Authenticator-App

Eine Authenticator-App ist eine kostenlose App auf dem Handy, die einen sechsstelligen Code zeigt, und dieser Code wechselt alle dreißig Sekunden. Nach dem Passwort fragt die Website nach der Zahl, die gerade zu sehen ist, und nur das Handy in Ihrer Tasche kann sie erzeugen. Ein gestohlenes Passwort allein ist damit fast wertlos.

Zauberei steckt nicht dahinter. Beim Einrichten einigen sich Website und App auf ein langes Geheimnis, meist indem Sie ein Quadrat auf dem Bildschirm abfotografieren. Beide kennen danach dasselbe Geheimnis und dieselbe Uhrzeit, und daraus rechnen beide immer wieder dieselben sechs Ziffern aus. An Ihr Handy wird nichts geschickt, und genau darum geht es. Deshalb läuft die App auch im Flugzeug, im Keller und im Dorf ohne Empfang.

Aus demselben Grund ist sie besser als ein Code per SMS, den der Nachbar auf dem gesperrten Bildschirm mitliest. Schlimmer noch, ein Betrüger kann Ihren Mobilfunkanbieter überreden, Ihre Nummer auf seine eigene SIM-Karte zu holen, und dann landen alle Codes bei ihm. Nachrichten hängen in vollen Netzen außerdem stundenlang fest, gerade wenn Sie eine brauchen. Die App trifft nichts davon, weil es keine Nachricht zu stehlen gibt.

Der Fehler ist, sie in Eile einzuschalten, denn dieselbe Seite, die das Einrichtungsquadrat zeigt, zeigt auch eine kurze Liste von Ersatzcodes. Bewahren Sie diese nicht auf dem Handy auf, sondern gedruckt in einer Schublade oder in einem Passwort-Manager auf dem Rechner. Richten Sie die App danach auf einem zweiten Gerät ein oder schalten Sie ihre verschlüsselte Sicherung an, damit ein verlorenes Handy nur ärgerlich ist und keine Katastrophe. Unser Eintrag zur Zwei-Faktor-Authentifizierung erklärt den Gedanken hinter diesem zweiten Schritt. Linkysoft druckt die Ersatzcodes gemeinsam mit dem Kunden aus und legt sie in den Safe, denn ein Foto auf demselben Handy ist keine Sicherung.

Ist das Handy weg und wurden die Ersatzcodes nie gespeichert, dauert die Rückholung eines Kontos oft Tage voller Nachweise, und manchmal klappt sie nie. Linkysoft hat mit Inhabern gesessen, die genau deswegen nicht mehr in ihr eigenes Firmenpostfach kamen, obwohl fünf Minuten beim Einrichten gereicht hätten. Deshalb stellen wir in jedem Projekt für IT-Sicherheit zuerst die Mitarbeiterkonten auf eine App um, weil dort die Kundendaten liegen. Jede Person meldet sich danach einmal vom zweiten Gerät an, bevor es weitergeht.