Authenticator-Apps und App-Passwörter: So funktionieren sie

Eine Authenticator-App erzeugt zeitbasierte Einmalpasswörter, ein Verfahren, das meist TOTP genannt wird. Wenn Sie die appbasierte Zwei-Faktor-Authentifizierung aktivieren, zeigt der Dienst einen QR-Code an. Dieser Code enthält einen geheimen Schlüssel, und beim Scannen wird eine Kopie des Schlüssels in Ihrer App gespeichert. Von da an teilen sich der Dienst und Ihr Handy dasselbe Geheimnis, und es muss nie wieder über das Netz übertragen werden.

Für einen Code kombiniert die App das Geheimnis mit der aktuellen Uhrzeit, gerundet auf ein kurzes Intervall, meist eine halbe Minute, und schickt das Ergebnis durch eine standardisierte kryptografische Funktion. Daraus leitet sie eine kurze Zahl ab, in der Regel sechsstellig. Der Server rechnet auf seiner Seite genauso und vergleicht beide Ergebnisse. Weil beide Seiten nur das Geheimnis und eine Uhr brauchen, funktioniert die App ohne Mobilfunkdaten oder WLAN.

Diese Funktionsweise erklärt das häufigste Problem: Codes werden abgelehnt, obwohl Sie sie korrekt eingegeben haben. Geht die Uhr Ihres Handys falsch, berechnet es Codes für das falsche Zeitfenster. Meist hilft es, Datum und Uhrzeit automatisch aktualisieren zu lassen, und manche Apps bieten zusätzlich eine Option zur Zeitkorrektur.

Jede App, die das Standardverfahren TOTP unterstützt, funktioniert mit den meisten Diensten; die eigentliche Wahl betrifft also den Umgang der App mit Ihren Geheimnissen. Die großen Plattformunternehmen bieten eigene Apps an, darunter Google Authenticator und Microsoft Authenticator, und viele Passwortmanager können TOTP-Codes ebenfalls speichern.

Achten Sie auf eine Möglichkeit, Ihre Codes zu sichern oder zu exportieren, denn eine App, die sie nur auf einem Handy hält, macht aus einem verlorenen Handy eine Aussperrung. Synchronisiert die App mit einem Cloud-Konto, sorgen Sie dafür, dass dieses Konto selbst gut geschützt ist, und bevorzugen Sie Apps, die die Sicherung verschlüsseln. Eine App-Sperre per Fingerabdruck, Gesicht oder PIN schützt zusätzlich, falls jemand Ihr entsperrtes Handy in die Hand nimmt.

Manche Authenticator-Apps bieten für Konten des eigenen Unternehmens auch Push-Bestätigungen an, bei denen Sie eine Anmeldung per Tipp bestätigen, statt einen Code einzugeben. Das ist bequem, funktioniert aber nur mit diesem Anbieter. Bei allen anderen Diensten verhält sich die App wie ein gewöhnlicher Codegenerator.

Wählen Sie in den Sicherheitseinstellungen des Kontos die Option zum Einrichten einer Authenticator-App. Scannen Sie den QR-Code mit der App oder geben Sie den Einrichtungsschlüssel von Hand ein, falls Sie nicht scannen können. Der Dienst fragt dann nach dem aktuellen Code, um zu prüfen, ob die Einrichtung geklappt hat. Überspringen Sie diesen Schritt nicht und schließen Sie die Seite erst, wenn der Code akzeptiert wurde.

Geben Sie jedem Eintrag einen eindeutigen Namen, sofern die App das erlaubt, besonders wenn Sie mehrere Konten beim selben Dienst verwalten. Ein Eintrag, der nur den Markennamen zeigt, lässt sich leicht mit einem anderen verwechseln, und wer den falschen Eintrag löscht, kann sich aussperren.

Speichern Sie zugleich die Backup- oder Wiederherstellungscodes, die der Dienst anbietet. Sie sind der einfachste Weg zurück, wenn das Handy mit Ihrer Authenticator-App verloren geht, bevor Sie Ihre Codes gesichert haben.

Die sicherste Regel ist einfach: Richten Sie das neue Handy ein, solange das alte noch funktioniert. Setzen Sie das alte Gerät nicht zurück, verkaufen Sie es nicht und geben Sie es nicht in Zahlung, bevor jeder Code übertragen und getestet ist.

Viele Authenticator-Apps haben eine Übertragungs- oder Exportfunktion, die auf dem alten Handy einen oder mehrere QR-Codes anzeigt, die das neue Handy scannt. Andere stellen Ihre Einträge aus einer verschlüsselten Cloud-Sicherung wieder her, wenn Sie sich auf dem neuen Gerät anmelden. Melden Sie sich nach der Übertragung bei einigen Konten mit den neuen Codes an, um zu prüfen, dass sie übereinstimmen.

