So sichern Sie Ihre Codes für die Zwei-Faktor-Authentifizierung

Das zweite Schloss an jeder Tür

Passwörter reichen schon lange nicht mehr. Sie tauchen in Datenlecks auf, werden über Websites hinweg wiederverwendet und lassen sich erraten, abphishen oder kaufen. Die Zwei-Faktor-Authentifizierung ist die Lösung, die tatsächlich funktioniert: Selbst mit Ihrem Passwort in der Hand braucht ein Angreifer noch den sechsstelligen Code, den Ihr Telefon alle dreißig Sekunden neu erzeugt. Jedes Konto, das Ihnen wichtig ist, sollte dieses zweite Schloss haben.

Doch das zweite Schloss bündelt alles in einem einzigen Gerät. Die geheimen Schlüssel hinter den Codes liegen meist nur in der Authenticator-App auf Ihrem Telefon. Geht es verloren, geht es kaputt oder sterben Sie, während es gesperrt ist, sind die Codes weg – und eine Mauer, die Angreifer aussperren soll, sperrt genauso zuverlässig Sie selbst und später Ihre Familie aus. Selbst wer Ihre Passwörter besitzt, kommt nicht daran vorbei.

Woran die üblichen Sicherungen scheitern

• Gar keine Sicherung

  Die meisten scannen beim Einrichten einmal einen QR-Code und denken nie wieder daran – damit ist jedes geschützte Konto nur ein heruntergefallenes Telefon von der Unerreichbarkeit entfernt.

• Ausweichen auf SMS

  Codes per SMS sind der schwächste zweite Faktor und hängen an einer Telefonnummer – die zu Lebzeiten gekapert und nach dem Tod gekündigt oder neu vergeben wird.

• Backup-Codes in einer verlorenen Datei

  Die Einmalcodes, die ein Dienst beim Einrichten anbietet, landen als Screenshot im Download-Ordner oder in einer Mail an sich selbst – unverschlüsselt, Jahre später kaum auffindbar und nur für dieses eine Konto gültig.

• Vertrauen auf Cloud-Sync

  Manche Authenticator-Apps synchronisieren in die Cloud, doch die Wiederherstellung hängt oft an derselben Telefonnummer oder einem bereits angemeldeten Gerät – genau dem, was Sie gerade verloren haben.

So exportieren Sie Ihre Codes

• Die Export-Funktion finden

  In Google Authenticator: Einstellungen, dann Konten übertragen, dann Konten exportieren. In 2FAS und Aegis suchen Sie in den Einstellungen nach Backup oder Export. Einige Apps – allen voran Authy – bieten gar keinen Export an; dort ist die eigene Geräte-Synchronisierung der nächstbeste Ersatz.

• Die QR-Codes erzeugen

  Die App zeigt einen oder mehrere QR-Codes, die die geheimen Schlüssel aller ausgewählten Konten enthalten. Gedacht sind sie für den Umzug auf ein neues Telefon – genau das macht sie zu einer vollständigen Sicherung.

• Jeden Code abfotografieren

  Machen Sie von jedem angezeigten QR-Code einen Screenshot, auf demselben Telefon. Zusammen sind diese Bilder eine vollständige, wiederherstellbare Kopie Ihres zweiten Faktors.

• Wiederherstellen heißt nur scannen

  Wann immer die Kopie gebraucht wird – von Ihnen mit einem neuen Telefon oder von Ihrer Familie mit dem, was Sie hinterlassen haben –, genügt es, eine beliebige Authenticator-App zu installieren und die Bilder zu scannen.

Behandeln Sie die Screenshots wie scharfe Schlüssel

• Nur auf eigenen Geräten

  Exportieren und fotografieren Sie nur auf Hardware, die Sie kontrollieren – nie am Arbeitsrechner, nie auf einem fremden Telefon. Wer diese Bilder besitzt, kann Ihre Codes erzeugen.

• Sofort verschieben

  Die Screenshots sollten keinen Nachmittag in Ihrer Fotogalerie liegen. Bringen Sie sie in dem Moment an ihren Bestimmungsort, in dem Sie sie aufnehmen.

• Jede Spur löschen

  Entfernen Sie die Bilder aus der Galerie, dann aus „Zuletzt gelöscht“, und prüfen Sie jede Cloud-Fotosynchronisierung, die sie bereits erfasst haben könnte.

• Bei Änderungen neu exportieren

  Jedes Konto, das Sie Ihrem Authenticator hinzufügen, macht den alten Export unvollständig. Richten Sie ein neues Konto ein, exportieren Sie erneut und ersetzen Sie die Kopie.

Ein Ort, der dafür gebaut ist

Wo die Screenshots landen, ist so wichtig wie sie anzufertigen. Die Kopie muss verschlüsselt sein, neben den Passwörtern liegen, zu denen sie gehört – ein Code ohne sein Passwort öffnet nichts, und zunehmend gilt auch das Umgekehrte – und eines Tages die richtige Person erreichen können, ohne heute für irgendjemanden lesbar zu sein.

Genau dafür gibt es die PostMortem-Nachrichtenbox. Fügen Sie die exportierten QR-Bilder als Anhänge neben den Kontodaten und Passwörtern ein, zu denen sie gehören. Alles wird auf Ihrem Gerät verschlüsselt – unlesbar für alle, auch für PostMortem – und erst dann an Ihre Empfänger freigegeben, wenn Sie auf die regelmäßigen Check-ins nicht mehr reagieren. Und weil die Box Ihnen gehört, wartet dieselbe Kopie auch auf Sie, wenn Sie eines Tages ein Ersatztelefon einrichten.