So wählen Sie eine Authenticator-App: Backups, Synchronisierung und Wiederherstellung

Eine Authenticator-App kann temporäre Codes erzeugen, die bei der Anmeldung zusätzlich zum Passwort eingegeben werden. Bei vielen Diensten registriert man die App während der Einrichtung, indem man einen QR-Code scannt; anschließend erzeugt die App Codes, die sich regelmäßig ändern. Der Code ist ein zweiter Faktor, ersetzt aber weder das Passwort noch andere Verfahren zur Kontowiederherstellung. Betrachten Sie ihn deshalb als einen Bestandteil des Zugangs und nicht als eigenständige Methode, die alle Eventualitäten abdeckt.

Diese Nutzung ist von Genehmigungsbenachrichtigungen und Passkeys zu unterscheiden. Selbst wenn eine App mehrere Funktionen vereint, werden sie nicht unbedingt auf dieselbe Weise kopiert oder wiederhergestellt. Die Dokumentation zu Google Authenticator beschreibt beispielsweise den Abruf von Bestätigungscodes; Microsoft behandelt die Sicherung von Konten getrennt vom Wiederherstellen von Anmeldedaten. Der App-Name allein verrät nicht, um welche Art von Anmeldedaten es sich handelt oder wie sie wiederhergestellt werden können.

Bei der Einrichtung eines Kontos erhält oder erzeugt die App das Material, das sie zum Generieren der Codes benötigt. Der QR-Code für die Registrierung kann vertrauliche Informationen enthalten: Er ist kein harmloses Bild, und eine für andere zugängliche Kopie könnte es ihnen ermöglichen, Codes für das Konto zu erzeugen. Veröffentlichen Sie ihn nicht, versenden Sie ihn nicht ungeschützt per Nachricht und speichern Sie ihn nicht als Screenshot in einem freigegebenen Ordner. Die App schützt ein Authentifizierungsgeheimnis; sie macht nicht automatisch jeden Ort sicher, an den dieses Geheimnis kopiert wird. Wenn der Dienst ein offizielles Verfahren zur erneuten Einrichtung des zweiten Faktors anbietet, prüfen Sie es, bevor Sie sich auf ein gespeichertes Bild verlassen.

Klären Sie vor der Auswahl, was die App genau unter „Backup“ versteht. Gemeint sein kann ein manueller Export, eine Sicherung in einem Cloud-Konto oder eine direkte Übertragung zwischen Geräten. Das sind unterschiedliche Verfahren mit unterschiedlichen Voraussetzungen und Folgen. Ein herunterladbarer Export kann den Plattformwechsel erleichtern, erzeugt aber eine Datei, die geschützt werden muss; Synchronisierung kann das Risiko verringern, Codes bei einem Defekt des Telefons zu verlieren, hängt jedoch davon ab, wie das zugehörige Konto authentifiziert und geschützt wird. Die gemeinsame Bezeichnung „Backup“ sagt für sich genommen weder aus, welche Daten enthalten sind, noch wie sie wiederhergestellt werden können.

Suchen Sie in der offiziellen Dokumentation nach konkreten Antworten und verlassen Sie sich nicht nur auf eine Kennzeichnung im App-Store. Prüfen Sie, ob die Funktion für Codes von Drittanbietern gilt, ob eine Anmeldung erforderlich ist, welchen Speicher sie nutzt, ob sie zwischen Android und iOS funktioniert, ob das Backup verschlüsselt wird und welche Schritte zur Wiederherstellung nötig sind. Wenn die Dokumentation einen Punkt nicht erklärt, halten Sie ihn als unbekannt fest, statt das Schweigen als stillschweigende Garantie zu verstehen. Außerdem müssen die Anweisungen zur Plattform und Version passen, die Sie verwenden möchten, denn die verfügbaren Schritte können variieren.

Die Unterschiede zwischen Apps zeigen, warum die jeweiligen Bedingungen wichtig sind. Google dokumentiert Möglichkeiten, mit Authenticator Codes abzurufen. Microsoft veröffentlicht getrennte Anleitungen zum Sichern und Wiederherstellen von Anmeldedaten. WatchGuard gibt seinerseits an, dass die Sicherung in iCloud oder Google Drive für Tokens von Drittanbietern gilt, nicht für eigene WatchGuard-Tokens. Daraus lassen sich die Regeln eines Produkts nicht auf ein anderes übertragen. Eine für eine Kategorie von Anmeldedaten beschriebene Funktion darf nicht für andere Kategorien vorausgesetzt werden.

