2FAS Authenticator im Test: Open Source ohne Konto

2FAS Auth ist ein kostenloser, quelloffener Authenticator für iPhone und Android, der ohne Konto funktioniert und Ihre Codes auf Ihrem eigenen Gerät hält. Er erzeugt die standardisierten zeitbasierten Codes (TOTP, siehe unsere Erklärung zu TOTP-Codes), die tausende Dienste als zweiten Faktor akzeptieren, und bringt einige nützliche Extras mit: verschlüsseltes Backup, Browser-Erweiterung und Apple-Watch-Unterstützung. Dieser Test ist eine redaktionelle Einschätzung auf Basis der Herstellerdokumentation und veröffentlichter Angaben mit Stand Oktober 2026, kein Labortest.

Wer dahintersteckt

2FAS wird von einem Team aus Polen entwickelt, eingetragen als Two Factor Authentication Service, Inc. Der Authenticator ist kostenlos. Daneben gibt es mit 2FAS Pass einen separaten Passwortmanager mit bezahlten Optionen, dieser Test behandelt aber nur den Authenticator. Das Projekt veröffentlicht seinen Quellcode auf GitHub, darunter die mobilen Apps, die Browser-Erweiterung und die API, und dokumentiert seine Kryptografie.

Wichtige Funktionen

Funktion	2FAS Auth
Plattformen	iOS, Android, Browser-Erweiterung, Apple Watch
Konto nötig	Nein
Offline nutzbar	Ja
Backup	Optionales verschlüsseltes Backup in Ihr eigenes Cloud-Konto; manueller Export auch als passwortgeschützte Datei
Open Source	Ja (Apps, Erweiterung, API)
Ordnung	Gruppen, Symbole, Abzeichen und Labels; Suche
Sperre	PIN-Schutz; Token lassen sich verbergen, bis Sie sie brauchen
Herkunft	Polen
Kosten	Kostenlos

Backup und Export

Die wichtigste Frage bei jedem Authenticator lautet: Was passiert, wenn das Handy weg ist? 2FAS bietet eine verschlüsselte Synchronisierung in Ihr eigenes Cloud-Konto und einen manuellen Export im eigenen Backup-Format, auf Wunsch mit Passwort. Ihre Token werden verschlüsselt, bevor sie das Gerät verlassen, und das Team gibt an, keine Nutzerdaten zu erheben oder einzusehen. Damit haben Sie die Kontrolle, aber auch die Verantwortung: Vergessen Sie das Backup-Passwort, kann es Ihnen niemand wiederherstellen.

Tun Sie bei der Einrichtung drei Dinge. Schalten Sie das verschlüsselte Backup ein, bevor Sie viele Konten hinzufügen, legen Sie das Backup-Passwort in Ihrem Passwortmanager oder an einem anderen sicheren Ort ab und testen Sie eine Wiederherstellung auf einem zweiten Gerät. Unser Ratgeber zu Backup-Codes behandelt die andere Hälfte der Wiederherstellung: die einmaligen Codes, die jeder Dienst beim Einschalten von 2FA anzeigt.

Browser-Erweiterung und Apple Watch

Die optionale Browser-Erweiterung ist ein Alleinstellungsmerkmal. Nach dem Koppeln mit der Handy-App erscheint eine Anmeldeanfrage auf Ihrem Telefon, Sie bestätigen sie, und der Code gelangt über eine Ende-zu-Ende-verschlüsselte Verbindung in den Browser. Das erspart das Abtippen von sechs Ziffern am Computer. Einen eigenen Code-Speicher auf dem Desktop legt sie nicht an, das Handy bleibt die einzige Quelle.

Die App unterstützt außerdem die Apple Watch, Codes lassen sich also am Handgelenk ablesen. Token können Sie in Gruppen sortieren und beschriften, was bei dreißig oder mehr Konten hilft.

