Ein 2FA-QR-Code kann ein Geheimnis verraten

Keine QR-Bilder in Chats oder Tickets stellen

Ein Foto eines TOTP-Setup- oder Export-QR-Codes gehört nicht in einen öffentlichen Beitrag und auch nicht in einen beliebigen Online-Decoder. Wer die enthaltenen Schlüssel kopiert, kann gegebenenfalls eigene Codes für die betroffenen Konten erzeugen.

Import bewusst vor Ort durchführen

2FASync verarbeitet unterstützte QR-Aufnahmen und lokale Bilddateien im Browser. Der Import ist an eine Nutzeraktion gebunden; Bilder werden nicht zur Texterkennung an einen externen KI-Dienst gesendet. Prüfen Sie bei mehreren QR-Teilen die Vorschau, bevor Sie Einträge speichern.

Nicht jeder QR-Code hat dieselbe Bedeutung

Ein Login-QR-Code, ein Link zu einer Webseite und ein Authenticator-Export sind technisch verschiedene Inhalte. Behandeln Sie insbesondere otpauth://- und Migrations-QRs als Zugangsmaterial und scannen Sie keine unbekannten Bilder blind.

Was tun, wenn das Exportbild versehentlich geteilt wurde?

Schätzen Sie einen veröffentlichten TOTP-QR-Code als möglichen Geheimnisverlust ein und behandeln Sie ihn entsprechend dringend. Entstand das Bild beim Aktivieren einer Zwei-Faktor-Methode, könnte jemand damit eigene gültige Codes berechnen. Melden Sie sich direkt beim ursprünglichen Anbieter über seine offizielle Seite an und prüfen Sie, ob sich die TOTP-Einrichtung neu erzeugen und der alte Schlüssel ungültig machen lässt.

Entfernen Sie nach dem Transfer nicht nur die sichtbare Bilddatei, sondern überlegen Sie auch, ob die Aufnahme in einem geteilten Cloud-Album, einer Chat-Vorschau oder einem automatischen Screenshot-Backup gelandet sein könnte. Diese Vorsicht gilt ebenso für mehrteilige Google-Authenticator-Exporte. Das Löschen lokaler Bilder reduziert künftige Exposition, macht aber eine schon veröffentlichte Kopie nicht zuverlässig ungeschehen.

Kann ich einen Export-QR-Code nach dem Import öffentlich teilen?

Nein. Der Code kann weiterhin nutzbares Schlüsselmaterial enthalten, auch wenn der Import abgeschlossen ist.