Ein verfügbares Backup bedeutet nicht zwangsläufig, dass eine vollständige Wiederherstellung möglich ist. Vielleicht enthält die Sicherung nur bestimmte Kontotypen, die Wiederherstellung setzt dasselbe Betriebssystem voraus oder Sie müssen sich zunächst bei einem Cloud-Konto anmelden. Bei manchen Konten muss der zweite Faktor möglicherweise über die Website des Dienstes erneut eingerichtet werden. Die entscheidende Frage lautet nicht nur „Gibt es ein Backup?“, sondern „Kann ich jedes Konto in dem für mich wichtigen Szenario wiederherstellen?“

Prüfen Sie die Anleitungen für drei Fälle: Verlust des Telefons, geplanter Gerätewechsel und Wechsel zwischen Plattformen. Achten Sie darauf, ob die App das alte Telefon, eine PIN, ein Anbieterkonto, den Zugriff auf iCloud oder Google Drive oder einen zusätzlichen Verifizierungsschritt voraussetzt. Die Microsoft-Dokumentation beschreibt Sicherungs- und Wiederherstellungsverfahren; das bedeutet nicht, dass sich alle Kontotypen in Microsoft Authenticator identisch verhalten. Lesen Sie die passende Anleitung und die aktuellen Einschränkungen für Ihren Fall. So können Sie die Voraussetzungen einer vorbereiteten Migration von denen unterscheiden, die gelten, wenn das bisherige Gerät nicht mehr verfügbar ist.

Eine Wiederherstellung stellt den Zugriff auf das geschützte Konto nicht unbedingt wieder her, wenn die Codes verloren sind und kein verwendbares Backup existiert. Jeder Dienst kann Wiederherstellungscodes, einen Sicherheitsschlüssel, eine alternative Verifizierung oder Support anbieten. Bewahren Sie Wiederherstellungscodes geschützt und getrennt vom Passwort auf. Verwechseln Sie sie nicht mit den temporären Codes der App: Sie dienen als Notfalllösung und können einmalig verwendbar sein. Prüfen Sie außerdem die Hinweise des Dienstes zur Aufbewahrung, damit die Codes verfügbar sind, wenn Sie sie tatsächlich benötigen.

Vergleichen Sie, welche Daten mit einem Konto verknüpft sind und wo Backups gespeichert werden. Wird eine Cloud genutzt, hängt der Schutz von der Sicherheit dieses Kontos, seinen Wiederherstellungsoptionen und dem Design der App ab. Das Wort „verschlüsselt“ allein beantwortet nicht alle Fragen: Wichtig ist, ob der Anbieter auf den Inhalt zugreifen kann, ob ein nur vom Nutzer kontrollierter Schlüssel erforderlich ist und was passiert, wenn dieser Schlüssel vergessen wird. Die Wiederherstellung des Backups und der Schutz seines Inhalts hängen zusammen, sind aber nicht dieselbe Frage.

Bei einem lokalen Export können Sie eine gewisse Abhängigkeit von einem Cloud-Konto vermeiden, übernehmen aber die Verantwortung, die Datei zu schützen und aufzubewahren. Eine ungeschützte Datei auf dem Computer, in E-Mails oder in einem synchronisierten Ordner kann Geheimnisse offenlegen. Bei Synchronisierung sollten Sie stattdessen den Kontozugriff, die Wiederherstellung des Kontos und die bereits verknüpften Geräte prüfen. Die bequemste Option ist nicht automatisch die privateste oder am einfachsten wiederherzustellende.

Betrachten Sie Sicherheitsangaben als Informationen über das angekündigte Design, nicht als absoluten Sicherheitsnachweis. Prüfen Sie, wer die Dokumentation veröffentlicht, wann sie aktualisiert wurde und auf welche Funktionen sie sich bezieht. Bewertungen Dritter können helfen, Fragen oder Alternativen zu entdecken; für aktuelle Abläufe ist jedoch die Dokumentation des Entwicklers vorzuziehen. Wenn eine App Exporte ermöglicht, prüfen Sie auch, ob das Exportformat von anderen Apps gelesen werden kann und wie es geschützt wird. So können Sie nicht nur den Speicherort des Backups, sondern auch die Möglichkeiten zum Übertragen oder erneuten Verwenden einschätzen.

