Authentifikator - Authkey 2FA

Analyse von Appcrazy

Bei einem verlorenen Passwort ist der zusätzliche Bestätigungscode oft der Moment, an dem aus einem kurzen Login eine nervige Suche wird. Authentifikator - Authkey 2FA richtet sich genau an solche Kontozugriffe und gehört auf Android in die Kategorie der Werkzeuge. Ich habe die App mit dem Blick auf den Alltag betrachtet: nicht nur, ob ein Code erscheint, sondern auch, an welchen Stellen die Einrichtung ins Stocken geraten kann und wie man sich bei einem fehlgeschlagenen Anmeldeversuch sinnvoll weiterarbeitet.

Der Ansatz ist leicht verständlich. Ein Dienst verlangt neben dem Passwort eine moderne Verifizierung, und die Authentifikator-App soll den dafür benötigten Schritt begleiten. Der Entwickler QR Scanner Team positioniert sie als kostenlose App, wobei über Google Play zusätzlich In-App-Käufe zwischen 5,49 € und 54,99 € angeboten werden. Für eine einfache Nutzung ist das ein Punkt, den ich vor der Installation im Hinterkopf behalten würde: Kostenloser Download und mögliche kostenpflichtige Optionen sind nicht dasselbe.

Wo die Einrichtung in der Praxis ins Stocken gerät

Die meisten Schwierigkeiten entstehen meiner Erfahrung nach nicht beim späteren Öffnen der App, sondern beim ersten Verbinden mit einem Konto. Der Dienst, den man absichern möchte, zeigt normalerweise einen QR-Code oder einen Einrichtungsschlüssel an. Genau hier muss man konzentriert arbeiten: Der Code gehört zu diesem konkreten Konto, und der anschließend erzeugte Zahlencode muss in das richtige Feld der Kontoeinstellungen eingetragen werden.

Ein häufiger Fehler ist, den QR-Code auf demselben Smartphone anzeigen zu wollen, auf dem der Authentifikator eingerichtet wird. Das ist unbequem, weil man nicht gleichzeitig die Webseite oder App des Kontos und den Scanner übersichtlich vor sich hat. Praktischer ist ein zweites Gerät, ein Computerbildschirm oder ein ausgedruckter Einrichtungscode. So kann ich die Konto-Einrichtung geöffnet lassen, während ich Authkey 2FA auf dem Smartphone verwende.

Wenn ein QR-Code nicht erkannt wird, sollte man nicht sofort mehrfach neue Codes anfordern. Zuerst lohnt sich ein sauberer Blick auf die Darstellung: Helligkeit erhöhen, Reflexionen vermeiden und den Code vollständig im sichtbaren Bereich halten. Bei einem Screenshot oder Foto kann eine starke Verkleinerung die Erkennung erschweren. Ein zweiter Versuch mit größerem Abstand und ruhiger Hand ist oft sinnvoller als hektisches Wechseln zwischen mehreren Einrichtungsseiten.

Wer den Einrichtungsschlüssel manuell eingibt, sollte Zeichen für Zeichen vergleichen. Ein einzelner Tippfehler kann dazu führen, dass zwar Codes angezeigt werden, aber keiner davon akzeptiert wird. Ich würde den Schlüssel nicht in eine öffentliche Notiz-App kopieren und auch nicht per Nachricht weiterleiten. Er ist kein normales Passwort, aber er kann die Grundlage für die Code-Erzeugung bilden und sollte deshalb genauso sorgfältig behandelt werden.

Werbung

Nach dem Scannen oder Eingeben ist der Vorgang noch nicht abgeschlossen. Der Dienst verlangt üblicherweise einen aktuell angezeigten Code zur Bestätigung. Hier darf man sich nicht von einem abgelehnten ersten Versuch entmutigen lassen. Wenn der Code gerade wechselt, kann es helfen, den nächsten vollständigen Code abzuwarten und ihn ohne zusätzliche Leerzeichen einzugeben. Entscheidend ist außerdem, dass die Uhrzeit des Smartphones korrekt eingestellt ist.

Die wichtigsten Prüfungen vor dem ersten Login

Die App selbst ist nur ein Teil der Kette. Vor dem Einrichten prüfe ich deshalb, ob das Smartphone eine stabile Internetverbindung hat und ob die Konto-Webseite oder der jeweilige Dienst ebenfalls erreichbar ist. Der spätere Code kann zwar je nach Dienst ohne dauerhafte Verbindung angezeigt werden, doch Einrichtung, Anmeldung und Wiederherstellung können zusätzliche Online-Schritte verlangen. Eine kurz unterbrochene Verbindung wirkt dann schnell wie ein Fehler des Authentifikators.

