Millionen von X (ehemals Twitter) Nutzer:innen, die „alles richtig gemacht“ haben, um ihre Konten zu sichern, waren in den letzten 24 Stunden ausgesperrt, steckten in endlosen Zwei-Faktor-Authentifizierungs-Schleifen fest und wurden von einer verwirrenden Nachricht begrüßt:
„Sie müssen Ihren YubiKey erneut registrieren.“
Der Fehler steht in direktem Zusammenhang mit Elon Musks langwierigen Bemühungen, die letzten Spuren von twitter.com zu beseitigen und die Anmeldungen vollständig auf x.com umzustellen – ein Marken- und Domainwechsel, den Kritiker bereits als einen der chaotischsten Rebrandings in der Tech-Branche bezeichneten. [1]
Hier erfahren Sie, was passiert ist, was heute (13. November 2025) neu ist und was Sie tun können, wenn Ihr X-Konto derzeit in der Authentifizierungs-Hölle feststeckt.
Was passiert ist: Xs Umstellung der Sicherheitsschlüssel läuft schief
Vom 24. bis 27. Oktober warnte X die Nutzer:innen stillschweigend, dass sie, falls sie einen Hardware-Sicherheitsschlüssel (wie einen YubiKey) oder Passkey für die Zwei-Faktor-Authentifizierung (2FA) verwendeten, diesen erneut für die neue Domain x.com bis spätestens 10. November 2025 registrieren [2], andernfalls drohte der Ausschluss.
The Verge+1 Das Sicherheitsteam von X betonte damals:- Die Änderung sei „nicht mit einem Sicherheitsvorfall verbunden“
- Sie betraf nur Sicherheitsschlüssel und Passkeys,
- Und sie sei notwendig, weil diese Schlüssel kryptografisch an twitter.com gebunden sind, was X abschaffen möchte. [3]
Sicherheitsportale wie BleepingComputer und The Register erklärten, dass, sobald twitter.com abgeschaltet ist, an diese Domain gebundene Schlüssel einfach nicht mehr funktionieren – sie müssen also für x.com neu registriert werden. [4]
Das war der Plan.
Die Realität kam diese Woche.
12.–13. November: YubiKey-Fehler und endlose Login-Schleifen
Ab dem späten 12. November (US-Zeit) bis in die frühen Stunden des 13. November 2025 berichteten X-Nutzer:innen, dass sie sich weder im Web noch mobil einloggen konnten:
- Nach Eingabe ihres Passworts wurde ihnen mitgeteilt, sie „müssen [ihren] YubiKey erneut registrieren“, um ihn mit x.com zu verknüpfen. [5]
- Als sie versuchten, den Anweisungen zu folgen, lief der Ablauf einfach… in einer Schleife.
- Einige besaßen nie einen YubiKey, wurden aber trotzdem auf denselben Bildschirm „YubiKey erneut registrieren“ gezwungen. [6]
Android Central, Windows Central und TechCrunch dokumentierten alle dasselbe Muster: ein globales Anmeldeproblem für Konten, die mit Sicherheitsschlüsseln oder Passkeys verknüpft sind, was oft in einer Verifizierungs-Sackgasse oder einem vollständigen Ausschluss endete, selbst wenn die Nutzer die Anweisungen korrekt befolgten. [7]
Das sicherheitsorientierte Magazin The Tech Buzz beschrieb es unverblümt als eine „fehlgeschlagene Migration von Sicherheitsschlüsseln“, die die Wartung der Domain für die sicherheitsbewusstesten Nutzer der Plattform in die „Authentifizierungs-Hölle“ verwandelte. [8]
Heutiges Update (13. November 2025): Teilweise Erholung, anhaltendes Chaos
Neue Berichte und Nutzerbeiträge deuten heute darauf hin, dass das Schlimmste des Ausfalls nachlässt – aber noch sind nicht alle wieder drin.
