Wie vertrauenswürdig ist Aegis Authenticator?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
16 BelegeDas Vault-Design ist öffentlich mit AES-256-GCM, scrypt und slotbasiertem Key-Wrapping dokumentiert.
Quelle prüfen ↗Die FAQ sagt, dass Aegis keinen Internetzugriff hat und Backup-Flows damit außerhalb eines In-App-Netzdienstes bleiben.
Quelle prüfen ↗Das README veröffentlicht passende Signatur-Fingerprints für Google-Play- und GitHub-APKs.
Quelle prüfen ↗USENIX fand, dass Aegis vor Klartext-Exporten warnt und eine explizite Bestätigung verlangt.
Quelle prüfen ↗Google Play deklariert derzeit keine Datenerhebung und keine Datenweitergabe.
Quelle prüfen ↗Google Play veröffentlicht eine niederländische Postadresse, Telefonnummer und Support-E-Mail.
Quelle prüfen ↗Das README begrüßt öffentliche Bugreports und Pull Requests.
Quelle prüfen ↗Die F-Droid-Verifikation zeigt mehrere aktuelle reproduzierbare Builds.
Quelle prüfen ↗Die GitHub-Releases bleiben bis v3.4.2 vom 24. Februar 2026 aktuell.
Quelle prüfen ↗Im Januar 2026 landeten Commits von beiden öffentlichen Kernmitgliedern.
Quelle prüfen ↗Das README verlinkt einen öffentlichen Matrix-Raum für Nutzer- und Beitragenden-Support.
Quelle prüfen ↗Offizielle Listings dokumentieren HOTP- und TOTP-Kompatibilität.
Quelle prüfen ↗Das Vault-Dateiformat ist öffentlich als JSON dokumentiert.
Quelle prüfen ↗Die Vault-Doku enthält ein Referenzskript `decrypt.py`.
Quelle prüfen ↗Offizielle Listings dokumentieren manuelle Exporte und automatische Backups an einen nutzergewählten Ort.
Quelle prüfen ↗Offizielle Listings dokumentieren Importe aus vielen gängigen Authenticator-Apps.
Quelle prüfen ↗Vorbehalte
5 PunkteVaults können weiter im Klartext gespeichert werden, daher wird lokaler Geräteverlust ohne Passwortschutz deutlich riskanter.
Quelle prüfen ↗GitHub zeigt weder SECURITY.md noch veröffentlichte Advisories, wodurch das Schwachstellen-Handling weniger formalisiert bleibt.
Quelle prüfen ↗Die öffentliche Org-Mitgliedschaft zeigt zwei Kernmitglieder, daher bleibt Liefer- und Sicherheitskapazität konzentriert.
Quelle prüfen ↗Aktuelle offene Issues enthalten weiter Import- und Migrationskantenfälle, daher sollten Restores vor Gerätewechseln getestet werden.
Quelle prüfen ↗Ein dokumentierter Malware-Klon kopierte Aegis-Code, daher bleiben sideloaded Lookalikes ein reales Supply-Chain-Risiko.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.