Hinter dem Passwort steht eine zweite Tuer

Ein Passwort geht durch mehr Kanaele verloren, als die meisten erwarten. Eine einzige Panne legt ein Passwort offen, das anderswo wiederverwendet wurde, und ein gestohlener Zugang oeffnet damit gleich mehrere Konten. Eine Anmeldeseite, die echt aussieht, sammelt alles Getippte ein und reicht es weiter. Schadsoftware auf einem Geraet liest Zugangsdaten mit, waehrend sie vorbeikommen. Gegen all das ist ein einzelnes Passwort eine duenne Linie, und das ist es seit Jahren.

Die Zwei Faktor Pruefung geht einen anderen Weg: sie legt ein Schloss dazu, das man bei sich traegt. Bei der Anmeldung gibt es das Passwort und danach einen Code, der nur auf dem eigenen Telefon existiert und sich alle dreissig Sekunden aendert. Ein Passwort laesst sich aus einem anderen Land kopieren; dieser zweite Faktor nicht, solange das Geraet nicht in der Hand liegt. Wer das Passwort hat, steht trotzdem vor einer Tuer, die eine Nummer verlangt, die er nicht besitzt.

Google Authenticator hat diese Idee alltaeglich gemacht. Das Werkzeug steht am Anfang der Kategorie und gilt als ihr faktischer Standard, und es ist minimal bis zur Kargheit: eine Spalte mit sechs laufenden Ziffern, sonst nichts, was um Aufmerksamkeit buhlt. Hinter dieser Einfachheit liegt die breiteste Abdeckung aller Authenticator Programme, und genau deshalb nennen so viele Seiten es zuerst, wenn sie zur Aktivierung auffordern.

Drei Minuten fuer ein festeres Konto

Die Einrichtung verlangt einem Anfaenger nichts ab. In den Sicherheitseinstellungen einer Seite, die Einmalcodes unterstuetzt, die Zwei Faktor Pruefung einschalten und den QR Code mit dieser Anwendung erfassen. Ein Code erscheint sofort, einmal eingeben, und die Verbindung steht. Ab dann will jede Anmeldung das Passwort und den aktuellen Code, und wer das Passwort gefunden hat, kommt trotzdem nicht durch. Das Ganze dauert etwa so lange wie eine Tasse Tee.

Jahrelang lag die schwaechste Stelle dort, wo niemand damit warb: ein neues Telefon bedeutete den Verlust aller Schluessel und damit den Zugang zu jedem gebundenen Konto. Das ist behoben. Schluessel lassen sich jetzt ueber die Cloud des Kontos sichern, und nach der Anmeldung auf einem neuen Geraet stellt ein Griff sie wieder her. Genau dieser Nachtrag hat aus einem zerbrechlichen Werkzeug etwas gemacht, das man ueber Geraetewechsel hinweg ohne Sorge mitnimmt.

Das wiegt schwerer, als es klingt, weil der zweite Faktor eine andere Art von Geheimnis ist. Ein Passwort ist etwas, das man weiss, und Wissen laesst sich teilen, erraten, abfragen oder ueber die Schulter hinweg mitlesen. Ein laufender Code ist etwas, das man hat, erzeugt in einem Geraet, das bei einem bleibt, und er verfaellt, bevor jemand eine Kopie nutzen kann. Die beiden Arten zu scheitern fallen nicht zusammen, und genau darum geht es: ein Angreifer muss beide Aufgaben gleichzeitig loesen, und die zweite laesst sich nicht so skalieren wie die erste. Fuer den Alltag heisst das: der Aufwand bleibt bei einem selbst sehr klein, waehrend er fuer die andere Seite unverhaeltnismaessig waechst.

Die Haltung von Google Authenticator heisst: wenig ist sicher. Kein soziales Netz, keine Mitteilungen, nichts Ueberfluessiges. In den dreissig Sekunden, in denen man sich anmeldet, reicht es sechs Ziffern herueber und tritt wieder zur Seite.

Die Empfehlung folgt direkt daraus. Zuerst einschalten fuer Mail, Cloud Speicher und alles, was an Zahlungen haengt, denn diese Konten erschliessen die uebrigen. Den Screenshot des Sicherungsschluessels oder die Wiederherstellungscodes muessen an einem sicheren Ort liegen, weil dieser Beleg bei einem verlorenen Telefon die letzte Rettung ist. Die Sicherung ueber die Cloud ist bequem, und wer es strenger will, kann weiterhin auf sie verzichten und die Anwendung offline nutzen.

Es kostet nichts, es draengt sich nicht auf, und es deckt beide mobilen Plattformen ab. Als erster Authenticator laesst sich kaum etwas leichter empfehlen: drei Minuten Einrichtung, und die wichtigsten Konten liegen hinter einem zweiten Schloss, das sonst niemand oeffnet.

Nichts davon macht die Anwendung sehenswert, und das ist Absicht. Es gibt keinen Strom zum Scrollen, kein Abzeichen zum Wegklicken, keine Funktion, die zur Erkundung lockt. Sie liegt in einem Ordner, wacht auf, wenn eine Anmeldeseite sechs Ziffern verlangt, und wird wieder still. Werkzeuge, die etwas bewachen, gewinnen Vertrauen meist dadurch, dass sie langweilig sind, und dieses ist im besten Sinn sehr lange langweilig gewesen.