Redaktionen: Problem bestätigt, X weiterhin größtenteils still
- NewsBytes berichtet, dass X „mit einem großen Problem nach einer verpflichtenden Zwei-Faktor-Authentifizierungsänderung konfrontiert ist“, wodurch Nutzer „in endlosen Schleifen gefangen oder komplett ausgesperrt“ werden, und merkt an, dass X sich nicht öffentlich zu dem Fehler geäußert hat. [9]
- Storyboard18 beschreibt ebenfalls ein „verpatztes Sicherheitsupdate“, das Nutzer aussperrte oder in Anmeldeschleifen festhielt – und betont erneut, dass X keine offizielle Erklärung abgegeben hat, während Elon Musk weiterhin wie gewohnt von seinem eigenen Account postet. [10]
- Tech Buzz hat seine Meldung heute Morgen aktualisiert, um anhaltende Authentifizierungsfehler und das weiterhin fehlende offizielle Statement von X zu reflektieren. [11]
TechCrunch merkt an, dass X „auf eine Anfrage nach einem Kommentar nicht reagiert hat“, obwohl die eigene Berichterstattung endlose Schleifen und weitverbreitete Aussperrungen nach der Frist am 10. November schilderte. [12]
Nutzerberichte: Rollback im Gange, aber nicht flächendeckend
Der Live-Blog von Windows Central, der sich auf interne Quellen beruft, berichtete am 12. November, dass die Ingenieure von X jüngste Änderungen zurückrollten, und bis zum Nachmittag konnte der Autor sich wieder einloggen, während die Störungsmeldungen auf DownDetector zurückgingen. [13]
In den Reddit-Communities r/Yubikey und r/Twitter berichten Nutzer: [14]
- Weltweite Probleme mit dem YubiKey/Passkey-Login-Flow von X.
- Verwirrende Aufforderungen, den „YubiKey neu zu registrieren“, selbst bei Personen, die nur Passkeys oder Authenticator-Apps verwendet haben.
- Eine Welle von Kommentaren heute früh wie „Ich bin wieder drin“ und „Für beide Konten behoben“ — neben anderen, die sagen, sie seien weiterhin ausgesperrt.
Ein viel geteiltes Reddit-Kommentar verweist auf einen Beitrag eines verifizierten X-Ingenieurs, der erklärt, dass das „Sicherheits-Schlüssel-Login-Problem bald behoben sein sollte“, aber die Lösung wird offensichtlich ungleichmäßig ausgerollt: Einige Konten funktionieren wieder, andere stecken weiterhin in der Schleife fest. [15]
Fazit für den 13. November:
- Die Störung bessert sich, ist aber noch nicht ganz vorbei.
- Es gibt immer noch keinen detaillierten, öffentlichen Abschlussbericht von X.
Wer ist betroffen – und wer nicht?
Basierend auf Berichten aus der heutigen Berichterstattung und Nutzerbeiträgen: [16]
Am stärksten betroffen:
- Konten, die jemals eingerichtet haben:
- Einen Hardware-Sicherheitsschlüssel (YubiKey oder ähnlich), oder
- Einen Passkey (Plattform-Authenticator mit Face ID, Touch ID, Windows Hello usw.)
- Insbesondere Nutzer, deren Schlüssel ursprünglich registriert wurden, als der Dienst noch twitter.com für Logins verwendete.
Weitgehend nicht betroffen (bisher):
- Konten, die App-basierte Authenticatoren (TOTP-Apps) verwenden,
- Konten, die SMS- oder E-Mail-Codes für 2FA nutzen,
- Konten ohne 2FA (was aus Sicherheitsgründen jedoch dringend abgeraten wird).
Ironischerweise wurden die Personen, die in den stärksten Schutz investiert haben – Hardware-Token und Passkeys – durch diese misslungene Migration am stärksten bestraft. Mehrere Nutzerberichte deuten außerdem darauf hin, dass einige Nicht-Key-Nutzer durch einen fehlerhaften Login-Prozess, der ihre Konfiguration nicht korrekt erkannt hat, ebenfalls von dem Fehler betroffen waren. [17]
Warum der Wechsel von twitter.com → x.com den Login zerstörte
Um den Ausfall zu verstehen, muss man wissen, wie Sicherheitsschlüssel und Passkeys funktionieren.
