Authenticator-App

Eine Authenticator-App ist eine kostenlose App auf dem Handy, die einen sechsstelligen Code zeigt. Der Code wechselt alle dreißig Sekunden. Nach dem Passwort fragt die Website nach dieser Zahl, und nur das Handy in Ihrer Tasche kann sie erzeugen. Ein gestohlenes Passwort allein ist damit fast wertlos.

Zauberei steckt nicht dahinter. Beim Einrichten einigen sich Website und App auf ein langes Geheimnis, meist indem Sie ein Quadrat auf dem Bildschirm abfotografieren. Beide kennen danach dasselbe Geheimnis und dieselbe Uhrzeit und rechnen daraus immer wieder dieselben sechs Ziffern aus. An Ihr Handy wird nichts geschickt, und genau darum geht es. Die App läuft im Flugzeug, im Keller und im Dorf ohne Empfang.

Deshalb ist sie besser als ein Code per SMS. Eine SMS liest der Nachbar auf dem gesperrten Bildschirm mit. Schlimmer noch, ein Betrüger kann Ihren Mobilfunkanbieter überreden, Ihre Nummer auf seine eigene SIM-Karte zu holen, und dann landen alle Codes bei ihm. Nachrichten bleiben in vollen Netzen manchmal stundenlang hängen. Die App trifft nichts davon, weil es keine Nachricht zu stehlen gibt.

Der Fehler ist, sie in Eile einzuschalten. Wenn eine Seite das Einrichtungsquadrat zeigt, zeigt sie auch eine kurze Liste von Ersatzcodes. Bewahren Sie diese nicht auf dem Handy auf, sondern gedruckt in einer Schublade oder in einem Passwort-Manager auf dem Rechner. Richten Sie die App danach auf einem zweiten Gerät ein oder schalten Sie die verschlüsselte Sicherung der App an, damit ein verlorenes Handy nur ärgerlich ist und keine Katastrophe. Unser Eintrag zur Zwei-Faktor-Authentifizierung erklärt den Gedanken hinter dem zweiten Schritt. Linkysoft druckt diese Ersatzcodes gemeinsam mit dem Kunden aus und legt sie in den Safe, denn ein Foto auf demselben Handy ist keine Sicherung.

Ist das Handy weg und wurden die Ersatzcodes nie gespeichert, dauert die Rückholung eines Kontos oft Tage voller Nachweise, und manchmal klappt sie nie. Linkysoft hat mit Inhabern gesessen, die genau deswegen nicht mehr in ihr eigenes Firmenpostfach kamen. Fünf Minuten beim Einrichten ersparen das. In jedem Projekt für IT-Sicherheit stellen wir zuerst die Mitarbeiterkonten auf eine App um, weil dort die Kundendaten liegen, und jede Person meldet sich einmal vom zweiten Gerät an, bevor es weitergeht.