SoftwareAuthentifikatoren

SoftwareAuthentifikatoren sind softwarebasierte Anwendungen, die bei der Anmeldung eine zweite Form der Authentisierung bereitstellen. Sie erzeugen zeitlich begrenzte Codes oder ermöglichen eine Freigabe durch Push-Bestätigung und dienen damit als zweiter Faktor neben dem Benutzernamen und dem Passwort.

Funktionsprinzip: Bei der ersten Einrichtung erstellt der Dienst einen gemeinsam genutzten Geheimschlüssel (Seed), der dem Nutzergerät in Form eines QR-Codes oder eines manuellen Schlüssels übermittelt wird. Das Gerät verwendet Algorithmen wie TOTP (Zeitbasierter Einmal-Code nach RFC 6238) oder HOTP (Counter-basierter Code nach RFC 4226), um regelmäßig neue Einmalcodes zu berechnen. Bei Push-basierten Systemen wird der Login-Vorgang an das Gerät gesendet und der Nutzer bestätigt die Anmeldung in der App, oft mittels biometrischer Prüfung.

Verbreitung und Nutzung: SoftwareAuthentifikatoren werden als Apps auf Mobilgeräten (Android, iOS) eingesetzt, bekannte Beispiele sind Google Authenticator, Microsoft Authenticator, Authy, FreeOTP. Dienste unterstützen in der Regel MFA und bieten Provisioning via QR-Code, manuelle Eingabe des Secrets oder über signierte Links. Die erzielten Codes sind üblicherweise sechsstellig und zeitlich begrenzt.

Sicherheit und Risiken: Im Vergleich zu SMS-basierten Codes bieten SoftwareAuthentifikatoren bessere Phishing-Vermeidung und Offline-Verfügbarkeit. Nachteile sind Abhängigkeit vom Endgerät und mögliche Abtastrisiken durch Malware. Backups der Seeds oder multi-Device-Optionen variieren je nach Anbieter; bei Verlust des Geräts müssen Wiederherstellungsverfahren genutzt werden. Die Synchronisation der Zeit ist wichtig für TOTPs.

Vergleich mit Hardware-Authentifikatoren: Softwarebasierte Lösungen sind bequemer, besonders im Alltag, bieten aber weniger physische Unabhängigkeit als Hardware-Token; in sicherheitskritischen Umgebungen werden oft Kombinationen aus beidem verwendet.