mail-Client, der während der Kontoeinrichtung ein „Mit Google anmelden”-Browser-Popup zeigt
Sie brauchen wahrscheinlich ein App-Passwort, wenn Sie verwenden:
- Python-Skripte mit
smtplibundsmtp.gmail.com:587 - Ältere Automatisierungstools (ältere Zapier-E-Mail-Knoten, ältere n8n-Versionen, benutzerdefinierte bash
sendmail-Wrapper) - Thunderbird-Versionen vor 115 ohne manuelle OAuth-Migration
- Drucker oder Scanner mit SMTP-basierter „Scan-to-Email”-Funktion
- NAS-Geräte (Netzwerkspeicher) mit Gmail-E-Mail-Benachrichtigung
- Sehr alte Outlook-Versionen (2010 und älter) ohne OAuth-Unterstützung
- Benutzerdefinierte CRM- oder ERP-Software mit fest kodierter SMTP-Authentifizierung
Der Schalter für „Weniger sichere Apps” — der es diesen alten Apps früher erlaubte, die 2SV vollständig zu umgehen — wurde von Google im Mai 2022 dauerhaft entfernt. App-Passwörter wurden danach zum einzigen Nicht-OAuth-Weg.
So erstellen Sie ein Gmail App-Passwort (Schritt für Schritt)
Ein Gmail App-Passwort zu erstellen dauert unter zwei Minuten. Sie gehen zu myaccount.google.com/apppasswords, benennen die App, klicken auf Erstellen, kopieren den 16-stelligen Code und fügen ihn in das Passwortfeld der App ein. Die zweistufige Verifizierung muss aktiv sein, bevor diese Seite zugänglich wird.
Voraussetzungen vor dem Start:
- Die zweistufige Verifizierung muss eingeschaltet sein. Falls nicht, aktivieren Sie sie zuerst unter myaccount.google.com/signinoptions/two-step-verification. Die vollständige Einrichtungsanleitung finden Sie in unserem Gmail-Zwei-Faktor-Authentifizierung-Leitfaden.
- Sie dürfen nicht im Erweiterten Schutzprogramm eingeschrieben sein (App-Passwörter sind für diese Konten deaktiviert).
- Wenn Sie Google Workspace nutzen (Unternehmens- oder Schulkonto), muss Ihr Administrator die Erstellung von App-Passwörtern erlauben.
Schritt 1 — App-Passwörter-Seite öffnen
Gehen Sie zu myaccount.google.com/apppasswords. Möglicherweise werden Sie aufgefordert, sich anzumelden oder Ihr Passwort zu bestätigen. Wenn die Seite einen Fehler zeigt, dass App-Passwörter nicht verfügbar sind, überprüfen Sie die oben genannten Voraussetzungen.
Schritt 2 — App benennen
Sie sehen ein Textfeld mit der Bezeichnung „App-Name”. Tippen Sie etwas Beschreibendes — Thunderbird Desktop, Python Rechnungsskript, Brother Drucker. Dieses Label dient nur Ihrer Referenz; Google verwendet es nicht für Zugriffsentscheidungen. Ein präziser Name ist wichtig, wenn Sie in sechs Monaten das richtige Passwort widerrufen müssen.
Schritt 3 — Auf Erstellen klicken
Google generiert einen 16-stelligen Code, der in vier Gruppen von vier Buchstaben angezeigt wird. Das ist das App-Passwort. Es sieht so aus: abcd efgh ijkl mnop.
Schritt 4 — Sofort kopieren und verwenden
Dies ist das einzige Mal, dass Sie diesen genauen Code sehen werden. Kopieren Sie ihn jetzt. Wenn Sie ihn in den E-Mail-Client oder das Skript einfügen, entfernen Sie alle Leerzeichen — die App benötigt die 16 reinen Zeichen. In Thunderbird fügen Sie ihn beispielsweise in das Feld „Passwort” bei der IMAP-Kontoeinrichtung ein; in einem Python-smtplib-Skript weisen Sie ihn der Variablen password zu.
Schritt 5 — Dialog schließen
Sobald Sie den Dialog schließen, ist das vollständige Passwort aus Googles Oberfläche verschwunden. Was verbleibt, ist das Label, das Sie in Schritt 2 gewählt haben, sichtbar auf der App-Passwörter-Verwaltungsseite. Wenn Sie den Code verlieren, können Sie ihn nicht abrufen — Sie generieren einen neuen und aktualisieren die App.