Im Gegensatz zu Passwörtern sind WebAuthn/FIDO2-Sicherheitsschlüssel und Passkeys an eine bestimmte Domain gebunden. Wenn Sie einen Schlüssel erstmals für twitter.com registriert haben, hat er sich kryptografisch genau an diese Herkunft gebunden. [18]
Als X also schließlich beschloss, die alte Domain endgültig abzuschalten und die Logins vollständig auf x.com zu verlagern:
- Schlüssel, die für twitter.com registriert waren, passten nicht mehr zur neuen Domain.
- X verlangte daher von den Nutzern, dass sie sich ab- und wieder anmelden für x.com.
- Der erneute Anmeldeprozess selbst scheint defekt gewesen zu sein, was zu Folgendem führte:
- Endlose Schleifen zurück zum „Registrieren Sie Ihren YubiKey erneut“-Bildschirm,
- Login-Aufforderungen für YubiKeys bei Konten, die nur Passkeys oder Apps verwendeten,
- Nutzer konnten die Einstellungsseite, auf der die Änderung vorgenommen werden muss, nicht erreichen. [19]
X Safety versicherte den Nutzern zuvor, dass es sich um einfache Wartungsarbeiten handele und „nicht um ein Sicherheitsproblem“, aber die Umsetzung scheiterte offensichtlich an grundlegenden Zuverlässigkeitserwartungen: Sicherheitsmigrationen sollen die Nutzer eigentlich sicherer machen und sie nicht massenhaft ausloggen. [20]
Handelt es sich um einen Hack oder eine Datenpanne?
Es gibt bisher keine Hinweise darauf, dass es sich bei diesem Vorfall um einen Hack, eine Datenpanne oder einen externen Cyberangriff handelt.
- X’s eigene Klarstellungen im Oktober bezeichneten das Zurücksetzen der Schlüssel als Domain-Migration, nicht als Reaktion auf einen Vorfall. [21]
- Aktuelle Berichte von NewsBytes, Storyboard18, TechBuzz, TechCrunch und anderen bringen die Störung alle mit einer fehlgeschlagenen Implementierung der geplanten Migration des Sicherheitsschlüssels in Verbindung, nicht mit einer Kompromittierung der Systeme von X. [22]
Allerdings hat X noch keine detaillierte technische Erklärung veröffentlicht, sodass externe Beobachter die Ursache weiterhin anhand des Verhaltens und durchgesickerter interner Kommentare rekonstruieren.
Was tun, wenn Sie aus Ihrem X-Konto ausgesperrt sind
Wenn Sie derzeit in der YubiKey/Passkey-Schleife feststecken, finden Sie hier praktische Schritte, die aus den bisherigen Anleitungen von X und Empfehlungen von Sicherheitsexperten stammen. [23]
1. Versuchen Sie es von einem Gerät, auf dem Sie bereits eingeloggt sind
Wenn Sie noch eine aktive X-Sitzung haben auf:
- Einem Telefon,
- Einem Tablet oder
- Einem anderen Browser-Profil,
nutzen Sie diese eingeloggte Sitzung, um:
- Gehen Sie zu Einstellungen → Sicherheit & Kontozugriff → Sicherheit → Zwei-Faktor-Authentifizierung.
- Deaktivieren Sie vorübergehend den alten Sicherheitsschlüssel/Passkey-Eintrag, der sich auf twitter.com bezieht.
- Fügen Sie eine Backup-2FA-Methode (Authenticator-App oder einen anderen Hardware-Schlüssel) hinzu, falls Sie noch keine haben.
- Registrieren Sie Ihren YubiKey/Passkey für x.com erst dann erneut, wenn die Migrationsprobleme eindeutig behoben sind.
2. Prüfen Sie andere 2FA-Optionen
Einige Nutzer berichten, dass sie weiterhin über Folgendes Zugang erhalten: [24]
- Eine Authenticator-App, die sie zuvor eingerichtet haben,
- SMS- oder E-Mail-Codes,
- Einen Backup-Hardware-Schlüssel.
