Codes, die nur kurz gelten, in freier und offener Verwahrung

Immer mehr Seiten bieten Zwei-Faktor-Authentifizierung, und jedes Programm, das die Codes erzeugt, trifft eigene Abwaegungen. Manche bestehen auf einem Konto. Manche machen den Wechsel auf ein neues Telefon zur Plackerei. Manche verlangen Geld fuer den Export, was bedeutet: die Daten, die man mitnehmen will, muss man sich freikaufen. 2FAS geht den anderen Weg: TOTP-Codes, Programme fuer iOS und Android, eine Browser-Erweiterung und ein Client fuer den Rechner, alles kostenlos, kein Konto irgendwo, und der Quellcode veroeffentlicht, damit jeder nachlesen kann, was das Programm tut. Im September 2026 steht die iOS-Fassung bei 6.0, die Android-Fassung in der 5.6er-Reihe.

Die Browser-Erweiterung ist der Teil, den man behaelt

Der uebliche Weg durch eine Zwei-Faktor-Anmeldung: einloggen, Telefon nehmen, Programm oeffnen, sechs Ziffern lesen, eintippen. Die Erweiterung schneidet diesen Weg ab. Einmal mit dem Telefon gekoppelt, kommt bei der naechsten Aufforderung eine Bestaetigung aufs Telefon; bestaetigen, und der Code fuellt sich von selbst ins Feld, ohne dass jemand etwas abschreibt. Die Kopplung laeuft ueber das lokale Netz, Telefon und Rechner muessen also nur im selben Netz sein. Wo automatisches Fuellen nicht passt, kopiert ein Klick den Code fuer die Hand — immer noch schneller, als zum Telefon zu greifen und den richtigen Eintrag zu suchen.

Synchronisierung und Umzug lassen einen Ausweg offen

Die Verwaltung der Eintraege ist sorgfaeltig. Suche, Gruppen, Favoriten und Symbolerkennung sind vorhanden, sodass sich auch hundert Eintraege zuegig durchsuchen lassen. Jeder Eintrag laesst sich einzeln sperren, und das Programm selbst oeffnet hinter biometrischer Pruefung. Vertrauen gewinnt es bei Sicherung und Umzug: die Daten gehen als verschluesselte Sicherungsdatei hinaus und koennen auch in Cloud-Speicher fliessen, den man schon selbst nutzt. Der Import aus einem anderen Authenticator braucht einen Scan, und mehrere Eintraege kommen in einem Durchgang mit. Ein neues Telefon wird aus der Sicherungsdatei wiederhergestellt, mit allen Eintraegen an ihrem Platz, statt dass man sich auf jeder Seite neu anmeldet.

Kostenlos ohne die uebliche Amputation, und klar in Sachen Datenschutz

Das Geschaeftsmodell ruht nicht auf Nutzerdaten. Programm und Erweiterung sind quelloffen, die Gemeinschaft kann nachlesen, wie Daten behandelt werden. Kein Konto heisst: keine Identitaet von einem liegt auf einem Server. Die Geheimnisse hinter den Codes bleiben standardmaessig auf dem Geraet, und ob sie in die Cloud gehen, entscheidet der Nutzer und nicht das Produkt. Eines verdient Nachdruck: ist eine Seite erst gebunden, sichere die Daten. Jeder Authenticator, der seine Schluessel ohne Sicherung verliert, bedeutet, bei jedem Dienst einzeln um Zuruecksetzen zu bitten. Aus dem verschluesselten Export eine Gewohnheit zu machen, ist das, was Zwei-Faktor-Authentifizierung verlaesslich macht.

Sicherheitsentwurf ohne Hintertuer

Zwei Versaeumnisse verfolgen diese Art von Programm: Geheimnisse, die still hochgeladen werden, oder ein Sicherungsweg, den das Programm selbst zuschliesst. Beide Enden sind bedacht. Eintraege liegen standardmaessig lokal, die Synchronisierung schaltet der Nutzer ein, und wo die Daten wohnen, entscheidet er. Eine eigene PIN und eine biometrische Sperre lassen sich verlangen, sodass jeder Blick auf einen Code erst durch eine Tuer geht — genug, dass ein ausgeliehenes Telefon zum Lesen einer Nachricht die Liste nicht preisgibt. Jede Beruehrung zwischen Erweiterung und Telefon muss am Telefon bestaetigt werden, und eine Kopplung laesst sich jederzeit in den Einstellungen zuruecknehmen. Wer auf Datenschutz achtet, hoert in diesen Einzelheiten mehr als in einer geschmueckten Oberflaeche.

Der Weg hinein ist kurz

Der Wechsel des Authenticators kostet sonst einen Nachmittag; hier soll er Minuten kosten. Ein Importweg fuer gaengige Authenticatoren ist eingebaut: den Code des alten Programms scannen oder eine Sicherungsdatei einlesen, und die Eintraege kommen samt Symbolen mit. Die Bindung an eine Seite folgt dem Standardprotokoll, eine neue Seite wird also durch Scannen des dort angebotenen Einrichtungscodes gebunden. Wer zum ersten Mal dabei ist, findet in der Hilfe die Schritte fuer gaengige Seiten bebildert, und der erste Eintrag steht in wenigen Minuten. Gleich danach einen verschluesselten Export ziehen und die Datei an einen verlaesslichen Ort legen — auf die eigene Platte oder in einen Cloud-Speicher, dem man traut. Einmal getan, sind ein verlorenes und ein neues Telefon kein Notfall mehr.