Dein Muster entsperrt den Tresor.
Ein zweiter Faktor bestätigt deine Identität.
Dein Muster entsperrt den Hauptschlüssel. Die Zwei-Faktor-Authentifizierung fügt danach eine zweite Prüfung hinzu. Selbst wenn jemand dein Muster kennt, muss die Person Face ID oder Touch ID bestehen, die PIN eingeben oder deinen Hardware-Schlüssel verwenden. Der Tresor öffnet sich erst, wenn beide Prüfungen erfolgreich sind.
Face ID oder Touch ID
Der schnellste zweite Faktor. Dein Gesicht oder Fingerabdruck entsperrt den Tresor in weniger als einer Sekunde. Biometrische Daten verlassen niemals die Secure Enclave deines Geräts.
Am schnellsten6-stellige PIN
Ein separater sechsstelliger Code, unabhängig vom iPhone-Code. Ein Geheimnis, das du kennst, ohne biometrische Hardware und unter allen Bedingungen verwendbar.
Am einfachstenYubiKey per NFC
Ein physischer Hardware-Schlüssel, den du an dein Handy hältst. Selbst wenn dein Handy gestohlen oder mit Malware infiziert wird, bleibt der Schlüssel getrennt. Der einzige Faktor, der überhaupt nicht auf dem Handy liegt. Mehr über YubiKey erfahren.
Am unabhängigstenWas passiert, nachdem du das Muster zeichnest.
Die Zwei-Faktor-Authentifizierung in ArkWarden ist kein Anmeldebildschirm mit einem Code aus deiner E-Mail. Sie ist eine zweite Prüfung, die ausgeführt wird, nachdem dein Muster bereits den Hauptschlüssel entsperrt hat. Die Reihenfolge ist wichtig.
Das Muster entsperrt den Hauptschlüssel
Du zeichnest dein Muster. ArkWarden führt die Schlüsselableitung aus, der daraus erzeugte Schlüssel versucht, den Hauptschlüssel zu entschlüsseln, und dieser Vorgang ist entweder erfolgreich oder nicht. Wenn er fehlschlägt, siehst du den Bildschirm für den zweiten Faktor gar nicht, weil es an diesem Punkt keinen Hauptschlüssel zu schützen gibt. So entscheidet die Kryptografie, ob das Muster korrekt war.
Der zweite Faktor entscheidet, ob sich der Tresor öffnet
Wenn du einen zweiten Faktor eingerichtet hast, zeigt ArkWarden den Tresor noch nicht an. Stattdessen startet die Prüfung des zweiten Faktors:
- Face ID oder Touch ID führt dich durch Apples biometrisches System.
- Ein PIN-Bildschirm fragt nach deinen sechs Ziffern.
- Eine YubiKey-Meldung fordert dich auf, deinen Hardware-Schlüssel an die Rückseite deines Handys zu halten.
Der Tresor bleibt gesperrt, bis der zweite Faktor eine erfolgreiche Prüfung meldet. Wenn du abbrichst, die Prüfung fehlschlägt oder die App schließt, kehrst du zum Sperrbildschirm zurück.
Der Tresor öffnet sich
Der zweite Faktor ist erfolgreich, der Tresor wird angezeigt und der Hauptschlüssel bleibt im Speicher, bis du die App sperrst oder schließt. Wenn du später zurückkehrst, läuft die vollständige Abfolge von Anfang an erneut. Immer zuerst das Muster, dann der zweite Faktor.
ArkWarden implementiert weder einen eigenen biometrischen Abgleich noch eigene Vergleichslogik oder einen eigenen FIDO-Stack. Jede Methode läuft über Apples Frameworks oder das SDK von Yubico. Wir verwenden die Standards so, wie sie vorgesehen sind, ohne Abkürzungen.
Warum sich eine zusätzliche Sekunde für den zweiten Faktor lohnt.
