Was sind Backup-Codes? Die Liste, die Sie weggeklickt haben, und wohin sie eigentlich gehört

Es gibt einen Bildschirm, den fast jeder wegklickt. Sie schalten die Zwei-Faktor-Authentifizierung ein, der Dienst zeigt einen Block zufälliger Codes, sagt Ihnen, bewahren Sie die sicher auf, und Sie drücken Weiter. Monate später ist Ihr Telefon weg, und dieser Bildschirm war das Einzige, was geholfen hätte.

Was sie tatsächlich sind

Ein Backup-Code, auch Wiederherstellungscode genannt, ist ein einmal verwendbares Anmeldemittel, das für Ihren zweiten Faktor einspringt. Nicht für das Passwort: das brauchen Sie weiterhin. Es ersetzt das, was Sie nicht mehr haben, meist das Telefon mit der Authenticator-App oder den Sicherheitsschlüssel in einer Schublade weit weg.

Die Dokumentation von GitHub ist beim Mechanismus präzise und verdient ein Zitat statt einer Umschreibung. Sie stellt 16 Codes bereit und hält fest, dass ein Wiederherstellungscode, nachdem er zum Zurückerlangen des Kontozugriffs benutzt wurde, nicht wiederverwendet werden kann. Sind alle sechzehn aufgebraucht, erzeugen Sie eine neue Liste. Andere Dienste geben andere Mengen aus: behandeln Sie sechzehn als GitHubs Zahl, nicht als allgemeine Regel.

Der Rat, der Ihre zwei Faktoren zusammenfallen lässt

Hier wird die übliche Empfehlung unbequem. GitHub sagt, teilen oder verbreiten Sie die Codes nicht, und empfiehlt, sie in einem sicheren Passwortmanager zu speichern. Gegen den häufigsten Fehler, den Verlust eines Zettels, ist das vernünftig. Es hat auch eine Folge, die man klar aussprechen sollte.

Ihr Passwort liegt in diesem Tresor. Liegen die Codes ebenfalls dort, hält jeder, der den Tresor öffnet, beide Faktoren: das Passwort und das, was den zweiten ersetzt. Die Trennung, die die Zwei-Faktor-Authentifizierung überhaupt lohnend machte, ist still verschwunden.

Das ist kein Argument gegen Passwortmanager und kein Grund, den Rat zu ignorieren. Es ist ein Grund, bewusst zu entscheiden statt beiläufig.

Wo sie sinnvoll liegen können

Ausgedruckt und physisch verwahrt ist unmodern und funktioniert: ein Blatt in einer Schublade zu Hause oder bei Unterlagen, die Sie ohnehin sicher aufbewahren. Ein zweiter Passwortmanager, getrennt von dem mit dem Kontopasswort, hält beide Faktoren auseinander. Ein Gerät, das nicht jenes ist, mit dem Sie sich anmelden, offline verwahrt, tut dasselbe.

Was nicht funktioniert: eine Notiz auf dem Telefon mit der Authenticator-App, oder eine E-Mail an sich selbst in genau dem Konto, das diese Codes schützen. Beides legt die Rettung in das hinein, wovor gerettet werden soll.

Das Szenario, für das es sie gibt

Denken Sie den echten Ausfall durch. Ihr Telefon ist verloren, gestohlen, ins Wasser gefallen oder von einer Werkstatt gelöscht. Ihre Authenticator-App ging mit, und ohne exportierte Seeds sind die von ihr erzeugten Codes fort. In diesem Moment brauchen Sie entweder einen zweiten Sicherheitsschlüssel, oder die Backup-Codes, oder ein Support-Verfahren, das Tage dauern und scheitern kann.

Deshalb sind ein zweiter Sicherheitsschlüssel und Backup-Codes auch nicht redundant zueinander. Der Schlüssel ist, was Sie täglich nutzen, wenn der erste fehlt; die Codes sind, was Sie nutzen, wenn beide fehlen.

Nachdem Sie einen benutzt haben

Da jeder Code beim Gebrauch verbraucht wird, schrumpft die Liste unbemerkt. Die meisten Dienste lassen Sie den ganzen Satz neu erzeugen, was den alten ungültig macht. Das nach einer Wiederherstellung zu tun ist die saubere Gewohnheit: Sie wissen, wie viele übrig sind, und jede alte herumliegende Kopie wird nutzlos.

Falls Sie die Zwei-Faktor-Authentifizierung nie eingeschaltet haben, gilt nichts davon bislang, und das ist die dringlichere Lücke.

Die ehrliche Zusammenfassung

Backup-Codes sind der uninteressanteste Teil einer Sicherheitseinrichtung und der Teil, der am ehesten darüber entscheidet, ob Sie ein Konto behalten. Sie kosten einmal fünf Minuten. Die einzige echte Entscheidung ist, wohin damit, und die Standardantwort, neben Ihr Passwort, ist die, über die man zweimal nachdenken sollte.