Werfen Sie einen Blick auf unseren Blog

Auch die Systemvoraussetzung sollte man beachten: Authkey 2FA läuft ab Android 6.0. Auf einem älteren Gerät ist die Installation damit keine gute Ausgangsbasis. Wer ein kompatibles Smartphone nutzt, sollte außerdem ausreichend freien Speicher und eine aktuelle Systemzeit sicherstellen. Die Uhrzeit ist bei zeitabhängigen Codes besonders wichtig; schon eine deutlich falsche Gerätezeit kann zu Ablehnungen führen, obwohl der Einrichtungsschlüssel korrekt war.

Ich empfehle, die Kontoeinrichtung erst dann zu beenden, wenn der neue Anmeldeweg wirklich getestet wurde. Viele Dienste zeigen zusätzlich Wiederherstellungscodes an. Diese sollte man nicht einfach wegklicken. Ich würde sie offline an einem sicheren Ort aufbewahren, getrennt vom Smartphone. Sie können entscheidend sein, wenn das Gerät verloren geht, beschädigt wird oder die App nach einem Wechsel nicht sofort wieder mit dem Konto verknüpft ist.

Ein weiterer praktischer Check betrifft die Namensgebung. Wenn mehrere Konten eingerichtet werden, sollte man sie so benennen, dass man den Dienst später eindeutig erkennt. Ein unklarer Eintrag macht die Anmeldung unnötig riskant, besonders wenn mehrere Codes gleichzeitig sichtbar sind. Bevor ich einen Code kopiere, kontrolliere ich deshalb immer den Kontonamen und die Webseite, bei der ich mich gerade anmelde.

Die aktuelle Version 1.1.5 ist für Geräte mit dem genannten Android-Unterbau gedacht. Eine Versionsnummer allein sagt allerdings wenig darüber aus, wie reibungslos jede einzelne Konto-Plattform funktioniert. Authentifikator-Apps arbeiten mit unterschiedlichen Einrichtungsseiten und Sicherheitsabläufen. Deshalb sollte man die Anleitung des jeweiligen Dienstes nicht überspringen, auch wenn der Scan zunächst unkompliziert aussieht.

Was ich bei einem abgelehnten Code zuerst tun würde

Wenn ein Code nicht akzeptiert wird, gehe ich in einer festen Reihenfolge vor. Zuerst kontrolliere ich, ob ich wirklich das richtige Konto geöffnet habe. Danach prüfe ich die Uhrzeit des Smartphones, die Eingabe ohne Leerzeichen und den Zeitpunkt des Codes. Erst wenn diese Punkte stimmen, würde ich die Verbindung zwischen Dienst und App erneut einrichten.

Wichtig ist, nicht ständig auf „erneut senden“ oder ähnliche Schaltflächen zu tippen, wenn der Dienst dadurch neue Sicherheitsabläufe startet. Bei manchen Anmeldeseiten kann ein zu häufiges Wiederholen vorübergehend zusätzliche Prüfungen auslösen. Ruhiges Vorgehen ist hier nicht nur angenehmer, sondern schützt auch davor, die Ursache durch mehrere parallele Versuche zu verschleiern.

Ein nützlicher Alltagstest ist die Anmeldung in einem privaten Browserfenster oder auf einem zweiten Gerät. Dadurch lässt sich besser unterscheiden, ob die App den Code falsch erzeugt oder ob die ursprüngliche Sitzung im Browser festhängt. Wenn der Code auf einem zweiten Gerät akzeptiert wird, liegt die Ursache wahrscheinlich eher an der ersten Sitzung, an gespeicherten Cookies oder an einem abgelaufenen Anmeldefenster.

Wiederherstellung, Gerätewechsel und die Grenzen der App

Der kritischste Moment kommt oft nicht bei der ersten Einrichtung, sondern beim Gerätewechsel. Wer das alte Smartphone noch besitzt, sollte die Konten nicht vorschnell löschen. Ich würde zuerst jedes Konto einzeln auf dem neuen Gerät einrichten und den Login testen. Erst danach würde ich das alte Gerät zurücksetzen oder die App entfernen. Dieser zusätzliche Schritt dauert länger, verhindert aber, dass man sich aus mehreren Konten gleichzeitig aussperrt.