Ein einzelner Faktor ist ein einzelner Schwachpunkt. Zwei Faktoren teilen die möglichen Fehlerquellen auf. Wer dein Muster beobachtet, kommt trotzdem nicht hinein. Ein verlorenes Handy reicht ebenfalls nicht. Beide Faktoren müssen dir gehören.
| Nur Muster | Muster + Face ID / Touch ID | Muster + PIN | Muster + YubiKey | |
|---|---|---|---|---|
| Was du zum Entsperren brauchst | Das Muster | Muster und dein Gesicht oder Fingerabdruck | Muster und sechs Ziffern | Muster und der physische Schlüssel |
| Schützt, wenn jemand dein Muster beobachtet | No | Yes | Yes | Yes |
| Funktioniert bei wenig Licht oder mit Maske | Yes | Manchmal nicht | Yes | Yes |
| Der Faktor bleibt von einem geklonten Gerät getrennt | Hängt von der Methode ab | Ja. Biometrie an die Secure Enclave gebunden. | Ja. Die PIN wird nicht auf andere Geräte übertragen. | Ja. Der Hardware-Schlüssel ist ein separates Gerät. |
| Der Faktor befindet sich überhaupt nicht auf dem Handy | No | No | No | Yes |
| Komfort | Am höchsten | Am höchsten | Hoch | Etwas langsamer (NFC-Kontakt) |
Das Muster steuert die Entschlüsselung. Der zweite Faktor steuert den Zugriff.
Dein Muster entscheidet, ob die Verschlüsselung geöffnet wird. Dein zweiter Faktor entscheidet, ob der Tresor nach erfolgreicher Musterprüfung angezeigt wird. Diese beiden Aufgaben zu trennen macht die Kombination stärker als jede einzelne Kontrolle.
Wähle den zweiten Faktor, der zu deiner Situation passt.
Wähle Face ID oder Touch ID, wenn es dir vor allem um beiläufigen Zugriff, ein verlorenes Handy oder jemanden geht, der dein Muster durch Beobachten kennt. Wähle eine PIN, wenn du einen Code ohne biometrische Abhängigkeit verwenden möchtest. Wähle einen YubiKey, wenn der Faktor überhaupt nicht auf dem Handy liegen soll. ArkWarden unterstützt alle drei Methoden, und du kannst deine Wahl später ändern.
Die Zwei-Faktor-Authentifizierung ist optional.
Manche möchten maximalen Komfort, andere maximalen Schutz. ArkWarden lässt dir die Wahl. Du kannst nur das Muster verwenden, das bereits ein echtes kryptografisches System ist. Einen zweiten Faktor kannst du jederzeit in den Einstellungen hinzufügen. Während der Einrichtung wirst du zu keiner der beiden Optionen gedrängt. Wenn du einen YubiKey verwendest und ihn verlierst, kannst du mit deiner Wiederherstellungsphrase die Zwei-Faktor-Authentifizierung umgehen und den Zugriff zurückerlangen.
Was jeder zweite Faktor tatsächlich ist.
ArkWarden unterstützt drei Methoden. Wähle diejenige, die zu deiner tatsächlichen Nutzung des Handys passt.
Face ID und Touch ID
ArkWarden verwendet Apples LocalAuthentication-Framework zur biometrischen Prüfung. Der eigentliche Abgleich findet innerhalb der Secure Enclave statt, einem eigenen Sicherheitschip in deinem iPhone. Face-ID- oder Touch-ID-Daten gelangen nie in das normale iOS-Dateisystem, in den Prozessspeicher von ArkWarden oder aus dem Gerät heraus.
ArkWarden erhält lediglich ein binäres Ergebnis: erfolgreich oder fehlgeschlagen. Wir sehen weder das biometrische Muster noch Zwischenwerte oder das, was die Kamera gesehen hat. Der gesamte biometrische Vorgang läuft innerhalb der Sicherheitsgrenze von Apple.
Die 6-stellige PIN
Die PIN ist ein sechsstelliger Geheimcode, den du bei der Einrichtung wählst. Sie wird auf deinem Gerät mit einer iOS-Schutzklasse gespeichert, die ein entsperrtes Gerät voraussetzt und die Übertragung auf ein anderes Gerät verhindert. Es gibt keine Kopie in der Cloud und keine Synchronisierung.
Die PIN ist unabhängig vom Code deines iPhones. Das Festlegen einer PIN in ArkWarden ändert nichts am Sperrbildschirm deines iPhones, und eine Änderung des iPhone-Codes ändert nichts in ArkWarden. Wir empfehlen, für beide Systeme unterschiedliche Werte zu wählen.
YubiKey per NFC
Ein YubiKey ist ein kleiner physischer Sicherheitsschlüssel von Yubico. ArkWarden kommuniziert mit ihm über FIDO2 / WebAuthn, denselben Standard, den Google, Microsoft und Finanzinstitute weltweit für besonders wichtige Konten verwenden.