Wenn Sie sich mit einer dieser Methoden authentifizieren können, gehen Sie direkt zu den Einstellungen und überprüfen Sie:
- Welche Sicherheitsschlüssel aufgelistet sind,
- Ob Ihr Schlüssel jetzt an x.com gebunden ist,
- Und dass Sie mindestens eine funktionierende Backup-Methode haben.
3. Verwenden Sie das Kontowiederherstellungsformular von X
Wenn keine Anmeldemethode funktioniert und Sie komplett ausgesperrt sind, bleibt Ihnen offiziell nur der Weg, den X-Support über das Formular „Zugriff auf Ihr Konto wiedererlangen“ zu kontaktieren, zu dem laut mehreren Reddit-Nutzern bereits viele greifen mussten. [25]
Dieser Prozess kann langsam sein und es gibt keine Erfolgsgarantie, aber es ist der einzige legitime Wiederherstellungsweg, den X anbietet, wenn 2FA nicht funktioniert.
4. Vermeiden Sie es, 2FA komplett zu deaktivieren (wenn möglich)
X hat vor Ablauf der Frist selbst gewarnt, dass Sie nach dem 10. November Folgendes tun können: [26]
- Ihren Schlüssel oder Passkey erneut registrieren,
- Zu einer anderen 2FA-Methode wechseln, oder
- 2FA komplett deaktivieren (was sie selbst „dringend abraten“).
Sofern Sie nicht unbedingt sofort wieder Zugriff benötigen und keine anderen Optionen haben, versuchen Sie, 2FA nicht dauerhaft zu deaktivieren. Dadurch wird Ihr Konto für Phishing, Passwort-Wiederverwendung und SIM-Swap-Angriffe anfällig – genau die Bedrohungen, die Sicherheitsschlüssel verhindern sollen.
Wenn Sie Ihre Sicherheit vorübergehend schwächen, um wieder Zugriff zu erhalten, planen Sie:
- Fügen Sie sofort eine Authenticator-App oder einen Backup-Schlüssel hinzu, und
- Aktivieren Sie starke 2FA wieder, sobald die X-Anmeldesysteme stabil sind.
5. Vorsicht vor Phishing-E-Mails und gefälschtem „Support“
Solche Vorfälle ziehen Betrüger magisch an. Seien Sie vorsichtig bei:
- E-Mails, die angeblich von „X Security“ stammen und Sie auffordern, Ihren Schlüssel zu „reparieren“,
- Direktnachrichten, die anbieten, Ihr Konto gegen Gebühr wiederherzustellen,
- Links, die wie x.com aussehen, es aber nicht sind (zusätzliche Zeichen, seltsame Subdomains usw.).
Wenn Sie auf etwas klicken wollen, tippen Sie x.com selbst ein in die Adresszeile des Browsers und navigieren Sie über die offizielle Oberfläche, statt Links in Nachrichten zu vertrauen.
Ein letzter Stolperstein für Xs lange, chaotische Umbenennung
Aus Markensicht ist dieser Ausfall symbolisch brutal.
- Design-Website Creative Bloq nannte Musks X-Umgestaltung kürzlich „eines der chaotischsten Rebrandings des Jahrzehnts“ und stellte fest, dass die Leute auch mehr als zwei Jahre später die Plattform immer noch instinktiv als „X, ehemals bekannt als Twitter“ bezeichnen. [27]
- In diesem Artikel wurde darauf hingewiesen, dass eines der letzten technischen Überbleibsel von Twitter – die twitter.com-URL – endlich abgeschafft wird, wobei Anmeldungen nun vollständig auf x.com umgeleitet werden.