Wenn das alte Gerät verloren oder defekt ist, helfen die zuvor gesicherten Wiederherstellungscodes, sofern der jeweilige Dienst solche Codes bereitgestellt hat. Alternativ kann die Kontoplattform eine eigene Wiederherstellung anbieten. Authkey 2FA kann in diesem Fall nicht einfach das verlorene Gerät ersetzen, weil die Beziehung zwischen Konto, Einrichtungsschlüssel und Sicherheitsdienst wiederhergestellt werden muss. Das ist keine Schwäche, die nur diese App betrifft, sondern eine grundlegende Eigenschaft der Zwei-Faktor-Absicherung.

Ich würde deshalb niemals davon ausgehen, dass eine Deinstallation automatisch eine sichere Sicherung erzeugt. Vor einer Neuinstallation sollte man prüfen, welche Wiederherstellungsmöglichkeiten der einzelne Dienst vorsieht. Wer mehrere wichtige Konten schützt, kann sich eine kleine private Liste anlegen: Kontoname, Wiederherstellungsmethode und Aufbewahrungsort der Notfallcodes. Die eigentlichen Schlüssel gehören dort nicht ungeschützt hinein.

Auch beim Zurücksetzen eines Kontos sollte man vorsichtig sein. Wenn ein Dienst anbietet, die Zwei-Faktor-Methode zu deaktivieren, ist das zwar manchmal der schnellste Weg zurück zum Zugang, aber sicherheitstechnisch nicht immer die beste Lösung. Ich würde zuerst die offizielle Wiederherstellung nutzen und die zusätzliche Absicherung anschließend erneut einrichten. Ein kurzfristig bequemes Abschalten kann sonst dazu führen, dass das Konto länger ohne zweiten Schutz bleibt.

Für den Alltag gefällt mir an einem eigenständigen Authentifikator grundsätzlich, dass die Anmeldung nicht ausschließlich von einer SMS abhängen muss. Eine SMS kann verspätet eintreffen oder an eine nicht mehr aktuelle Telefonnummer gehen. Gleichzeitig ist Authkey 2FA nicht automatisch die beste Wahl für jeden Nutzer. Wer bereits einen gut eingerichteten Passwortmanager mit integrierter Code-Verwaltung verwendet, möchte möglicherweise alle Zugangsdaten und Bestätigungscodes an einem Ort behalten. Die getrennte App kann dann zusätzliche Ordnung verlangen.

Im Vergleich zu einer SMS-Bestätigung bietet ein Authentifikator einen anderen Ablauf: Ich öffne die App und verwende den angezeigten Code, statt auf eine Nachricht zu warten. Gegenüber einer physischen Sicherheitsschlüssel-Lösung ist das Smartphone jedoch weiterhin der zentrale Gegenstand. Wer besonders sensible Konten verwaltet und den Schutz eines separaten Hardware-Schlüssels bevorzugt, sollte diese Alternative ernsthaft prüfen. Authkey 2FA ist eher für Menschen interessant, die eine praktische App-Lösung möchten und ihr Smartphone zuverlässig schützen.

Wann nicht die App, sondern der Dienst verantwortlich ist

Ein abgelehnter Code bedeutet nicht automatisch, dass Authkey 2FA fehlerhaft arbeitet. Der Kontodienst kann Wartungsarbeiten durchführen, die Anmeldung begrenzen oder eine zusätzliche Sicherheitsprüfung verlangen. Auch ein abgelaufenes Browserfenster, ein falscher Benutzername oder ein Konto, das bereits eine andere Zwei-Faktor-Methode erwartet, kann den Eindruck erwecken, die App funktioniere nicht.

Ich würde deshalb den Anmeldehinweis genau lesen. Verlangt die Seite einen Code aus einer Authentifikator-App, einen SMS-Code, einen Wiederherstellungscode oder eine Bestätigung auf einem anderen Gerät? Diese Verfahren sehen sich auf den ersten Blick ähnlich, sind aber nicht austauschbar. Wenn der Dienst ausdrücklich eine andere Methode verlangt, bringt wiederholtes Eingeben aus Authkey 2FA keinen Fortschritt.

Bei einer vorübergehenden Sperre sollte man nicht versuchen, sie durch viele neue Codes zu umgehen. Besser ist es, die offizielle Kontohilfe des jeweiligen Dienstes zu verwenden und die dort genannten Warte- oder Wiederherstellungsschritte einzuhalten. Für mich ist das ein wichtiger Teil der Bewertung: Eine Authentifikator-App kann den Code bereitstellen, aber sie kontrolliert weder das Konto noch die Regeln des Anbieters.