Wann Sie noch ein App-Passwort brauchen
App-Passwörter bleiben notwendig für jede Software, die sich über IMAP oder SMTP mit Benutzername und Passwort authentifiziert, ohne den OAuth-Browser-Redirect-Flow zu unterstützen. Die häufigsten Fälle im Jahr 2026 sind veraltete Skripte, ältere Desktop-Clients und Hardware-Geräte.
Python- und Entwicklerskripte
Der häufigste Anwendungsfall. Ein Skript, das smtplib.SMTP_SSL('smtp.gmail.com', 465) gefolgt von server.login(email, password) verwendet, schlägt mit einem Standard-Google-Passwort und aktivierter 2SV fehl. Ersetzen Sie password durch das 16-stellige App-Passwort, und es funktioniert. Für eine langfristig bessere Lösung in Skripten ohne App-Passwörter prüfen Sie die Gmail API mit einem Service-Account oder OAuth 2.0-Flow.
Drucker und Scanner mit Scan-to-Email
Brother, HP, Ricoh, Canon — praktisch jedes mittlere Bürogerät mit einer SMTP-E-Mail-Funktion verwendet Basisauthentifizierung. Auf einem Drucker gibt es kein Browser-Popup, also ist OAuth unmöglich. App-Passwörter sind hier die richtige Lösung: Erstellen Sie eines mit dem Label HP Drucker Büro, geben Sie die Gmail-Adresse und das App-Passwort in die SMTP-Einstellungen des Druckers ein.
Ältere Thunderbird- und Outlook-Konfigurationen
Thunderbird 115 hat seine Standard-Gmail-Authentifizierung auf OAuth umgestellt, aber Konten, die ursprünglich unter älteren Versionen eingerichtet wurden, könnten noch IMAP mit einem gespeicherten Passwort verwenden. Wenn Thunderbird nach einer Google-Änderung erneut nach Ihrem Passwort fragt, und die Eingabeaufforderung für ein Passwort ist — nicht ein OAuth-Flow — haben Sie eine veraltete Authentifizierungskonfiguration. Optionen: Konto in Thunderbird 115+ neu hinzufügen (löst OAuth aus), oder App-Passwort generieren und in die Eingabeaufforderung einfügen.
NAS und Heimserver-Benachrichtigungen
Synology, QNAP und ähnliche Geräte beinhalten oft eine „E-Mail-Benachrichtigung”-Funktion, die SMTP-Zugangsdaten erfordert. Erstellen Sie ein dediziertes App-Passwort mit dem Gerätenamen als Label. Behandeln Sie es wie alle anderen Zugangsdaten: Wenn das Gerät ausgemustert wird, widerrufen Sie das Passwort am selben Tag.
Warum moderne Clients keines mehr benötigen
Moderne E-Mail-Clients authentifizieren sich über OAuth 2.0, das ein Browserfenster für den „Mit Google anmelden”-Flow öffnet, anstatt nach einem Passwort zu fragen. Google stellt der App ein beschränktes Zugriffstoken aus — kein Passwort wird jemals geteilt, und das Token kann von Ihrem Google-Konto aus widerrufen werden, ohne Ihr Google-Passwort zu beeinflussen.
Dieser Wandel vollzog sich schrittweise zwischen 2016 und 2022. Gmail sperrte „Weniger sichere Apps” (einfaches IMAP/SMTP mit Ihrem echten Passwort) im Mai 2022, was jeden verbleibenden Client dazu zwang, entweder OAuth zu übernehmen oder sich auf App-Passwörter zu verlassen.
Mailbird beispielsweise wickelt die Gmail-Einrichtung vollständig über OAuth ab. Wenn Sie ein Gmail-Konto in Mailbird hinzufügen, öffnet die App Ihren Standard-Browser auf accounts.google.com, Sie genehmigen die Berechtigungen, und Sie sind fertig — kein Passwort welcher Art auch immer gelangt in Mailbirds Speicher. Der Zugriff ist auf E-Mail lesen/schreiben/senden beschränkt, nicht auf Ihr gesamtes Google-Konto.
