Was ist ein 2FA-Einrichtungsschlüssel und wie gibst du ihn ein?

Wenn du die Zwei-Faktor-Authentifizierung mit einer Authenticator-App aktivierst, gibt die Website deiner App einen Einrichtungsschlüssel: ein Geheimnis, das nur du und die Website kennen. Deine App kombiniert ihn mit der aktuellen Uhrzeit und erzeugt daraus jeden Code. Der QR-Code, den eine Website anzeigt, enthält den Einrichtungsschlüssel. Die Textversion unter einem Link wie „Can't scan the code?“ (Code lässt sich nicht scannen?) ist derselbe Schlüssel, nur ausgeschrieben.

Websites nennen ihn unterschiedlich: „setup key“, „secret key“, „text code“, „manual entry key“ oder „2FA secret“ – auf Deutsch meist Einrichtungsschlüssel, geheimer Schlüssel oder Schlüssel für die manuelle Eingabe.

So sieht ein Einrichtungsschlüssel aus (mit Beispiel)

Einrichtungsschlüssel sind in base32 geschrieben:

• die Buchstaben A bis Z und die Ziffern 2 bis 7,
• meist 16 bis 32 Zeichen, oft in Gruppen, zum Beispiel JBSW Y3DP EHPK 3PXP,
• nie die Ziffern 0, 1, 8 oder 9.

Wenn du einen Schlüssel von Hand abschreibst, ist der typische Fehler eine Null, wo der Schlüssel den Buchstaben O hat, oder eine Eins, wo er den Buchstaben I hat. Schlüssel enthalten nie 0 oder 1, es ist also immer der Buchstabe. Leerzeichen sowie Groß- und Kleinschreibung spielen keine Rolle.

Halte ihn geheim

Wer deinen Einrichtungsschlüssel hat, kann dieselben Codes erzeugen wie du – so lange, wie 2FA mit diesem Schlüssel eingerichtet bleibt. Behandle ihn wie ein Passwort:

• schick ihn nicht per Nachricht und füge ihn nicht in eine Website ein, der du nicht vertraust,
• bewahre ihn nicht als Bildschirmfoto oder in einer Notiz auf, die überallhin synchronisiert wird,
• wenn du glaubst, dass er bekannt geworden ist, richte 2FA auf der Website neu ein. Dabei entsteht ein neuer Schlüssel.

Einstellungen bei einem eingetippten Schlüssel

Ein QR-Code enthält den Schlüssel und seine Einstellungen: wie viele Ziffern, wie oft sich der Code ändert und welcher Hash-Algorithmus verwendet wird. Ein eingetippter Schlüssel ist nur der Schlüssel, also nutzt die App die Standardeinstellungen: 6 Ziffern, alle 30 Sekunden, SHA-1. Das passt für fast jede Website. Wenn eine Website angibt, dass ihre Codes 8 Ziffern haben oder sich alle 60 Sekunden ändern, füge sie stattdessen über den QR-Code hinzu.

Einen Schlüssel in Authenticator App - Novaz eingeben

1. Tippe auf + und dann auf Schlüssel manuell eingeben.
2. Fülle Dienst (der Name, den du in der Liste siehst), Konto (optional: der Benutzername oder die E-Mail-Adresse, mit der du dich anmeldest) und Einrichtungsschlüssel aus.
3. Tippe auf Sichern und gib dann den Code, den Novaz anzeigt, auf der Website ein, um die Einrichtung von 2FA abzuschließen.

Ist der Schlüssel kein gültiges base32 oder kürzer als 16 Zeichen, zeigt Novaz „Schlüssel nutzen base32 (A–Z, 2–7) und haben mind. 16 Zeichen.“ und sichert ihn nicht.

Der Bereich Erweitert zeigt die Einstellungen, die jedes manuell eingegebene Konto verwendet: Zeitbasiert, 6 Ziffern, 30 Sekunden. Dort lassen sie sich nicht ändern. Um zu prüfen, was ein vorhandenes Konto verwendet, tippe darauf und sieh unter Details nach (ist Codes bis zum Tippen verbergen aktiviert, tippe einmal, um den Code anzuzeigen, und noch einmal, um das Konto zu öffnen).