Solange das bisherige Telefon noch funktioniert, sollten Sie es zur Vorbereitung und Überprüfung der Übertragung nutzen. Setzen Sie das Gerät nicht zurück und löschen Sie die alte App nicht, bevor Sie geprüft haben, dass Sie sich mit dem neuen Telefon bei Ihren wichtigen Konten anmelden können. Wenn ein Konto mehrere Methoden für den zweiten Faktor zulässt, können Sie vor der Migration eine Alternative aktivieren und dabei den Anweisungen des Dienstes folgen. Wenn das alte Telefon während der Tests verfügbar bleibt, lässt sich ein Übertragungsproblem beheben, ohne die bisher funktionierende Methode sofort zu verlieren.

Eine vorsichtige Reihenfolge ist:

• Lesen Sie die Dokumentation der App und jedes wichtigen Kontos; stellen Sie fest, was übertragen wird und wofür eine Internetverbindung oder ein Cloud-Konto nötig ist.
• Richten Sie das neue Telefon ein und importieren Sie die Codes beziehungsweise stellen Sie sie mit der dokumentierten Funktion wieder her, statt vorhandene QR-Codes zu fotografieren.
• Testen Sie den Zugriff auf jeden Dienst, während das alte Gerät verfügbar bleibt.
• Bewahren Sie Wiederherstellungscodes an einem geschützten Ort auf und prüfen Sie, ob Sie wissen, wie sie verwendet werden.
• Entfernen Sie das alte Gerät erst, nachdem Sie den Zugang auf dem neuen geprüft haben, aus den Sicherheitseinstellungen der einzelnen Dienste und löschen Sie es anschließend sicher.

Es gibt keine allgemeingültige Antwort: Die Wahl hängt davon ab, ob Sie eine lokale Übertragung, die Synchronisierung zwischen Geräten, die Integration mit einem Konto oder die Unabhängigkeit von einem Anbieter priorisieren. Die verfügbaren Informationen zu Google Authenticator, Microsoft Authenticator und 2FAS Auth helfen bei der Prüfung konkreter Funktionen. Ihre Seiten sind jedoch für sich genommen weder ein umfassender Sicherheitsvergleich noch eine Garantie der Kompatibilität mit allen Konten. Vergleichen Sie daher Ihre eigenen Anforderungen und die veröffentlichten Informationen zu den einzelnen Funktionen, statt sich an einer allgemeinen Rangliste von Apps zu orientieren.

Bevor Sie installieren oder migrieren, füllen Sie die folgende Liste anhand der Informationen zur tatsächlich verwendeten Version und Plattform aus:

• Übertragung: Gibt es einen Export, eine Wiederherstellung aus einem Backup oder eine direkte Migration? Funktioniert sie zwischen Betriebssystemen?
• Umfang: Sind alle Codes enthalten oder werden bestimmte Kontotypen ausgeschlossen?
• Abhängigkeiten: Sind ein Anbieterkonto, Cloud-Speicher, das bisherige Gerät oder eine Verbindung erforderlich?
• Schutz: Was sagt die Dokumentation zu Verschlüsselung, App-Sperre und Schutz der Exportdatei?
• Wiederherstellung: Was passiert, wenn Sie das Telefon, das Cloud-Passwort oder den Verschlüsselungsschlüssel verlieren?
• Wechselmöglichkeit: Können Sie Codes in eine andere App übertragen oder jedes Konto direkt über den Dienst wiederherstellen?
• Aktualität: Gilt die Anleitung für die aktuelle Version und Plattform, und gibt es offizielle Anweisungen für den konkreten Fall?

Eine App kann Codes korrekt erzeugen und trotzdem nicht zu Ihren Anforderungen an Migration oder Wiederherstellung passen. Bei der Entscheidung sollten Sie Authentifizierungsmethode, Kontrolle über Backups, Einfachheit des Gerätewechsels und die Alternativen der jeweils geschützten Dienste gemeinsam berücksichtigen. Wählen Sie nicht allein wegen einer Synchronisierungsfunktion: Prüfen Sie, was synchronisiert wird, wie die Wiederherstellung funktioniert und wer auf das Konto mit den gespeicherten Daten zugreifen kann.

Dokumentationen ändern sich, und Funktionen können je nach Plattform, Version und Kontotyp variieren. Bestätigen Sie vor dem Übertragen der Codes das Verfahren anhand der einschlägigen offiziellen Seiten und behalten Sie den bisherigen Zugang, bis die Tests abgeschlossen sind. Ist eine Aussage zu Verschlüsselung, Wiederherstellung oder Kompatibilität nicht klar dokumentiert, behandeln Sie sie als offene Frage, die geklärt werden muss, nicht als selbstverständliche Eigenschaft. Diese Prüfung beseitigt nicht alle Risiken, hilft aber dabei, mit einem klareren Verständnis der nötigen Schritte und der akzeptierten Abhängigkeiten zu entscheiden.