Auch der zweite Faktor braucht einen Wiederherstellungsweg
Ein zusätzlicher Einmalcode schützt eine Anmeldung. Wenn das einzige Gerät für diesen Code verloren geht, kann der Zugang allerdings ebenfalls verloren sein. Deshalb muss zur Einrichtung immer die Frage gehören, wie eine berechtigte Person später wieder hineinkommt.
In meiner Anlage ergänzt ein selbst gehostetes Ente Auth den vorhandenen Hardware-Authenticator. Es dient als zusätzliche Kopie der TOTP-Konten. Das Verfahren wird dadurch nicht automatisch sicherer: Eine weitere nutzbare Kopie ist auch ein weiterer Zugang, der geschützt werden muss.
Ein Code ist die Ausgabe, das Geheimnis ist entscheidend
Zeitbasierte Einmalcodes werden aus einem gespeicherten Geheimnis und der Zeit berechnet. Wer dieses Geheimnis entschlüsselt besitzt, kann selbst gültige Codes erzeugen. Eine Kopie ist deshalb kein harmloses Archiv, auch wenn sie nur für den Notfall vorgesehen ist.
Bei der Planung würde ich klar trennen: Wo liegt das Passwort des eigentlichen Dienstes? Wo werden die TOTP-Geheimnisse verwahrt? Wie wird der Zugang zu diesen Systemen selbst wiederhergestellt? Ein Ausfall soll nicht sämtliche benötigten Wege gleichzeitig unbrauchbar machen.
Synchronisation und Selbstbetrieb bewusst wählen
Ente Auth bietet verschiedene Nutzungs- und Wiederherstellungswege. Für die eigene Auswahl gehören die aktuellen Herstellerhinweise dazu. In meinem Aufbau wird das Backend selbst betrieben; das bringt Verantwortung für Betrieb, Sicherung und Aktualisierung mit.
Eine erreichbare Serveroberfläche belegt dabei noch nicht, dass ein neues Gerät seine Codes korrekt erhält. Die Abnahme muss die tatsächlich verwendete App und den vorgesehenen Anmeldeweg einbeziehen. Eine zusätzliche Gerätesperre schützt den lokalen Zugriff, ersetzt aber nicht die übrige Zugangskette.
Einen Export vor dem Ernstfall prüfen
Die Herstellerdokumentation beschreibt verschlüsselte Exporte und ihren späteren Import. Das dafür gewählte Exportkennwort ist nicht automatisch das Kontokennwort. Beides zu verwechseln kann eine scheinbar vorhandene Sicherung im Ernstfall unbrauchbar machen.
Ich würde einen Export deshalb zuerst mit einem unkritischen Testkonto erproben. Die Datei wird getrennt aufbewahrt und ihr Import kontrolliert. Originaldaten bleiben bis zum erfolgreichen Nachweis erhalten. Ein unverschlüsselter Export mit TOTP-Geheimnissen gehört nicht in einen gewöhnlichen Dokumentenordner oder als Chat-Anhang weitergegeben.
Wiederherstellung darf keine Abhängigkeitsschleife bilden
Zum Notfallplan gehört ein erreichbarer Weg zu den erforderlichen Informationen. Wenn beispielsweise das Öffnen der Sicherung wiederum genau den verlorenen Authenticator verlangt, ist die scheinbare Redundanz praktisch nicht nutzbar.
Für wichtige Konten sollten die vom jeweiligen Anbieter vorgesehenen Wiederherstellungsmöglichkeiten bewusst eingerichtet und sicher abgelegt werden. Der Aufbau muss auch den Verlust eines Geräts berücksichtigen. Daraus folgt keine allgemeine Empfehlung, alle Faktoren und Wiederherstellungscodes in einer einzigen Anwendung zu bündeln.
Mit einem kleinen Test beginnen
Mein Einstieg wäre ein einzelnes Testkonto: Anmeldung mit vorhandenem Faktor prüfen, eine zusätzliche geschützte Kopie einrichten und deren Nutzbarkeit gesondert nachweisen. Danach wird der Wiederherstellungsweg ohne Löschen des Originals durchgesprochen und begrenzt getestet.
Erst wenn diese Schritte verständlich sind, folgt die Erweiterung. Ente Auth kann dabei ein hilfreicher Baustein sein. Verlässlichkeit entsteht durch geschützte Geräte, einen geprüften Export und nachvollziehbare Wege für den Fall, dass ein Teil der Anlage nicht verfügbar ist.