Bei der Registrierung erzeugt der YubiKey intern ein öffentliches und ein privates Schlüsselpaar und übergibt ArkWarden den öffentlichen Schlüssel. Der private Schlüssel verlässt den YubiKey nie. Beim Entsperren sendet ArkWarden eine zufällige Anfrage an den YubiKey, der sie mit dem internen privaten Schlüssel signiert. ArkWarden prüft anschließend die Signatur. Das bedeutet:
- Wer dein Handy klont, erhält dadurch keinen YubiKey. Zusätzlich muss die Person die physische Hardware besitzen.
- Wer nur den YubiKey stiehlt, kann deinen Tresor nicht lesen. Das Muster wird weiterhin benötigt.
- Du kannst denselben YubiKey für andere Dienste verwenden, ohne diesen Diensten Zugriff auf deinen ArkWarden-Tresor zu geben.
Du kannst bis zu zwei YubiKeys pro Tresor registrieren. Der zweite Schlüssel dient als Sicherung. Wenn du einen verlegst, funktioniert der andere weiterhin. Die vollständige Einrichtung, Screenshots und Wiederherstellungsdetails findest du auf der YubiKey-Seite.
Die Prüfungskette von Anfang bis Ende
| Teil | Was er tut | Wo das Geheimnis gespeichert ist |
|---|---|---|
| Muster | Hilft, den Hauptschlüssel durch Schlüsselableitung und die Secure Enclave zu entsperren | In deinem Gedächtnis und deinem Muskelgedächtnis |
| Entschlüsselung des Hauptschlüssels | Authentifizierte Entschlüsselung, die nur mit dem richtigen abgeleiteten Schlüssel funktioniert | Verschlüsselter Hauptschlüssel im iOS-Schlüsselbund, im Ruhezustand durch die Secure Enclave geschützt |
| Face ID oder Touch ID | Prüft Gesicht oder Fingerabdruck | Biometrisches Muster in der Secure Enclave, für ArkWarden nie sichtbar |
| PIN | Vergleicht die sechs Ziffern, die du festgelegt hast | Im iOS-Schlüsselbund gespeichert, im Ruhezustand durch die Secure Enclave verschlüsselt und an das Gerät gebunden |
| YubiKey | Signiert eine neue zufällige Anfrage mit FIDO2 / WebAuthn | Der Signaturschlüssel wird auf dem YubiKey selbst gespeichert, nicht auf dem Handy |
Was sich ändert, wenn du deinen zweiten Faktor änderst
Du kannst die Methode jederzeit in den Einstellungen wechseln. Beim Wechsel werden deine Dateien nicht erneut verschlüsselt, weil die Verschlüsselung an dein Muster und nicht an den zweiten Faktor gebunden ist. Der zweite Faktor ist eine Prüfung, bevor der entsperrte Tresor angezeigt wird. Du änderst also die Prüfung, nicht die Verschlüsselung.
Was Nutzer normalerweise als Nächstes fragen.
Ist die Zwei-Faktor-Authentifizierung erforderlich?
Sieht ArkWarden jemals mein Gesicht oder meinen Fingerabdruck?
Ist die PIN dieselbe wie mein iPhone-Code?
Kann ich einen YubiKey auf dem iPhone verwenden?
Wie richte ich einen YubiKey mit ArkWarden ein?
Funktioniert der YubiKey mit USB-C auf dem iPhone?
Kann ich mehr als einen YubiKey registrieren?
Was passiert, wenn ich meinen YubiKey ohne Ersatz verliere?
Was passiert, wenn ich den Zugriff auf meinen zweiten Faktor vollständig verliere – Face ID oder Touch ID, PIN oder YubiKey?
Wird die PIN außerhalb meines Telefons gespeichert?
Funktioniert ArkWarden für die Prüfung des zweiten Faktors ohne Internet?
Kann ich meinen zweiten Faktor später ändern?
Was passiert, wenn ich gezwungen werde, meinen Tresor zu entsperren?
Situationen, in denen ein zweiter Faktor wichtig ist.
Ein Muster ist gut.
Zwei Faktoren sind besser.
Dein Muster entsperrt den Hauptschlüssel. Dein zweiter Faktor ist eine zusätzliche Prüfung, bevor sich der Tresor öffnet. Wähle die Methode, die zu dir passt. ArkWarden unterstützt alle drei und du kannst sie jederzeit ändern.
Richte deine Kamera auf den Code.