Das ist sicherheitstechnisch deutlich besser als ein App-Passwort. Ein App-Passwort hat einmal generiert kein Ablaufdatum und keine Bereichsbeschränkung über IMAP/SMTP hinaus. Ein OAuth-Token ist beschränkt, widerrufbar und an eine bestimmte genehmigte Anwendung gebunden.
Mailbird kostenlos testenWenn Sie derzeit einen älteren E-Mail-Client verwenden, der für Gmail ein App-Passwort benötigt, und viel Zeit in Ihrem Posteingang verbringen, lohnt sich der Wechsel zu einem Client mit nativer OAuth-Unterstützung. Die Sicherheitsverbesserung ist real. Sehen Sie sich unsere Zusammenfassung der besten E-Mail-Clients für Windows 2026 für einen Vergleich der wichtigsten Optionen an.
Sicherheit: App-Passwörter vs. OAuth
App-Passwörter sind sicherer als Ihr echtes Google-Passwort mit einer Drittanbieter-App zu teilen, aber deutlich schwächer als OAuth. Ein App-Passwort gewährt persistenten IMAP/SMTP-Zugriff ohne Ablaufzeit, ohne Bereichsbeschränkung über E-Mail hinaus und ohne automatische Ungültigkeitserklärung bei Verhaltensänderungen. OAuth-Tokens sind beschränkt, laufen ab und sind pro Anwendung widerrufbar.
Was ein App-Passwort kann und nicht kann:
Ein 16-stelliges App-Passwort erlaubt dem Inhaber die Authentifizierung über IMAP (E-Mails lesen, Ordner verwalten) und SMTP (E-Mails in Ihrem Namen senden). Es gewährt keinen Zugriff auf Ihr Google Drive, Kalender, Kontakte oder Kontoeinstellungen. Es kann nicht verwendet werden, um sich direkt bei google.com anzumelden.
Wogegen es nicht schützt: Persistenz. Wenn eine Skript oder App, die Ihr App-Passwort besitzt, kompromittiert wird, hat der Angreifer fortlaufenden Lese-/Sendezugriff auf Ihr Gmail, bis Sie das spezifische Passwort widerrufen. Es gibt kein automatisches Ablaufdatum.
Ein automatischer Widerruf-Auslöser existiert jedoch: Wenn Sie Ihr Google-Kontopasswort ändern, werden alle vorhandenen App-Passwörter ungültig. Das ist eine nützliche Notfallmaßnahme — wenn Sie einen Einbruch vermuten, ändern Sie Ihr Google-Passwort und alle App-Passwörter werden sofort wertlos.
Praktische Sicherheitshygiene:
- Erstellen Sie ein App-Passwort pro Anwendungsfall, verwenden Sie es nie für mehrere Apps
- Verwenden Sie ein beschreibendes Label (nicht nur „E-Mail”) damit Sie präzise widerrufen können
- Überprüfen Sie Ihre App-Passwörter-Liste auf myaccount.google.com/apppasswords vierteljährlich
- Wenn Sie ein Skript, Gerät oder Client ausmustern, widerrufen Sie das App-Passwort am selben Tag
- Speichern Sie ein App-Passwort nie im Klartext — verwenden Sie Umgebungsvariablen, einen Secrets Manager oder Ihren OS-Schlüsselbund
Wie Sie ein Gmail App-Passwort widerrufen
Um ein Gmail App-Passwort zu widerrufen, gehen Sie zu myaccount.google.com/apppasswords, finden Sie den Eintrag anhand des Labels, das Sie ihm gegeben haben, und klicken auf das Widerruf-Symbol (Papierkorb). Der Widerruf ist sofort wirksam — die App, die dieses Passwort verwendet, schlägt bei ihrem nächsten Authentifizierungsversuch fehl.
Die Widerrufseite listet jedes aktive App-Passwort anhand des Namens auf, den Sie bei der Erstellung vergeben haben, zusammen mit dem ungefähren Erstellungsdatum. Wenn Sie sie klar beschriftet haben, ist diese Seite einfach zu überprüfen.
Was nach dem Widerruf passiert:
Die App oder das Skript, das das Passwort besaß, erhält bei seinem nächsten Verbindungsversuch einen Authentifizierungsfehler. In Thunderbird zeigt sich das als Passwort-Eingabeaufforderung. In einem Python-Skript wirft es einen smtplib.SMTPAuthenticationError. Die Lösung besteht darin, ein neues App-Passwort zu generieren und die App-Konfiguration zu aktualisieren.