Nun hat gerade der Akt, twitter.com zu beerdigen, die alte Marke wieder in die Schlagzeilen gebracht, da Nutzer sich beschweren, dass „Twitter schon wieder Mist gebaut hat“, während versucht wird, die letzten Spuren von… Twitter zu beseitigen. [28]
Für Kritiker passt dieser Vorfall in ein Muster, das sie seit Musks Übernahme hervorheben: aggressive, von oben verordnete Änderungen, die mit hoher Geschwindigkeit und verkleinerten Entwicklerteams sowie scheinbar begrenzten Sicherheitsnetzen umgesetzt werden. Zahlreiche Medien stellen die Störung heute explizit als das jüngste einer Reihe von betrieblichen Fehltritten seit der 44-Milliarden-Dollar-Übernahme dar. [29]
Bedeutet das, dass Passkeys und Sicherheitsschlüssel eine schlechte Idee sind?
Kurze Antwort: nein – aber es ist eine Warnung, wie man sie einsetzt.
Berichte von BleepingComputer, The Verge und The Register betonen alle, dass Hardware-Schlüssel und Passkeys nach wie vor zu den sichersten Authentifizierungsformen gehören, die es heute gibt. Sie verringern das Phishing-Risiko drastisch, da sie nur auf der genauen Domain reagieren, auf der sie registriert wurden. [30]
Das Problem hier war nicht die zugrundeliegende Technologie. Es war:
- Schlecht durchdachte Migrationsplanung (Erzwingen einer Neuregistrierung mit harter Frist),
- Ein fehlerhafter Neuregistrierungsprozess ohne zuverlässige Ausweichmöglichkeit,
- Schwache Kommunikation während der Störung, sodass Nutzer Sicherheitsprobleme öffentlich selbst beheben mussten. [31]
Für andere Plattformen, die dieses Szenario beobachten, ist die Lehre klar:
Wenn Sie Millionen von Nutzern mit hardwaregebundenen Zugangsdaten auf eine neue Domain umziehen, brauchen Sie wasserdichte Tests, einen schrittweisen Rollout und robuste Wiederherstellungswege.
FAQ: X-Sicherheitsschlüssel-Ausfall, 13. November 2025
Was hat den Login-Ausfall bei X ausgelöst?
Eine erzwungene Migration von Sicherheitsschlüsseln und Passkeys von der Domain twitter.com zu x.com, kombiniert mit einem fehlerhaften erneuten Anmeldeprozess, der Nutzer in YubiKey/Passkey-Schleifen gefangen hat und den Zugang zu den Kontoeinstellungen blockierte. [32]
Wer war am stärksten betroffen?
Nutzer, die Hardware-Sicherheitsschlüssel oder Passkeys für 2FA konfiguriert hatten, insbesondere diejenigen, deren Schlüssel ursprünglich registriert wurden, als Logins noch über twitter.com liefen. Viele von ihnen waren vorübergehend oder immer noch komplett ausgesperrt. [33]
Ist das Problem jetzt (13. November 2025) behoben?
Berichte von Windows Central und Reddit zeigen, dass viele Nutzer sich wieder einloggen können, nachdem X offenbar Teile der Änderung zurückgenommen hat, aber andere bleiben weiterhin ausgesperrt, und X hat noch keinen detaillierten öffentlichen Bericht veröffentlicht. [34]
Wurde X gehackt?
Es gibt keine öffentlichen Hinweise auf einen Hack oder eine Datenpanne. X und unabhängige Sicherheitsberichte führen den Vorfall auf eine verpatzte interne Migration der Sicherheitsschlüssel zurück, nicht auf einen externen Angriff. [35]
Sollte ich 2FA bei meinem X-Konto deaktivieren?
Nur als letzte Möglichkeit. Das Deaktivieren von 2FA macht Ihr Konto viel leichter angreifbar. Wenn Sie die Sicherheit schwächen müssen, um wieder Zugang zu erhalten, fügen Sie eine Authenticator-App oder einen Backup-Schlüssel hinzu und aktivieren Sie starke 2FA wieder, sobald Xs Systeme stabil sind. [36]
Stand 13. November entspannt sich die Krise langsam, aber der Schaden am Vertrauen der Nutzer – und an dem ohnehin umstrittenen X-Rebranding – könnte viel länger anhalten als der Ausfall selbst.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