Datenschutz und Offenheit

2FAS gibt an, dass die Geheimnisse auf dem Gerät bleiben, solange Sie nichts anderes entscheiden, dass kein Konto nötig ist und die App offline funktioniert. Weil der Code offen ist, können Forschende prüfen, wie Geheimnisse gespeichert und Backups verschlüsselt werden. Offenheit ist wie bei jeder App ein gutes Zeichen, kein Zertifikat. Ein eigenes Code-Audit haben wir nicht durchgeführt, Sicherheitsaussagen sind daher Angaben des Herstellers.

Grenzen

• Keine Desktop-App. Die Browser-Erweiterung hilft, eine native Windows-, macOS- oder Linux-App gibt es aber nicht. Wer Codes ohne das Handy am Computer will, schaut sich Ente Auth an.
• Backup ist keine Live-Synchronisierung. Sie stellen aus einem Backup wieder her, statt einen fortlaufend synchronisierten Tresor über mehrere Geräte zu haben.
• Geheimnisse nur mobil. Ist das Handy Ihre einzige Kopie und Sie verzichten auf das Backup, können Sie ausgesperrt werden.
• Codes sind weiter phishbar. Eine überzeugende gefälschte Seite kann nach den sechs Ziffern fragen. Passkeys und Hardware-Schlüssel widerstehen dem, siehe unseren Ratgeber zur Zwei-Faktor-Authentifizierung und die Übersicht der Sicherheitsschlüssel.
• Alternative nur für Android mit mehr Kontrolle. Wenn Sie ausschließlich Android nutzen und den Speicherort der Backups selbst bestimmen möchten, ist Aegis einen Blick wert.

Für wen sie sich lohnt

2FAS passt zu Menschen mit iPhone und Android, die eine offene, kostenlose und leicht einzurichtende App ohne Konto möchten und später über den Export wechseln können. Sie ist auch sinnvoll für Haushalte mit gemischten iOS- und Android-Geräten und für alle, die per Browser-Erweiterung das Abtippen von Codes sparen wollen. Einen breiteren Vergleich bietet unsere Liste der besten Authenticator-Apps.

So haben wir bewertet

Dieser Test beruht auf der Website von 2FAS, der veröffentlichten Dokumentation, den Beschreibungen des Open-Source-Repositorys und öffentlichen Angaben zu den Funktionen. Wir haben keine Labortests durchgeführt, den Code nicht geprüft, nichts gemessen und vergeben keine Sterne. Aussagen zu Verschlüsselung und Datenverarbeitung stammen vom Projekt selbst. Funktionen können sich zwischen iOS und Android leicht unterscheiden und mit App-Updates ändern, prüfen Sie daher den aktuellen Store-Eintrag für Ihre Plattform.

In fünf Schritten starten

1. Installieren Sie die App aus dem offiziellen Store Ihres Telefons und öffnen Sie sie, ohne ein Konto anzulegen.
2. Schalten Sie das verschlüsselte Backup ein, wählen Sie ein starkes Backup-Passwort und legen Sie es in Ihrem Passwortmanager ab.
3. Fügen Sie Konten per Scan des QR-Codes hinzu, den jeder Dienst beim Einschalten der Zwei-Faktor-Authentifizierung anzeigt.
4. Speichern Sie die Backup-Codes jedes Dienstes getrennt vom Telefon.
5. Stellen Sie das Backup einmal auf einem zweiten Gerät wieder her, damit Sie wissen, dass es funktioniert, bevor Sie es brauchen.

Fazit

2FAS Auth erfüllt, was ein Authenticator leisten soll: Es hält Ihre Codes privat, lässt Sie sie verschlüsselt sichern und mitnehmen. Die App ist einfach, kostenlos und offen. Die fehlende Desktop-App und der Backup-basierte Wechsel zwischen Geräten sind die wichtigsten Kompromisse. Richten Sie zuerst das Backup ein, testen Sie es und bewahren Sie die einmaligen Wiederherstellungscodes Ihrer wichtigen Konten getrennt auf.