Passwörter sind kompromittiert. Nicht deine — alle. Datenbank-Leaks, Phishing-Kits, Credential-Stuffing-Botnetze: das Spiel ist seit Jahren entschieden, und es wurde verloren. Der zweite Faktor ist nicht mehr Luxus, sondern Mindeststandard. Die Frage ist nicht ob, sondern wer ihn verwaltet.
Wer Google Authenticator nutzt, vertraut Google. Wer Microsoft Authenticator nutzt, vertraut Microsoft. Wer Authy nutzt, vertraute Twilio — bis 2024 die Telefonnummern von 33 Millionen Nutzern in einem Datenleck endeten. Diese Apps sind keine Werkzeuge, sondern Endpunkte fremder Infrastrukturen, die zufällig auf deinem Gerät laufen.
Aegis Authenticator ist die Antwort, die dieses Problem ernst nimmt: frei, lokal, offline, auditierbar. Keine Cloud. Kein Account. Kein Telemetrie-Endpunkt.
Was Aegis ist
01 / 07Open-Source-Authenticator für Android
Aegis ist ein Open-Source-Authenticator für Android, entwickelt von Beem Development unter GPLv3. Die App generiert zeitbasierte Einmal-Passwörter (TOTP, RFC 6238) und ihre zählerbasierten Geschwister (HOTP, RFC 4226) — also exakt das, was hinter den sechs Ziffern steckt, die du tippst, wenn dich ein Dienst nach dem zweiten Faktor fragt.
Der Unterschied zu den großen Namen liegt nicht in den Algorithmen — die sind standardisiert. Er liegt in der Architektur drumherum: Wo Google Authenticator deine Geheimnisse als Klartext in einer SQLite-Datenbank speichert, hält Aegis sie in einem AES-256-GCM-verschlüsselten Vault. Der Schlüssel wird aus deinem Passwort über Scrypt abgeleitet — ein Algorithmus, der speziell darauf ausgelegt ist, Brute-Force-Angriffe teuer zu machen.
| Lizenz | GPL-3.0 (Copyleft) |
| Verschlüsselung | AES-256-GCM, Scrypt-Schlüsselableitung |
| Algorithmen | TOTP, HOTP, Steam, Yandex, MOTP |
| Quellcode | github.com/beemdevelopment/Aegis |
| Bezugsquellen | F-Droid, GitHub-Releases, Play Store |
| Netzwerk | keine Berechtigung |
| Telemetrie | keine |
| Account | nicht nötig |
Die politische Dimension eines TOTP-Codes
02 / 07Wer ihn besitzt, ist du
Ein zweiter Faktor scheint trivial: sechs Ziffern, dreißig Sekunden, fertig. Doch was diese Ziffern bedeuten, hängt vollständig davon ab, wer das Geheimnis kontrolliert, aus dem sie generiert werden. Dieses Geheimnis — der Shared Secret, üblicherweise als QR-Code beim Einrichten gescannt — ist der Generalschlüssel zur algorithmischen Maschine, die deine Codes berechnet.
Cloud-basierte Authenticatoren verschieben dieses Geheimnis auf Server, die du nicht betreibst. Manche verschlüsseln vor dem Upload — manche nicht, oder mit Schlüsseln, die der Anbieter selbst hält. 2FAS sichert auf iCloud oder Google Drive, nicht Ende-zu-Ende-verschlüsselt; die Plattform hält die Schlüssel.
Die Logik umgekehrt
Die Geheimnisse verlassen das Gerät nicht, es sei denn, du exportierst sie aktiv. Backups sind passwortverschlüsselt, und du entscheidest, wo sie liegen — in einem Ordner auf der SD-Karte, in einer SyncThing-Synchronisation zu deinem Heimserver, in einem verschlüsselten Container auf einer USB-Karte im Schrank.
Diese Entscheidungen kann niemand sonst treffen, weil niemand sonst sie sehen kann.
Wer den Shared Secret hält,
hält den zweiten Faktor.
Self-Custody ist keine Bitcoin-spezifische Idee —
sie ist die Grundoperation jeder Souveränität.
