Clockwork: 2FA-Authenticator

Clockwork ist ein Zwei-Faktor-Authenticator (2FA), der TOTP-Codes vollständig auf deinem Gerät erzeugt. Die App deklariert keine INTERNET-Berechtigung — sie kann keine Verbindung öffnen, und das steht für jeden nachlesbar im Manifest, bevor man ein Wort davon glaubt.

Das ist der Unterschied. Die meisten Authenticator-Apps halten Netzzugriff für Sync, Dienst-Icons oder Update-Prüfungen. Clockwork hat die Berechtigung nicht, also stellt sich die Frage gar nicht.

WAS SIE KANN
• TOTP-Codes nach RFC 6238 — SHA-1, SHA-256 oder SHA-512, 6 bis 8 Stellen, beliebige Periode.
• Konten hinzufügen, wie du sie gerade hast: QR-Code scannen, QR-Bild importieren, otpauth://-Link einfügen oder Base32-Secret tippen. Ein kompletter Google-Authenticator-Export wird automatisch umgewandelt.
• Ein Zifferblatt mit 30er-Teilung und wanderndem Zeiger zeigt die Restzeit — eine Position, die man auf einen Blick abliest, kein schrumpfender Balken.
• Ein Tipp kopiert den Code, und der nächste steht schon da, bevor er gilt.
• Kaputte Eingaben werden Zeile für Zeile erklärt statt still verschluckt.

DEINE SECRETS BLEIBEN DEINE
• Voreingestellt wird gar nichts gespeichert. App zu, Secrets weg.
• Schaltest du den Tresor ein, bleiben sie hier — verschlüsselt mit deiner Passphrase: AES-256-GCM, Schlüssel abgeleitet per PBKDF2-SHA-256 mit 600.000 Iterationen. Auf die Platte geht nur der versiegelte Umschlag: nie der Klartext, nie die Passphrase, nie der abgeleitete Schlüssel.
• Aufsperren per Fingerabdruck, wenn du magst. Die Passphrase bleibt der einzige Weg zurück.
• Sperrt automatisch nach einer Zeit deiner Wahl und beim Verlassen der App. Bildschirmfotos und Vorschaubilder lassen sich sperren.
• Das Android-Backup ist abgeschaltet — der verschlüsselte Tresor verlässt das Gerät nicht.

DATENSCHUTZ
Es wird nichts erhoben, weil es nirgendwo hingehen könnte. Kein Analytics, keine Telemetrie, keine Update-Abfragen, keine Werbe-Kennungen, keine Konten, keine Werbung. Die Kamera-Berechtigung dient allein dem QR-Sucher und ist als freiwillige Hardware deklariert — QR aus Bild funktioniert ohne sie.

ZUM NACHPRÜFEN GEBAUT
Open Source unter der MIT-Lizenz. Die OTP-Algorithmen sind von Hand nach den RFC-Testvektoren geschrieben — keine OTP-Bibliothek. Quelltext, Testlauf und die Messskripte hinter jeder Zusage oben liegen öffentlich unter github.com/keco216/clockwork.

Spricht 37 Sprachen, alle mitgebündelt, auch Layouts von rechts nach links.

Ab Android 8.0. Auf Android 7 bleibt 1.5.4 die letzte Fassung.

Eine Sache, unabhängig von dieser App: Richte bei jedem Anbieter Backup-Codes ein, bevor du dich auf einen Authenticator verlässt. Sie sind das Einzige, was dich wieder hineinlässt, wenn ein Secret weg ist.

Clockwork 2.0 ist eine native Android-App, neu geschrieben in Kotlin und Jetpack Compose — keine Browser-Engine mehr.

• Ab Android 8.0. Auf Android 7 bleibt 1.5.4 die letzte Fassung.
• Ein vorhandener Tresor wandert beim Update von selbst mit — nichts exportieren, nichts neu tippen.
• Aufsperren per Fingerabdruck. Die Passphrase bleibt der einzige Weg zurück.
• Weiterhin keine INTERNET-Berechtigung.