Was ist eine Authenticator-App? Definition und Nutzen
Eine Authenticator-App ist eine Smartphone-Anwendung, die zeitbasierte Einmalpasswörter (TOTP) für die Zwei-Faktor-Authentifizierung generiert. Sie erzeugt in regelmäßigen Abständen – typischerweise alle 30 Sekunden – einen neuen Code, den ihr zusätzlich zu eurem Passwort beim Login eingeben müsst. Die genaue Länge und der Zeitabstand können je nach Dienst variieren.
Die App funktioniert komplett offline und ist damit deutlich sicherer als SMS-Codes, die abgefangen werden können. Bekannte Beispiele sind Google Authenticator, Microsoft Authenticator oder Authy.
Ihr scannt beim Einrichten einen QR-Code, und die App synchronisiert sich mit dem jeweiligen Dienst. Ab dann generiert sie automatisch die Sicherheitscodes für eure Konten – egal ob für E-Mail, Social Media, Banking oder Cloud-Dienste.
Wie funktioniert eine Authenticator-App? TOTP erklärt
Das Herzstück jeder Authenticator-App ist ein kryptografischer Algorithmus, der auf einem gemeinsamen Geheimnis basiert. Wenn ihr einen Dienst mit der App verbindet, wird beim Einrichten ein einzigartiger Schlüssel einmalig zwischen eurem Smartphone und dem Server ausgetauscht – typischerweise durch das Scannen eines QR-Codes oder manuelle Eingabe.
Dieser Schlüssel wird auf eurem Gerät und auf dem Server gespeichert. Bei der laufenden Anmeldung wird dieser Schlüssel nicht mehr übertragen, sondern nur lokal zur Code-Berechnung verwendet. Die App kombiniert diesen Schlüssel mit der aktuellen Zeit und berechnet daraus einen Code.
Der Server macht exakt die gleiche Berechnung. Wenn euer eingegebener Code mit dem vom Server berechneten übereinstimmt, seid ihr authentifiziert.
In vielen Implementierungen ändern sich die Codes etwa alle 30 Sekunden automatisch. Das bedeutet: Die Codes sind kurzlebig und typischerweise nur für einen kurzen Zeitraum gültig.
Der große Vorteil: Die App benötigt keine Internetverbindung. Sie nutzt nur die interne Uhr eures Smartphones und den gespeicherten Schlüssel.
Deshalb funktionieren Authenticator-Apps auch im Flugmodus oder im Ausland ohne Roaming. Die Zeitbasierten Einmalpasswörter (TOTP) folgen dem Standard RFC 6238, der von vielen Diensten unterstützt wird.
Manche Apps wie Microsoft Authenticator bieten zusätzlich Push-Benachrichtigungen an. Statt einen Code einzugeben, bestätigt ihr den Login direkt in der App mit einem Fingertipp.
Sicherheit erhöhen: Vorteile von Authenticator-Apps
Passwörter allein reichen heute nicht mehr aus. Datenlecks und Phishing-Angriffe haben Millionen von Zugangsdaten kompromittiert.
Eine Authenticator-App fügt eine zweite Sicherheitsebene hinzu, die Angreifer selbst mit eurem Passwort nicht überwinden können. Sie müssten zusätzlich physischen Zugriff auf euer Smartphone haben.
Im digitalen Alltag sind TOTP-basierte Authentifizierungsmethoden weit verbreitet und werden von zahlreichen E-Mail-Anbietern, sozialen Netzwerken, Cloud-Diensten und anderen Online-Plattformen unterstützt. Auch im Banking- und Finanzbereich kommen sie häufig zum Einsatz.
Der praktische Nutzen ist enorm: Selbst wenn Hacker euer Passwort durch einen Phishing-Angriff erbeuten, kommen sie ohne den aktuellen Code aus eurer App nicht rein. Die Zwei-Faktor-Authentifizierung (2FA) reduziert das Risiko automatisierter Angriffe deutlich.
Gegenüber SMS-Codes bieten Authenticator-Apps deutlich mehr Sicherheit. SMS können durch SIM-Swapping-Angriffe abgefangen werden, bei denen Kriminelle eure Telefonnummer auf eine neue SIM-Karte übertragen.
Außerdem seid ihr mit einer App unabhängig vom Mobilfunknetz – ideal auf Reisen oder in Gebieten mit schlechtem Empfang.
Google Authenticator vs. andere Apps: Die wichtigsten Unterschiede
Viele denken, Authenticator-Apps würden ihre Daten an Google oder Microsoft senden. Tatsächlich werden TOTP-Codes lokal auf dem Gerät aus einem gespeicherten Geheimnis und der aktuellen Zeit berechnet. Allerdings bieten einige Apps zusätzliche Cloud-Backup-Funktionen an, bei denen verschlüsselte Kontodaten synchronisiert werden.
Der Name „Google Authenticator“ bedeutet nicht, dass die App nur für Google-Dienste funktioniert. Ihr könnt damit Konten von hunderten verschiedenen Anbietern schützen – von Facebook bis GitHub.
Ein weiteres Missverständnis: „Wenn mein Handy kaputt geht, komme ich nie wieder in meine Konten.“ Tatsächlich bieten die meisten Dienste Backup-Codes an, die ihr beim Einrichten der 2FA ausdrucken oder sicher speichern solltet.
Authy bietet beispielsweise Cloud-Backups der Accounts mit clientseitiger Verschlüsselung an. Authenticator-Apps sind auch keine Passwort-Manager – sie ersetzen eure Passwörter nicht, sondern ergänzen sie nur.
Manche verwechseln sie mit Hardware-Token wie YubiKeys. Authenticator-Apps sind Software-Lösungen auf dem Smartphone, während Hardware-Token physische USB-Sticks sind.
Authenticator-Apps im Vergleich: Welche ist die beste?
Die Entwicklung geht in Richtung Passkeys nach FIDO-Standards, die die Anmeldung vereinfachen und Passwörter in vielen Szenarien ersetzen können. Diese Technologie nutzt kryptografische Schlüssel und kann biometrische Authentifizierung einbeziehen.
Verwandte Sicherheitskonzepte sind Multi-Faktor-Authentifizierung (MFA), die mehr als zwei Faktoren kombiniert, und Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard. Für maximale Sicherheit bei kritischen Konten empfehlen Experten die Kombination mehrerer Methoden.
Es existieren auch Open-Source-Authenticator-Apps, die volle Transparenz durch öffentlich einsehbaren Quellcode bieten und erweiterte Funktionen für technikaffine Nutzer bereitstellen. Die meisten großen Tech-Konzerne arbeiten an Standards für geräteübergreifende Synchronisation, damit der Wechsel zwischen Smartphones einfacher wird.
