Google Authenticator gehört zu den bekanntesten Apps für die Zwei-Faktor-Authentifizierung. Mehr als 100 Millionen Downloads allein bei Google Play sprechen dafür, dass für viele Nutzer der sechsstellige Code auf dem Smartphone praktisch gleichbedeutend mit „2FA“ ist. Umso wirkungsvoller klingt die derzeit kursierende Warnung, Google Authenticator sei ausgerechnet die schlechteste Wahl: Verliere man den Zugriff auf sein Google-Konto, seien anschließend auch die dort gespeicherten Authenticator-Codes weg und damit womöglich gleich eine ganze Reihe weiterer Accounts.
Das Problem an dieser Argumentation liegt im absoluten Anspruch. Google Authenticator hat sich in den vergangenen Jahren deutlich verändert. Die App kann ihre Codes inzwischen über das Google-Konto zwischen Geräten synchronisieren, bietet einen zusätzlichen Schutz über Displaysperre oder Biometrie und lässt sich weiterhin komplett ohne Google-Konto betreiben. Google beschreibt ausdrücklich beide Betriebsarten und ermöglicht außerdem den manuellen Export der Authenticator-Einträge auf ein anderes Gerät.
Die Kritik lässt sich deshalb nicht auf „Google-Konto weg, alle anderen Konten weg“ reduzieren. In den Reaktionen auf die Warnung fällt genau dieser Punkt mehrfach auf. Nutzer verweisen auf Recovery-Codes, lokale Authenticator-Apps und darauf, dass ein verlorener Zugang auch bei anderen Synchronisierungslösungen zum Problem werden kann. Gleichzeitig werden Ente Auth, 2FAS, Aegis, Bitwarden und Hardware-Schlüssel wie YubiKey als Alternativen genannt.
Interessant wird die Sache dort, wo man genauer betrachtet, wie die verschiedenen Authenticator-Apps ihre geheimen Schlüssel sichern und synchronisieren. Dann hat Google Authenticator tatsächlich Nachteile gegenüber einigen neueren Alternativen.
Google Authenticator synchronisiert Codes inzwischen über das Google-Konto
Die alte Warnung vor einem verlorenen Smartphone stammt aus einer Zeit, in der Google Authenticator seine TOTP-Secrets ausschließlich lokal gespeichert hat. War das Telefon kaputt oder verschwunden und existierten keine Recovery-Möglichkeiten beim jeweiligen Dienst, konnte es unangenehm werden.
Seit 2023 bietet Google eine Synchronisierung über das Google-Konto an. Meldest du dich auf einem neuen Gerät mit demselben Konto in Google Authenticator an, werden die gespeicherten Codes wieder bereitgestellt. Google empfiehlt diese Synchronisierung inzwischen selbst als Möglichkeit, einen Lockout nach einem Geräteverlust zu vermeiden.
Wer genau diese Verknüpfung nicht möchte, kann Authenticator weiterhin ohne Konto nutzen. Die Codes liegen dann ausschließlich auf dem Gerät und können über QR-Codes auf ein neues Smartphone übertragen werden. Damit entfällt auch die Behauptung, Google Authenticator müsse grundsätzlich an ein Google-Konto gekoppelt werden.
Es bleibt allerdings ein struktureller Nachteil der Cloud-Synchronisierung: Das Google-Konto wird zu einem sehr wichtigen Zugangspunkt. Google schreibt selbst, dass beim vollständigen Löschen des Google-Kontos auch die darin gespeicherten Authenticator-Codes gelöscht werden. Für ein vernünftig abgesichertes Konto sollten deshalb weitere Wiederherstellungswege vorhanden sein.
Der interessantere Kritikpunkt betrifft die Verschlüsselung des Syncs
Bei Einführung der Synchronisierung sorgte Google 2023 für Kritik, weil die Authenticator-Secrets zwar verschlüsselt übertragen wurden, die Synchronisierung aber keine echte Ende-zu-Ende-Verschlüsselung bot. Google stellte damals eine E2EE-Option für später in Aussicht. Eine entsprechende Zusicherung für den Authenticator-Sync findet sich in der aktuellen Google-Dokumentation weiterhin nicht; auch aktuelle Vergleiche führen Google Authenticator gegenüber E2EE-Lösungen weiterhin ohne Ende-zu-Ende-verschlüsselten Sync.
