Ein technischer Überblick für Sicherheitsprüfer. Alles hier lässt sich am Quellcode nachprüfen — auch die weniger schmeichelhaften Punkte, die wir benennen statt wegzulassen.
Es gibt kein Backend. Die Erweiterung ist eine Manifest-V3-Chrome-Erweiterung, die TOTP-/HOTP-Codes lokal mit OTPAuth erzeugt. Wir betreiben keine Server, führen keine Konten und haben keinen Kanal, über den Nutzerdaten zu uns gelangen könnten.
Weil es keinen Server gibt, gibt es auch kein serverseitiges Schlüsselmaterial, keine Schlüsselhinterlegung und keinen von uns kontrollierten Wiederherstellungsweg. Wer sein Passwort vergisst und den Wiederherstellungscode verliert, dem können wir nicht helfen — so ist es beabsichtigt.
Der Passwortschutz ist optional und standardmäßig aus. Ist er aktiv:
Daten werden nie direkt mit einem aus dem Passwort abgeleiteten Schlüssel verschlüsselt. Ein zufälliger Hauptschlüssel verschlüsselt die Datensätze; die PBKDF2-Ausgabe umschließt nur diesen Hauptschlüssel. Daraus folgen zwei Dinge, und beide zählen:
Bei aktivem Passwortschutz wird der gesamte Kontodatensatz verschlüsselt, bis auf Kennung und Fingerabdruck — auch der Dienstname, damit ein gestohlenes Profil nicht verrät, bei welchen Diensten jemand Konten hat. Beim Aktivieren werden die Datensätze verschlüsselt, durch Entschlüsseln und Vergleichen geprüft und erst danach alle Klartextkopien entfernt: lokaler Browserspeicher, Sync und alle sieben rollierenden Backup-Stände.
Klar gesagt, weil es für Ihre Bewertung zählt:
Kurz gesagt: Das schützt Daten im Ruhezustand. Ein Gerät, das während der Nutzung bereits unter der Kontrolle eines Angreifers steht, schützt es nicht — und kann es nicht.
Das Manifest deklariert genau zwei Berechtigungen und keine Host-Berechtigungen:
Es gibt keine Content-Skripte, keine Berechtigungen für tabs, cookies oder webRequest und keine web-accessible resources. Die Erweiterung kann den Inhalt keiner Seite lesen oder verändern.
Das QR-Scannen per Kamera läuft auf einer Erweiterungsseite in einem Tab, nicht im Popup — ein Popup wird zerstört, sobald es den Fokus verliert, und genau das tut eine Berechtigungsabfrage. Dafür ist keine Manifest-Berechtigung nötig: Es nutzt die Standard-Kameraabfrage des Browsers, erteilt pro Erweiterungs-Origin und in den Website-Einstellungen widerrufbar, und sie erscheint erst, wenn der Scanner geöffnet wird. Das Video wird lokal dekodiert und nie übertragen oder gespeichert.
Im normalen Betrieb stellt die Erweiterung keine automatischen Anfragen, und Manifest V3 verbietet Remote-Code. Alle Verbindungen, die überhaupt möglich sind:
| Host | Wann | Enthält Nutzerdaten? |
|---|---|---|
| worldtimeapi.org timeapi.io | Prüfung auf Uhrabweichung, zwischengespeichert, scheitert stillschweigend. Bei falsch gehender Uhr bricht TOTP. | Nein |
| authenticator.sh | Willkommensseite bei der Installation; Feedback-Seite bei Deinstallation oder Bewertung. | Nein (gewöhnliche Webserver-Logs) |
Weder Schriften noch Skripte, Styles oder Bilder werden von Drittanbieter-Hosts geladen. Alles, was die Oberfläche zum Rendern braucht, steckt im Paket.
Sie müssen nichts davon glauben. Die Erweiterung ist quelloffen, und jedes Release ist reproduzierbar:
.crx aus dem Chrome Web Store herunterladen und entpackennpm ci && npm run build unter Node 20 LTS ausführendist/ mit dem entpackten Paket vergleichenFür jede Datei im erzeugten dist/ wird mit jedem GitHub-Release ein SHA-256 als SHA256SUMS-v<version>.txt veröffentlicht, im Format sha256sum — Schritt 4 ist damit ein einziger Aufruf von sha256sum -c. Abweichungen sollten sich auf die Dateireihenfolge in Archiven und Leerzeichen in minifizierter Ausgabe zwischen Node-Patch-Versionen beschränken.
Die Laufzeitabhängigkeiten sind bewusst wenige — OTPAuth, React, jsQR, Zustand, Framer Motion und Lucide — festgehalten durch eine eingecheckte Lockfile. Eine CycloneDX-SBOM stellen wir auf Anfrage bereit.
Quellcode ansehenWir sind ein kleiner unabhängiger Anbieter. Wenn eines der folgenden Dinge für Ihren Prozess zwingend ist, erfahren Sie es besser jetzt als drei Wochen später in der Bewertung:
Was wir stattdessen bieten: vollständige Transparenz des Quellcodes, einen verifizierbaren Build, eine minimale Berechtigungsfläche und keine serverseitige Infrastruktur, die Ihre Daten überhaupt halten könnte.
Schwachstellenmeldungen und Sicherheitsfragen: security@authenticator.sh. Offenlegungsrichtlinie, Geltungsbereich, Reaktionszeiten und Safe-Harbour-Bedingungen stehen auf der Seite Sicherheitsrichtlinie; was gespeichert wird und was das Gerät verlässt, steht in der Datenschutzerklärung.
Wir beantworten gerne einen schriftlichen Lieferantenfragebogen oder gehen den Code mit einem Sicherheitsteam durch.
Für alles, was keine Sicherheitsfrage ist — Installation, Kontowiederherstellung, Abrechnungsfragen aus einem Rollout — siehe Support. Bitte schicken Sie dorthin keine Schwachstellenmeldungen; dieses Postfach gilt nicht als vertraulich.