Für wen sich Authkey 2FA eignet

Die App passt gut zu Android-Nutzern, die mehrere Konten mit einer zusätzlichen Verifizierung schützen möchten und eine kostenlose Einstiegsmöglichkeit suchen. Mit über einer Million Installationen ist sie im Alltag vieler Menschen angekommen, während der Durchschnitt von 3,6 aus rund 1.700 Bewertungen ein gemischtes Bild vermittelt. Ich lese daraus keine klare Empfehlung für jeden, sondern einen Hinweis, die eigene Einrichtung sorgfältig zu testen und nicht blind auf eine einzelne Bewertung zu vertrauen.

Besonders sinnvoll ist sie für jemanden, der bisher nur Passwörter und SMS verwendet hat und nun einen appbasierten zweiten Schritt ausprobieren möchte. Ein realistisches Beispiel wäre ein privates E-Mail-Konto, das zugleich für Cloud-Dateien, Einkäufe und andere Anmeldungen genutzt wird. Nach der Einrichtung kann der zusätzliche Code verhindern, dass ein gestohlenes Passwort allein genügt. Der Schutz ist aber nur so zuverlässig wie der Umgang mit dem Smartphone, dem Gerätecode und den Wiederherstellungsdaten.

Weniger passend ist die App für Nutzer, die ausschließlich iOS verwenden, ihre Sicherheitscodes bereits in einer anderen Lösung verwalten oder bei einem Geräteverlust keine eigene Wiederherstellungsroutine einrichten möchten. Auch wer eine möglichst automatische Anmeldung ohne zusätzliche App erwartet, könnte den Ablauf als lästig empfinden. Zwei-Faktor-Schutz bringt bewusst einen weiteren Schritt mit sich; das ist sicherer, aber nicht immer bequemer.

Das Alterssiegel „USK ab 0 Jahren“ macht die App grundsätzlich auch für sehr junge Nutzer unbedenklich, wobei die eigentliche Verantwortung bei Kontosicherheit und Zugangsdaten natürlich bei den Erwachsenen liegt. Der kostenlose Charakter erleichtert den Einstieg, doch die genannten Käufe über Google Play sollte man vor einer Entscheidung prüfen, wenn man nur eine einfache, kostenfreie Nutzung sucht.

Mein praktisches Urteil nach dem Test

Mein Eindruck von Authkey 2FA ist ausgewogen: Die App erfüllt eine klar erkennbare Aufgabe und kann den zusätzlichen Login-Schritt auf Android übersichtlicher machen. Ihre Stärke liegt weniger in spektakulären Extras als in einem geradlinigen Zweck. Wer die Einrichtung auf einem zweiten Bildschirm vorbereitet, die Gerätezeit korrekt hält und Wiederherstellungscodes sicher aufbewahrt, vermeidet die meisten typischen Frustmomente.

Die wichtigste Einschränkung bleibt, dass die App keine vollständige Sicherheitsstrategie ersetzt. Ein starkes, einzigartiges Passwort, Geräteschutz und ein vorher geplanter Gerätewechsel gehören weiterhin dazu. Außerdem hängt der Erfolg vom jeweiligen Online-Dienst ab. Wenn dessen Einrichtungsseite unklar ist oder eine andere Bestätigungsmethode verlangt, kann selbst ein korrekt erzeugter Code nicht weiterhelfen.

Ich würde Authkey 2FA daher Android-Nutzern empfehlen, die eine separate Authentifikator-App ausprobieren und ihre Konten bewusster absichern möchten. Vor der Nutzung würde ich den ersten wichtigen Dienst nicht mitten in einer dringenden Anmeldung einrichten, sondern in einem ruhigen Moment mit geöffneter Wiederherstellungshilfe. Die beste Entscheidung ist hier nicht der schnellste Scan, sondern ein getesteter Zugang inklusive Notfallplan.

Unter diesen Bedingungen ist die App eine brauchbare kostenlose Option in der Kategorie der Sicherheitswerkzeuge. Wer dagegen bereits eine vertraute Alternative mit sicherer Synchronisierung nutzt oder einen Hardware-Schlüssel bevorzugt, muss nicht wechseln. Für Einsteiger ist Authkey 2FA interessant, solange sie die Einrichtung als kleinen Sicherheitsprozess behandeln und nicht als bloße Installation mit einem einzigen Tastendruck.