Was ist eine Authenticator-App?

Eine Authenticator-App erzeugt die sechsstelligen Codes, die du nach deinem Passwort eingibst, wenn die Zwei-Faktor-Authentifizierung (2FA) an ist. Beim Einrichten zeigt der Dienst einen QR-Code mit einem geheimen Schlüssel. Die App speichert den Schlüssel und berechnet daraus und aus der Uhrzeit alle 30 Sekunden einen neuen Code. Sie funktioniert ohne Internet, und jeder Code ist einen Moment später wertlos.

So entstehen die Codes

Der QR-Code enthält einen geheimen Schlüssel, den nur der Dienst und dein Handy kennen. Alle 30 Sekunden verbindet die App den Schlüssel mit der Uhrzeit und macht daraus eine sechsstellige Zahl. Der Dienst rechnet genauso; stimmen die Zahlen überein, bist du drin. Das Verfahren ist ein offener Standard namens TOTP (RFC 6238). Deshalb funktioniert jede Authenticator-App bei jedem Dienst, der „Authenticator-App“ als Option anbietet.

Das Handy bekommt nichts zugeschickt, die App funktioniert also auch im Flugmodus. Deshalb ist auch die Uhr des Handys wichtig: Geht sie eine Minute oder mehr falsch, werden die Codes meist abgelehnt (so behebst du das).

Warum sie sicherer ist als Codes per SMS

• Eine SMS läuft über das Telefonnetz. Wer deine Nummer übernimmt – etwa indem er deinen Mobilfunkanbieter dazu bringt, eine neue SIM-Karte auszustellen (SIM-Swapping) –, bekommt auch deine Codes. Der Schlüssel einer Authenticator-App bleibt auf deinem Handy.
• Sie funktioniert im Ausland, ohne Empfang und ohne Telefonnummer.
• Nach dem Einrichten verlässt der Schlüssel das Handy nie, unterwegs gibt es also nichts abzufangen.

Perfekt ist sie nicht: Eine täuschend echte, gefälschte Anmeldeseite kann nach deinem Code fragen und ihn sofort benutzen. Prüfe die Adresse, bevor du einen Code eingibst. Passkeys lassen sich so nicht abfischen, wo ein Dienst sie unterstützt.

So richtest du sie ein

1. Installiere eine Authenticator-App.
2. Öffne beim Dienst die Sicherheitseinstellungen, suche die Zwei-Faktor-Authentifizierung oder Bestätigung in zwei Schritten und wähle Authenticator-App (nicht SMS).
3. Scanne den QR-Code mit der App. Scannen geht nicht? Die meisten Dienste zeigen den Schlüssel auch als Text zum Eintippen.
4. Gib den aktuellen Code aus der App ein, um zu bestätigen.
5. Speichere die Backup-Codes, die der Dienst anzeigt – woanders als auf dem Handy. Damit kommst du rein, wenn das Handy weg ist.

Welche App?

Alle erzeugen dieselben Codes. Der Unterschied ist, wo deine Schlüssel liegen und wie sie auf ein neues Handy kommen:

• Google Authenticator kann die Codes in deinem Google-Konto speichern oder ohne Konto arbeiten. Aufs neue Handy übertragen.
• Microsoft Authenticator erledigt auch Anmeldegenehmigungen für Microsoft- und Geschäftskonten und sichert in iCloud oder in deinem Microsoft-Konto. Aufs neue Handy übertragen.
• Passwortmanager – Apples Passwörter-App auf dem iPhone, 1Password, Bitwarden – können den Code neben dem Passwort speichern.
• Eigene Apps wie 2FAS, Ente Auth und Kode halten Codes getrennt von Passwörtern, damit ein Leck nicht beides verrät.

Einige Dienste nutzen stattdessen ihre eigene App – etwa Steam Guard. Und Genehmigungen per Tippen („Bist du das? Ja“) sind eine Funktion der App des jeweiligen Dienstes, nicht von Authenticator-Apps allgemein.

Wenn das Handy weg ist

Der Schlüssel existiert nur dort, wo die App ihn speichert. War er synchronisiert oder gesichert, bekommst du ihn auf dem neuen Handy zurück. Wenn nicht, ist er weg: Melde dich mit einem Backup-Code oder über die Kontowiederherstellung des Dienstes an und richte die Zwei-Faktor-Anmeldung neu ein. Darum sind die Backup-Codes so wichtig.

Kode

Kode ist eine iPhone-App von Peter Theill (einmalig 1,99 €), die diese Codes erzeugt – ohne Konto, ohne Werbung und ohne Netzwerkverbindungen. Deine Schlüssel liegen im Schlüsselbund des iPhone und kommen über den Ende-zu-Ende-verschlüsselten iCloud-Schlüsselbund mit auf ein neues iPhone. Kode übernimmt deine Codes aus Google Authenticator und anderen Apps: Codes zu Kode übertragen.