2FASync
Ihre Einrichtungsschlüssel gehören nicht ins Serverprotokoll
Ein TOTP-Schlüssel ist langfristig sensibel. Deshalb ist entscheidend, welche Angaben nur im Browser verarbeitet werden und welche Metadaten für ein Mitgliedskonto nötig sind.
Gastcodes und QR-Inhalte
Der Gastmodus verarbeitet eingegebene Geheimnisse lokal und hält sie standardmäßig nur bis zum Neuladen der Seite vor. Kameraaufnahmen und lokale Exportbilder werden für den Import im Browser ausgewertet; die normalen Abläufe sind nicht darauf ausgelegt, Klartextschlüssel zum Server zu schicken.
Metadaten sind nicht völlig unsichtbar
Bei Mitgliedern können Sitzungs-, Konto- und Gerätemetadaten sowie verschlüsselte Tresor-Datensätze und begrenzte Sicherheitsereignisse anfallen. Der Dienst benötigt im normalen Synchronisierungspfad keinen Klartext-Tresorschlüssel. Ein kompromittierter Browser bleibt ein ernstes Risiko.
Keine Geheimnisse in Supportanfragen
Teilen Sie bei Fehlermeldungen nur die notwendigen technischen Beobachtungen. OTP-Ziffern, Recovery-Codes, Tresor-Passwörter und vollständige Export-QRs gehören weder in Screenshots noch in Fehlerberichte.
Welche Metadaten trotz verschlüsselter Inhalte anfallen können
Bei einem Mitgliedskonto können die Google-gebundene Kontozuordnung, Sitzungszustand, Geräte-Metadaten, revisionsbezogene Kennungen und begrenzte Sicherheitsereignisse benötigt werden. Solche Betriebsdaten sind nicht dasselbe wie entschlüsselte TOTP-Einträge. Die Protokollierungsregeln sind auf erlaubte Ereignis- und Statusdaten ausgelegt; echte OTP-Ziffern, QR-Inhalte, Tresor-Passphrasen und Recovery-Schlüssel gehören nicht in Logs.
Die lokale Verarbeitung bietet eine wichtige Grenze, aber keine anonyme Nutzung aller Funktionen. Haben Sie den Tresor auf einem öffentlichen Rechner geöffnet, können Browserhistorie, Erweiterungen oder die Zwischenablage trotzdem Risiken erzeugen. Melden Sie Probleme deshalb mit Zeitangabe, Browser-Version und einer harmlosen Fehlerbeschreibung, statt ein reales Exportbild oder vollständige otpauth://-Adresse in ein Ticket zu kopieren.
Kann die Website sämtliche Kontometadaten vermeiden?
Nein. Für die Mitgliedsanmeldung und geräteübergreifende Synchronisierung sind bestimmte Konto-, Sitzungs- und Revisionsdaten notwendig.