Massenwiderruf:
Es gibt keine Ein-Klick-Schaltfläche „Alle widerrufen” auf der App-Passwörter-Seite. Der schnellste Massenwiderruf ist, Ihr Google-Kontopasswort zu ändern — das macht sofort jedes App-Passwort für Ihr Konto ungültig. Alle Apps, die App-Passwörter verwenden, müssen mit neuen neu konfiguriert werden. Verwenden Sie diese Extremmaßnahme nur, wenn Sie einen Kontoeinbruch vermuten oder ein vollständiges Sicherheits-Reset durchführen.
Fehlerbehebung: App-Passwort funktioniert nicht
Die häufigsten Gründe, warum ein App-Passwort scheitert: der Code wurde mit Leerzeichen kopiert (fügen Sie die 16 reinen Zeichen ein, keine Leerzeichen), die zweistufige Verifizierung wurde nach der Passwortgenerierung deaktiviert (App-Passwörter werden gelöscht, wenn 2SV ausgeschaltet wird), oder das Google-Passwort wurde geändert (alle App-Passwörter werden automatisch bei Passwortänderung widerrufen).
Arbeiten Sie diese Checkliste durch, bevor Sie ein neues App-Passwort generieren:
1. Leerzeichen im Code
Google zeigt den 16-stelligen Code als abcd efgh ijkl mnop an. Einige Passwortfelder akzeptieren dieses Format; andere lehnen die Leerzeichen ab. Geben Sie im Zweifelsfall die 16 Zeichen ohne Leerzeichen ein: abcdefghijklmnop.
2. Zweistufige Verifizierung wurde deaktiviert Wenn 2SV auf dem Konto deaktiviert wird — auch kurzzeitig — werden alle App-Passwörter gelöscht. Das erneute Aktivieren von 2SV stellt sie nicht wieder her. Generieren Sie nach dem erneuten Aktivieren von 2SV neue App-Passwörter.
3. Google-Passwort wurde kürzlich geändert Das Ändern Ihres Google-Kontopassworts widerruft automatisch alle App-Passwörter. Das ist in Googles Support-Seite dokumentiert. Generieren Sie nach jeder Passwortänderung ein neues App-Passwort.
4. Falsches Konto Wenn Sie mehrere Google-Konten verwalten, stellen Sie sicher, dass das App-Passwort zum gleichen Konto gehört, das die App zu authentifizieren versucht. App-Passwörter sind kontospezifisch.
5. App verwendet falschen Authentifizierungstyp
Einige E-Mail-Clients haben eine Einstellung für die Authentifizierungsmethode: Normales Passwort, OAuth2, Kerberos usw. Für App-Passwörter wählen Sie Normales Passwort (oder Äquivalent). Die Auswahl von OAuth2 bei Verwendung eines App-Passworts schlägt fehl.
6. Workspace-Administrator-Einschränkung Wenn Ihr Konto ein Google Workspace-Konto ist (Schule, Arbeitgeber), kann der Administrator die Erstellung von App-Passwörtern einschränken oder deaktivieren. Wenn die App-Passwörter-Seite einen Fehler anzeigt, wenn Sie angemeldet sind, wenden Sie sich an Ihren Workspace-Administrator.
7. Erweitertes Schutzprogramm Konten, die im Erweiterten Schutzprogramm eingeschrieben sind, können keine App-Passwörter erstellen. Das ist eine strikte Einschränkung by Design — Nutzer des Erweiterten Schutzes sollen nur von Google genehmigte Apps verwenden.
Alexis Dollé, E-Mail-Experte seit über 10 Jahren. Gründer von Email Tools. Ich teste jeden E-Mail-Client und jedes Tool selbst und schreibe darüber, wie ich es einem Freund erklären würde — kein Marketing-Jargon, keine gesponserten Rankings, jede Aussage mit Quelle.
LinkedInHäufig gestellte Fragen
Was ist ein Gmail App-Passwort?