Das ist ein relevanter Unterschied. Ein TOTP-Code entsteht aus einem geheimen Schlüssel, der beim Einrichten der Zwei-Faktor-Authentifizierung zwischen dem jeweiligen Dienst und der Authenticator-App geteilt wird. Wer diesen sogenannten Secret Key erhält, kann selbst gültige Codes erzeugen. Entscheidend ist daher weniger der gerade angezeigte sechsstellige Code als der Schutz dieses zugrunde liegenden Secrets.
Bei einer Ende-zu-Ende-verschlüsselten Synchronisierung wird dieses Geheimnis bereits auf deinem Gerät so verschlüsselt, dass der Cloud-Anbieter selbst keinen Klartext erhalten kann. Genau hier setzen Ente Auth und Proton Authenticator an.
Das macht Google Authenticator nicht plötzlich zu einer unsicheren App. Für Millionen Nutzer dürfte ein synchronisierter Google Authenticator sogar deutlich sicherer sein als ein ausschließlich lokal gespeicherter Authenticator ohne Backup, dessen einziges Smartphone irgendwann im See landet. Wer jedoch gezielt eine Zero-Knowledge- beziehungsweise E2EE-Architektur für seine 2FA-Secrets sucht, bekommt inzwischen technisch interessantere Lösungen.
Ente Auth ist eine der überzeugendsten klassischen Alternativen
Ente Auth verfolgt einen ziemlich klaren Ansatz. Die App ist Open Source, funktioniert plattformübergreifend und synchronisiert die Authenticator-Daten Ende-zu-Ende-verschlüsselt. Ente beschreibt ausdrücklich, dass die Codes auf mehreren Geräten synchronisiert werden können, ohne dass der Anbieter selbst darauf zugreifen kann. Für Ente wurde außerdem eine externe kryptografische Prüfung durch Cure53 durchgeführt.
Das ist besonders interessant für Nutzer, die Authenticator-Codes auf Smartphone und Desktop benötigen. Die klassische Beschränkung auf ein einziges Mobiltelefon entfällt damit, während die Synchronisierung trotzdem verschlüsselt erfolgt.
Natürlich verschiebt sich auch hier die Frage zur Wiederherstellung. Verschlüsselung beseitigt das Lockout-Risiko nicht magisch. Wer Zugangsdaten und Wiederherstellungsmöglichkeiten verliert, kann sich auch aus einer besonders gut verschlüsselten Lösung aussperren. Genau diese Trennung zwischen Datenschutz und Account-Recovery geht in vielen pauschalen Empfehlungen zu Authenticator-Apps verloren.
Bei 2FAS muss man zwischen 2FAS Auth und 2FAS Pass unterscheiden
2FAS hat mittlerweile zwei Produkte, deren Namen leicht durcheinandergeraten. 2FAS Auth ist die eigentliche Authenticator-App. 2FAS Pass ist ein Passwortmanager. Für einen direkten Vergleich mit Google Authenticator ist deshalb 2FAS Auth relevant.
2FAS Auth ist Open Source, benötigt kein Benutzerkonto und arbeitet grundsätzlich local-first. Die TOTP-Secrets liegen auf dem Smartphone. Optional können Nutzer Backups beziehungsweise eine Synchronisierung über iCloud unter iOS oder Google Drive unter Android aktivieren. 2FAS empfiehlt zusätzlich, eine verschlüsselte Exportdatei auf einem externen Datenträger zu sichern.
Für den Desktop gibt es eine Browser-Erweiterung. Sie kommuniziert Ende-zu-Ende-verschlüsselt mit der App auf dem Smartphone; dabei bleibt das Telefon ein wesentlicher Bestandteil des Systems. Das unterscheidet sich von Lösungen wie Proton Authenticator oder Ente Auth, die eigenständige Desktop-Anwendungen anbieten.
2FAS Pass ist dagegen ein local-first Passwortmanager mit verschlüsseltem Vault und optionaler Speicherung über iCloud, Google Drive oder WebDAV. Der Anbieter bezeichnet den aktuellen Code als „source-available“ und kündigt vollständiges Open Source nach zwei Jahren an. Ihn schlicht als Open-Source-Authenticator zu beschreiben, vermischt daher zwei unterschiedliche Produkte.
Proton hat inzwischen einen eigenen kostenlosen Authenticator
Bei Proton ist die Lage ebenfalls etwas komplizierter geworden. Proton Pass kann TOTP-Codes zusammen mit den zugehörigen Passwörtern verwalten. Der integrierte 2FA-Authenticator gehört jedoch zu Pass Plus und anderen entsprechenden Bezahlplänen. Proton weist zudem selbst darauf hin, dass man Proton Pass nicht als TOTP-Authenticator für das eigene Proton-Konto verwenden sollte.