Was Aegis kann, und was nicht
03 / 07- Lokale, verschlüsselte Vault-Speicherung mit Master-Passwort und optionalem biometrischem Convenience-Layer.
- Automatische verschlüsselte Backups an einen Ort deiner Wahl — die Datei trägt ihre Verschlüsselung mit, egal wohin du sie schreibst.
- Import aus zwölf anderen Authenticatoren — andOTP, FreeOTP, Google Authenticator, Microsoft Authenticator, Authy, 2FAS, Steam u. a.
- Tap-to-Reveal — Codes nicht permanent sichtbar, kombinierbar mit Screenshot-Sperre gegen andere Apps.
- Gruppen, Icons, Suche — bei dreißig oder fünfzig Tokens kein Komfort, sondern Voraussetzung.
- Keine Internetberechtigung. Aegis fragt sie nicht an — es kann nicht nach Hause telefonieren.
- Keine Multi-Device-Sync. Dasselbe Token auf Phone und Tablet heißt: doppelt scannen oder Vault manuell synchronisieren. Bewusste Designentscheidung.
- Kein Cloud-Recovery. Phone weg ohne Backup heißt: Codes weg. Feature und Bedrohung zugleich.
- Kein Schutz gegen Echtzeit-Phishing. Wer einen Aegis-Code in eine Phishing-Site tippt, die ein Bot binnen Sekunden weiterreicht, hat sich nicht durch TOTP geschützt. Dafür gibt es FIDO2.
Die Backup-Frage, die niemand stellt
04 / 07Aegis-Backups sind keine Nettigkeit, sondern Voraussetzung. Wer die App installiert, einen einzigen Token einrichtet und dann sein Phone verliert, hat ein echtes Problem. Plane das Backup, bevor du den ersten QR-Code scannst.
Die offizielle Empfehlung ist „automatisches Backup in einen Ordner deiner Wahl". Das klingt unspektakulär, aber die Wahl dieses Ordners entscheidet, wie souverän dein Setup tatsächlich ist. Drei Strategien, geordnet nach Souveränität:
Lokal + manueller Transfer
Aegis schreibt das verschlüsselte Backup in einen lokalen Ordner. Du kopierst es periodisch per USB auf einen offline gehaltenen Datenträger — eine verschlüsselte SD-Karte oder einen LUKS-Container auf einem alten USB-Stick. Maximale Kontrolle, minimaler Komfort.
SyncThing zu eigener Hardware
Aegis schreibt in einen Ordner, den SyncThing kontinuierlich zu einem Raspberry Pi oder Heimserver repliziert. Dort liegen die Backups in einem verschlüsselten Volume. Komfortabel, ohne externe Cloud. Die Aegis-Backup-Datei ist bereits verschlüsselt; SyncThing transportiert nur Bytes.
Verschlüsselte Cloud (Nextcloud)
Aegis-Backup landet in einem Nextcloud-Ordner, idealerweise auf einer selbstgehosteten Instanz. Die Backup-Datei ist Aegis-verschlüsselt; Nextcloud sieht nur Chiffretext. Akzeptabel, solange du der Nextcloud-Instanz vertraust — beim Self-Hosting bist das du selbst.
Konfiguration: Was oft übersehen wird
05 / 07- Master-Passwort, nicht nur Biometrie. Aegis erlaubt biometrisches Entsperren als Convenience, aber das eigentliche Geheimnis ist das Passwort. Geräte können in Kontexten geöffnet werden, in denen ein Passwort verschwiegen werden kann, ein Finger aber nicht.
- Screenshot-Sperre aktivieren. In den Einstellungen unter
Sicherheit → Bildschirm-Schutz. Verhindert, dass andere Apps oder Bildschirmaufnahmen die Codes mitlesen. - Tap-to-Reveal aktivieren. Codes sind dann erst auf Antippen sichtbar. Wer schulterblick-resistent arbeiten will, sollte das nicht überspringen.
- Automatisches Backup einrichten, bevor der erste Token gescannt wird. Nicht danach.