Ein Gmail App-Passwort ist ein 16-stelliger Code, der einer älteren App oder einem Gerät erlaubt, auf Ihr Google-Konto zuzugreifen, ohne Ihr echtes Google-Passwort zu verwenden. Es funktioniert nur, wenn die zweistufige Verifizierung bereits aktiviert ist. Google selbst erklärt, dass App-Passwörter in den meisten Fällen unnötig sind — moderne Apps nutzen stattdessen OAuth.
Wo erstelle ich ein Gmail App-Passwort?
Gehen Sie zu myaccount.google.com/apppasswords, während Sie bei Ihrem Google-Konto angemeldet sind. Die zweistufige Verifizierung muss bereits aktiv sein. Wenn Sie die Seite nicht sehen, verwendet Ihr Konto entweder Google Workspace mit Administratoreinschränkungen, hat keine 2SV, oder ist im Erweiterten Schutzprogramm registriert.
Brauche ich App-Passwörter noch im Jahr 2026?
Für die meisten Nutzer: nein. Moderne E-Mail-Clients wie Mailbird, Thunderbird 115+ und Outlook 2016+ unterstützen alle OAuth und verbinden sich mit Gmail ohne App-Passwort. Sie benötigen noch eines für veraltete Skripte, Automatisierungstools, ältere IMAP/SMTP-Software oder Geräte ohne OAuth-Unterstützung.
Was ist mit „Weniger sicheren Apps” bei Gmail passiert?
Google hat die Einstellung „Weniger sichere Apps” im Mai 2022 dauerhaft entfernt. App-Passwörter (mit 2SV) wurden zum einzigen Nicht-OAuth-Fallback. Ab Januar 2025 entfernte Gmail auch den IMAP-Ein/Aus-Schalter — IMAP ist jetzt immer aktiv.
Sind Gmail App-Passwörter sicher?
Sie sind sicherer als Ihr echtes Google-Passwort zu teilen, aber schwächer als OAuth. Ein App-Passwort umgeht die zweistufige Verifizierung für die haltende App, hat kein Ablaufdatum und keinen automatischen Widerruf. Halten Sie sie auf ein Minimum — eines pro Anwendungsfall, sofortiger Widerruf bei Nichtverwendung.
Was tue ich, wenn mein Gmail App-Passwort nicht mehr funktioniert?
Prüfen Sie zuerst, ob Sie die 16 Zeichen ohne Leerzeichen kopiert haben. Stellen Sie sicher, dass 2SV noch aktiv ist. Bei einer kürzlichen Google-Passwortänderung wurde das App-Passwort automatisch widerrufen — generieren Sie ein neues. Prüfen Sie auch, ob die App das App-Passwort und nicht Ihr normales Passwort verwendet.
Quellen & Referenzen
- Google-Konto-Hilfe — Mit App-Passwörtern anmelden. Beschreibt App-Passwörter als „16-stelligen Code”, bestätigt Anforderung der zweistufigen Verifizierung, vermerkt automatischen Widerruf bei Passwortänderung. Abgerufen am 2026-05-18. support.google.com/accounts/answer/185833
- Gmail-Hilfe — Gmail-Nachrichten mit anderen E-Mail-Clients über IMAP lesen. Bestätigt, dass Gmail „keine Drittanbieter-Apps oder Geräte mehr unterstützt, die das Teilen von Google-Benutzername und -Passwort erfordern”, vermerkt Änderung vom Januar 2025. Abgerufen am 2026-05-18. support.google.com/mail/answer/7126229
- Email Tools — Gmail-Zwei-Faktor-Authentifizierung einrichten. Vollständige Anleitung zur Aktivierung von 2SV, Voraussetzung für App-Passwort-Erstellung. email-tools.me/posts/gmail-two-factor-authentication-setup/
- Email Tools — Beste E-Mail-Clients für Windows 2026. Stellt OAuth-native Clients als Alternativen zu App-Passwort-abhängigen Konfigurationen vor. email-tools.me/posts/best-email-clients-windows-2026/
Verwandte Artikel: Gmail-Zwei-Faktor-Authentifizierung einrichten — 2SV aktivieren, Voraussetzung für App-Passwörter. Beste E-Mail-Clients für Windows 2026 — OAuth-native Clients, die App-Passwörter überflüssig machen. Mailbird IMAP-Einrichtungsanleitung — OAuth-basierte Gmail-Einrichtung in Mailbird.