2FASync
Sicherheit beginnt bei der Schlüsselkontrolle
2FASync kombiniert die lokale TOTP-Berechnung mit verschlüsselten Tresordaten. Dabei gibt es klare Grenzen: Eine entsperrte Anwendung auf einem kompromittierten Gerät ist nicht automatisch sicher.
Verschlüsselung und Wiederherstellung
Ein eigener Tresorschlüssel schützt die Inhalte. Das Passwort und ein gesonderter Wiederherstellungsschlüssel können über verschlüsselte Schlüsselslots Zugriff ermöglichen. Die Google-Anmeldung identifiziert das Konto, ersetzt aber keinen dieser Entsperrwege.
Was Sperren und Widerruf leisten
Sperren reduziert die Zeit, in der entschlüsselte Daten in der Anwendung verfügbar sind. Ein Gerätewiderruf kann künftigen serverseitig erlaubten Zugriff unterbinden, bereits entwendete Kopien jedoch nicht fernlöschen. Ebenso kann Browser-JavaScript keine physische Löschung jeder Speicherzelle versprechen.
Sichere Geräte sind eine Voraussetzung
Halten Sie Browser und Betriebssystem aktuell und verwenden Sie keine gemeinsam verwalteten oder verdächtigen Geräte für echte TOTP-Schlüssel. Eine korrekte Kryptografie im Produkt kann Schadsoftware mit Seitenzugriff nicht neutralisieren.
Zwei unterschiedliche Angriffe erfordern unterschiedliche Antworten
Bei Phishing geben Nutzer ihren gerade gültigen TOTP-Code in eine gefälschte Anmeldeseite ein; der Angreifer kann ihn unmittelbar an den echten Dienst weiterleiten. Der Code ist technisch korrekt und trotzdem missbraucht. Prüfen Sie deshalb die Domain und die beabsichtigte Anmeldung, bevor Sie Zahlen eingeben. Ein Dienst, der Passkeys oder geeignete Sicherheitsschlüssel anbietet, kann zusätzliche phishingresistente Wege bereitstellen.
Bei einem kompromittierten Browser liegt das Risiko anders: Schadsoftware mit Seitenzugriff kann versuchen, Geheimnisse aus einem gerade geöffneten Tresor zu entnehmen. Sperren, Inaktivitätsgrenzen und das Schließen der Seite verkürzen die Expositionszeit, garantieren jedoch keine physische RAM-Löschung. Auch ein als nicht exportierbar markierter Browser-Schlüssel ist keine pauschale Zusicherung für Hardware-Sicherheit.
Sind TOTP-Codes gegen jede Form von Phishing geschützt?
Nein. Ein Angreifer kann einen frisch eingegebenen Einmalcode über eine gefälschte Anmeldeseite in Echtzeit abgreifen.