Dies ist eine Blechpresse-Fiktion mit ernstem Kern. Bitte keine Backup-Codes in den gleichen digitalen Tresor legen, der ohne Backup-Code nicht aufgeht. Der Satz beißt sich sonst selbst.
Der Tresor steht im Archivraum und trägt eine kleine Brille. Auf seinem Schild steht: „Backup-Codes, falls das Telefon in den Kanal fällt.“ Der Administrator nickt, tippt den Tresor an, und der Tresor fragt: „Bitte bestätigen Sie mit Ihrer zweiten Komponente.“
Es wird still. Diese sehr spezielle IT-Stille, in der alle plötzlich den Teppich anschauen.
Multi-Faktor-Authentifizierung ist nicht Dekoration. OWASP beschreibt zusätzliche Faktoren als Schutz gegen reine Passwortkompromisse, und die FIDO Alliance erklärt Passkeys als kryptografische Anmeldedaten, die ohne geteiltes Passwortgeheimnis auskommen und phishing-resistenter sind als klassische Passwörter.
Aber Recovery ist der Hintereingang mit Namensschild. Wenn der ordentlich gebaut ist, rettet er Menschen. Wenn er schief gebaut ist, rettet er Angreifer. Backup-Codes gehören deshalb ausgedruckt, sicher verwahrt, getrennt vom alltäglichen Gerät, nicht in den Notizzettel namens „wichtig_final_neu“ neben dem Passwort.
In der Blechpresse hat jemand den Code fotografiert, in die Cloud gelegt, die Cloud mit MFA gesichert, das MFA-Gerät verloren und dann behauptet, das sei immerhin konsequent. Der Hund vom Pförtner legt sich auf den Teppich. Sogar er versteht den Zirkel.
Passkeys können viel Druck aus dem Passwortkeller nehmen, darüber schrieb schon Der Browser ruft den Schlüsseldienst. Trotzdem bleibt die Frage: Was passiert, wenn Gerät, Biometrie, Schlüsselbund oder Anbieter gerade nicht greifbar sind? Sicherheit ohne Recovery wird schnell zur verschlossenen Werkstatt. Recovery ohne Sicherheit wird zur offenen Seitentür.
Die gute Betriebsantwort klingt langweilig, also wahrscheinlich richtig: mehrere registrierte Faktoren, dokumentierte Wiederherstellungswege, Backup-Codes einmalig und geschützt, Helpdesk-Prozesse mit klaren Prüfungen, keine Paniklinks per Mail, keine Sonderbehandlung für „ist dringend, Chef wartet“.
Der Tresor bekommt am Ende einen zweiten Tresor. Dann eine Papiertüte. Dann einen Prozess. Der Prozess ist hässlich, aber er fragt wenigstens nicht nach dem Schlüssel, der im Prozess liegt.
Faktenanker: OWASP Authentication Cheat Sheet, FIDO Alliance Passkeys. Fiktionale Szene, technische Aussagen gegen die genannten Quellen geprüft.