- Backup-Passwort separat dokumentieren. Idealerweise in einem Passwortmanager wie KeePassXC, dessen Datenbank wiederum gesichert ist. Das Aegis-Backup nützt nichts, wenn das Passwort dazu nicht mehr existiert.
Bezugsquelle: F-Droid, nicht Play Store
06 / 07Aegis ist über drei Kanäle erhältlich: F-Droid, GitHub-Releases und den Play Store. Auf einem GrapheneOS-Gerät, das ohne sandboxed Google Play läuft, ist F-Droid die natürliche Wahl. Wer den offiziellen F-Droid-Client installiert, bekommt verifizierbare Updates, ohne dass eine Google-Identität im Spiel sein muss.
Die APK-Releases auf Play Store und GitHub sind mit demselben Schlüssel signiert. Ein Wechsel der Bezugsquelle ist später ohne Neuinstallation möglich. F-Droid signiert hingegen mit einem eigenen Schlüssel — ein einmaliger Wechsel zwischen F-Droid-Build und GitHub-Build erfordert dort eine Neuinstallation.
Wo Aegis aufhört
07 / 07Software-Authentifizierung bleibt Software
Der Code, den Aegis erzeugt, kann durch ein Echtzeit-Phishing-Setup abgegriffen und innerhalb der dreißig Sekunden Gültigkeit weitergereicht werden. Bots, die Anmeldeformulare in Echtzeit replizieren und Eingaben durchschleifen, gibt es seit Jahren als Dienstleistung.
Für die meisten Konten ist das akzeptabel — sie werden nicht gezielt angegriffen, sondern in bulk-getriebenen Credential-Stuffing-Wellen. Dort hilft TOTP.
Hardware-FIDO2
Für die Konten, die wirklich zählen — primärer E-Mail-Account, Bitcoin-Exchange, Domain-Registrar, Passwortmanager-Master, Cloud-Konsole — ist hardware-basiertes FIDO2 die ehrlichere Antwort. Ein Hardware-Token bindet die Authentifizierung an die Domain, die der Browser tatsächlich aufruft.
Aegis ist die richtige Antwort für die breite Masse deiner Konten. Für die Kronjuwelen ist es das falsche Werkzeug — siehe unser Nitrokey-Artikel.
Ente Auth · Stratum · 2FAS
Wer ernsthaft Multi-Device-Sync braucht und dafür einen auditierten E2E-verschlüsselten Cloud-Dienst akzeptiert, sollte sich Ente Auth anschauen — Open Source, von Cure53 und Symbolic Software auditiert, läuft auf Android, iOS, Linux-Desktop und im Browser. Der Trade-off: ein Account, eine Cloud-Abhängigkeit, ein zusätzlicher Vertrauensanker.
Stratum (ehemals Authenticator Pro) ist eine solide Aegis-Alternative mit Material-You-Design und Wear-OS-Companion. Funktional vergleichbar, ästhetisch anders. Kein Grund zu wechseln, wenn Aegis schon läuft — kein Grund gegen Stratum, wenn du neu anfängst.
2FAS ist Open Source, aber das Cloud-Backup ist nicht Ende-zu-Ende-verschlüsselt. Auf einem GrapheneOS-Gerät ohne Google-Dienste verliert ein Teil seiner Funktionalität ohnehin. Für unsere Zwecke uninteressant.
Genau das, was ein zweiter Faktor sein soll
Aegis ist die unaufgeregte, technisch saubere, politisch konsequente Antwort auf das TOTP-Problem. Lokal, verschlüsselt, auditierbar, ohne Account, ohne Cloud, ohne Geschichten. Es kostet nichts, es verlangt nichts, und es liefert genau das, was ein zweiter Faktor liefern soll: einen zweiten Faktor — und keinen dritten Vertrauensanker.
Wer auf GrapheneOS umsteigt und einen Authenticator sucht, sollte hier aufhören zu suchen. Was bleibt, ist Disziplin: Backup-Strategie planen, bevor der erste Token wandert. Master-Passwort dokumentieren, das nicht wiederherstellbar ist. Und für die wirklich kritischen Konten daran denken, dass Software-TOTP eine Abwägung ist, keine Endstation.