Es gibt Fristen, die niemand ankündigt und die trotzdem jeden treffen, der mit Behörden digital zu tun hat. Diese hier ist eine davon: Bis zum 31. Oktober 2026 muss jedes bestehende CH-Login auf AGOV umgestellt sein, das gemeinsame Behörden-Login von Bund, Kantonen und Gemeinden.
Betroffen ist, wer die MWST-Abrechnung online macht, das ePortal nutzt, die ESTV-Dienste, Agate oder kantonale Portale. Also praktisch jeder Betrieb.
Was sich ändert
AGOV kennt kein Passwort mehr. Statt Benutzername und Kennwort tritt einer von drei Faktoren:
Die AGOV access App auf dem Smartphone, ab iOS 16.4 oder Android 11. Ein FIDO2-Sicherheitsschlüssel, also ein USB-Stick zum Anstecken. Und später die staatliche E-ID, die am 1. Dezember startet und sich dann ebenfalls als Anmeldefaktor einbinden lässt.
Das ist die gute Nachricht: Ein Passwort, das man vergessen, wiederverwenden oder in eine gefälschte Anmeldeseite tippen kann, gibt es nicht mehr. Wie oft genau das der Einstieg ist, haben wir im Beitrag zum Passwort-vergessen-Formular als Einfallstor beschrieben.
Der Punkt, an dem die meisten stolpern werden
Wer in den letzten Jahren auf Passkeys umgestellt hat und sie im Passwortmanager oder im iCloud-Schlüsselbund führt, denkt vermutlich: bin vorbereitet.
Ist man nicht. AGOV akzeptiert diese Passkeys nicht.
Der Grund steht in den Hinweisen des Bundes: Schlüssel, die über iCloud oder Google zwischen mehreren Geräten synchronisiert werden, gelten als weniger vertrauenswürdig. AGOV nimmt ausschliesslich hardwaregebundene Schlüssel — solche, die sich nicht exportieren, nicht übertragen und nicht synchronisieren lassen. Ein Passkey, der bequem auf allen Ihren Geräten liegt, erfüllt das per Definition nicht.
Das ist technisch nachvollziehbar und praktisch unbequem. Es bedeutet: Der Faktor hängt an einem bestimmten Gerät.
Warum Sie zwei Faktoren einrichten sollten, nicht einen
Daraus folgt das eigentliche Risiko. Wenn der Zugang an einem Gerät hängt und dieses Gerät verloren geht, kaputt ist oder ersetzt wird, kommen Sie nicht mehr hinein.
Der Bund sagt selbst, wie unangenehm das wird: Die Wiederherstellung läuft über ein Selbstbedienungsverfahren, das eine kostenpflichtige Identitätsprüfung erfordern kann. Die Empfehlung in den offiziellen Hinweisen ist deshalb eindeutig — zwei Faktoren hinterlegen, etwa die App auf dem Telefon und zusätzlich einen FIDO2-Stick, der im Büro liegt.
Das kostet zwanzig Minuten bei der Einrichtung und erspart im Ernstfall den Gang zur Identitätsprüfung. Weitere Schlüssel lassen sich jederzeit über das eigene AGOV-Konto ergänzen.
Die Frage, die für Betriebe wichtiger ist als die Technik
Hier wird es für Firmen interessant, und dieser Teil steht in kaum einer Meldung.
Ein AGOV-Konto gehört immer einer natürlichen Person, niemals einer Firma. Es bestätigt kein Arbeitsverhältnis, keine Zugehörigkeit, keine Funktion. Die Registrierung läuft über eine private, vom Arbeitgeber unabhängige Mailadresse. Geschäftskonten mit Firmendomain soll es erst ab 2027 geben.
Für den Alltag heisst das: Wenn Ihre Buchhalterin die MWST-Abrechnung über ihr persönliches AGOV-Konto einreicht, hängt dieser Zugang an ihr — nicht an der Firma. Verlässt sie den Betrieb, geht der Faktor mit ihr. Die Berechtigung im Fachdienst bleibt zwar bestehen und lässt sich neu vergeben, aber jemand muss das dann tun und wissen, wo es zu tun ist.
Zwei Dinge lohnen sich deshalb jetzt: festhalten, wer welchen Behördenzugang hält — und mindestens eine zweite Person mit derselben Berechtigung ausstatten. Nicht wegen AGOV. Sondern weil ein einziger Zugang bei einer Krankheit, einer Kündigung oder einem verlorenen Telefon zum Stillstand führt.
Was jetzt zu tun ist
Registrieren, bevor es eng wird. Die Umstellung läuft über das ePortal: AGOV-Konto anlegen, bestehendes Login damit verknüpfen, alle Berechtigungen wandern mit. Wer bis Ende Oktober nichts tut, dessen Konto wird automatisch übertragen — aber ohne dass Sie einen Anmeldefaktor eingerichtet hätten, und dann steht die Arbeit.
Zwei Faktoren, nicht einen. Siehe oben.
Aufschreiben, wer welchen Zugang hat. Das ist die Aufgabe, die über die Frist hinaus wirkt.
Wenn Sie unsicher sind, ob Ihre Geräte die Anforderungen erfüllen, oder wenn Sie die Zugänge im Betrieb sauber geordnet haben wollen: Wir schauen uns das an.