Hat Ihre App keine Übertragungsfunktion, übertragen Sie die Konten einzeln. Melden Sie sich bei jedem Dienst an, öffnen Sie dessen Zwei-Faktor-Einstellungen, wählen Sie, die Authenticator-App hinzuzufügen oder zu ändern, scannen Sie den neuen QR-Code mit dem neuen Handy und bestätigen Sie den Code. Bei vielen Diensten funktioniert der alte Eintrag nicht mehr, sobald das Geheimnis ersetzt wurde; löschen Sie ihn danach, um Verwechslungen zu vermeiden. Halten Sie Ihre Backup-Codes während des Umzugs bereit, falls mittendrin etwas schiefgeht.

Ein App-Passwort ist ein langes, zufällig erzeugtes Passwort, mit dem sich eine bestimmte App oder ein bestimmtes Gerät an Ihrem Konto anmelden kann, ohne die Zwei-Faktor-Authentifizierung zu durchlaufen. Es ist für ältere Software gedacht, die nur Benutzername und Passwort versteht und weder eine Code-Abfrage anzeigen noch eine Anmeldeseite öffnen kann.

Unter anderem Google-, Microsoft- und Yahoo-Konten lassen App-Passwörter in den Sicherheitseinstellungen des Kontos erstellen, meist erst, nachdem die Bestätigung in zwei Schritten aktiviert wurde. Manche Kontotypen, etwa bestimmte Arbeits- oder Schulkonten oder Konten in den strengsten Sicherheitsprogrammen, bieten sie unter Umständen gar nicht an. Ein App-Passwort sehen Sie normalerweise nur einmal, nämlich beim Erstellen; fügen Sie es also gleich in die App ein.

Weil ein App-Passwort den zweiten Faktor überspringt, behandeln Sie es wie ein vollwertiges Passwort für das Postfach, das es schützt. Erstellen Sie für jede App und jedes Gerät ein eigenes, geben Sie ihm einen aussagekräftigen Namen, wo der Dienst das erlaubt, und verwenden Sie es nirgendwo sonst.

Moderne E-Mail-Apps melden sich bei den großen Anbietern über ein browserähnliches Anmeldefenster an, das die Zwei-Faktor-Authentifizierung direkt abwickelt; ein App-Passwort brauchen sie nicht. Typischerweise benötigen Sie eines nur, wenn sich ein Programm oder Gerät mit einfachen IMAP-, POP- oder SMTP-Einstellungen und einem schlichten Passwortfeld verbindet: ältere Desktop-Mailprogramme, manche Mail-Apps auf dem Handy, Scanner und Drucker, die E-Mails versenden, Sicherungsprogramme, Skripte und ältere Smart-Geräte.

Ein guter Test ist, zuerst die normale Anmeldung zu versuchen. Öffnet die App die Anmeldeseite des Anbieters, nutzen Sie diese. Bietet sie nur Servereinstellungen an und lehnt Ihr korrektes Passwort weiter ab, nachdem Sie die Bestätigung in zwei Schritten aktiviert haben, ist das das Signal, ein App-Passwort zu erstellen, es anstelle Ihres normalen Passworts einzugeben und die übrigen Einstellungen unverändert zu lassen.

Anbieter lenken die Menschen seit einiger Zeit weg von der einfachen Passwortanmeldung für Apps von Drittanbietern, deshalb kann ein App-Passwort, das heute funktioniert, später nicht mehr unterstützt werden. Verbindet sich ein Programm, auf das Sie angewiesen sind, nicht mehr, prüfen Sie, ob eine neuere Version die moderne Anmeldemethode unterstützt, bevor Sie noch ein weiteres App-Passwort erstellen.

Prüfen Sie Ihre App-Passwörter von Zeit zu Zeit in den Sicherheitseinstellungen des Kontos und widerrufen Sie alle, die Sie nicht mehr nutzen, besonders für Geräte, die Sie verkauft haben, oder Programme, die Sie deinstalliert haben. Manche Anbieter listen jedes App-Passwort einzeln auf, andere lassen nur zu, alle auf einmal zu entfernen. Bei manchen Diensten widerruft das Ändern Ihres Hauptpassworts auch bestehende App-Passwörter; seien Sie darauf gefasst, danach neue zu erstellen.

Haben Sie ein E-Mail-Konto von jemand anderem erhalten, zum Beispiel über einen Marktplatz für digitale Güter wie rStock, entfernen Sie alle App-Passwörter und Authenticator-Einträge, die Sie nicht selbst angelegt haben, richten Sie dann Ihre eigene Authenticator-App ein und erzeugen Sie neue Backup-Codes. Auf rStock erscheint der gelieferte Inhalt auf Ihrer Bestellseite als Lieferprotokoll, das mit der Bestellung verknüpft ist; kopieren Sie die Angaben also in Ihren Passwortmanager, bevor Sie etwas ändern. Nutzen Sie jedes Konto, das Sie erhalten, im Einklang mit den Nutzungsbedingungen des Anbieters, und beachten Sie, dass rStock in keiner Verbindung zu Google, Microsoft, Yahoo oder einem anderen in diesem Artikel genannten Anbieter steht.

Halten Sie schließlich Authenticator-App, Backup-Codes und App-Passwörter nach Möglichkeit voneinander getrennt. Ein einziges gestohlenes Handy oder ein durchgesickerter Notizzettel sollte nie genügen, um jemandem alle Schlüssel zu Ihrem E-Mail-Postfach in die Hand zu geben.