Seit Juli 2025 gibt es daneben Proton Authenticator als eigenständige App. Und genau diese ist für den Vergleich mit Google Authenticator deutlich spannender.
Proton Authenticator ist kostenlos, Open Source und benötigt nicht zwingend ein Proton-Konto. Es gibt Anwendungen für Android, iOS, Windows, macOS und Linux sowie Unterstützung für die Apple Watch. Wer die Synchronisierung über einen Proton Account aktiviert, erhält Ende-zu-Ende-verschlüsselte Synchronisation; Proton beschreibt sein System so, dass die unverschlüsselten Authenticator-Daten auch für Proton selbst nicht zugänglich sind.
Zusätzlich unterstützt die App Importe aus Google Authenticator, 2FAS, Aegis, Bitwarden Authenticator und Ente Auth sowie den erneuten Export der eigenen Codes. Damit wird auch ein späterer Anbieterwechsel nicht unnötig erschwert.
Für jemanden, der heute neu mit einer Authenticator-App beginnt und Smartphone sowie Desktop verwenden möchte, gehört Proton Authenticator deshalb zu den interessantesten kostenlosen Kandidaten.
Recovery-Codes sind wichtiger als die Frage nach dem App-Logo
Die Diskussion um die „beste“ Authenticator-App verdeckt ein praktisch viel größeres Risiko. Wer bei zwanzig Konten 2FA aktiviert und anschließend keinerlei Recovery-Codes sichert, hat unabhängig vom verwendeten Anbieter ein Problem vorbereitet.
Die meisten Dienste erzeugen beim Einschalten der Zwei-Faktor-Authentifizierung Wiederherstellungscodes oder erlauben zusätzliche Anmeldeverfahren. Diese Informationen gehören an einen sicheren Ort außerhalb des Authenticator-Geräts. Google empfiehlt für das eigene Konto ebenfalls zusätzliche zweite Faktoren und Backup-Möglichkeiten.
Gerade wichtige E-Mail-, Cloud-, Entwickler- oder Finanzkonten sollten außerdem nicht von einem einzigen Gerät oder einer einzigen Wiederherstellungsmethode abhängen. Für besonders wichtige Accounts kommen Passkeys oder FIDO2-Hardware-Schlüssel als weitere Ebene infrage. Ein Authenticator bleibt dann hilfreich, ist aber nicht mehr der einzige Rettungsanker.
Das ist auch die eigentliche Schwäche des pauschalen Rates „Benutze niemals Google Authenticator“. Ein Wechsel zu Ente Auth oder Proton Authenticator hilft wenig, wenn danach sämtliche Zugangsmöglichkeiten wieder an einem einzigen Passwort hängen und keinerlei Recovery-Strategie existiert.
Google Authenticator ist 2026 brauchbar – die Konkurrenz bietet trotzdem mehr
Google Authenticator ist heute deutlich besser aufgestellt als sein alter Ruf vermuten lässt. Codes können über das Google-Konto synchronisiert werden, die App kann zusätzlich durch die Gerätesperre geschützt werden, ein manueller Transfer ist möglich und wer keine Cloud-Verknüpfung möchte, verwendet sie einfach ohne Google-Konto. Die Behauptung, man verliere beim Verlust des Google-Kontos automatisch den Zugang zu allen damit abgesicherten Diensten, ist daher zu pauschal.
Trotzdem würde ich Google Authenticator 2026 nicht automatisch als erste Empfehlung wählen. Ente Auth bietet Open Source und Ende-zu-Ende-verschlüsselte Synchronisation über mehrere Plattformen. 2FAS Auth verfolgt einen überzeugenden local-first Ansatz und überlässt dem Nutzer die Kontrolle über seine Backups. Proton Authenticator verbindet inzwischen kostenlose Nutzung, Open Source, E2EE-Synchronisation und echte Desktop-Apps in einem sehr vollständigen Paket.
Wer Google Authenticator bereits eingerichtet hat, muss deshalb nicht hektisch Dutzende Konten umziehen. Wer gerade neu beginnt oder ohnehin seine 2FA-Struktur aufräumt, sollte sich die Alternativen ansehen. Der wichtigste Schritt bleibt dabei unspektakulär: Recovery-Codes sichern und für besonders wichtige Accounts mindestens einen weiteren unabhängigen Zugangsweg vorsehen. Genau daran entscheidet sich beim verlorenen Smartphone oder gesperrten Konto, ob aus einem kleinen Problem ein digitaler Totalschaden wird.
