Bei einer App für die Anmeldung zählt nicht, wie spektakulär sie aussieht, sondern ob sie genau dann zuverlässig arbeitet, wenn ich gerade auf ein geschütztes Konto zugreifen muss. FortiToken Mobile von Fortinet verfolgt deshalb einen sehr klaren Zweck: Die App erzeugt Einmalcodes für die Multi-Faktor-Authentifizierung und ergänzt damit das normale Passwort um eine zweite Sicherheitsebene. In meinem Alltag ist das weniger eine Anwendung, die ich lange erkunde, sondern ein kleines Werkzeug, das im Hintergrund bereitliegt und im richtigen Moment funktionieren muss.

Ich würde sie vor allem Menschen empfehlen, die sich an einem von Fortinet unterstützten Unternehmens- oder Arbeitskonto anmelden und dafür einen passenden OTP-Generator benötigen. Für diesen Zweck ist die App angenehm fokussiert. Sie versucht nicht, zusätzlich ein Notizbuch, einen Passwortmanager oder ein komplettes Sicherheitszentrum zu sein. Gleichzeitig bedeutet diese Spezialisierung, dass sie nicht automatisch die beste Wahl für jede private Anmeldung ist. Wer nur gelegentlich einen Code für verschiedene unabhängige Dienste braucht, sollte vorher prüfen, ob FortiToken Mobile tatsächlich mit dem jeweiligen Anmeldevorgang vorgesehen ist.

Wo die Anmeldung in der Praxis ins Stocken gerät

Die häufigste Schwierigkeit liegt meiner Erfahrung nach nicht im Ablesen eines Codes, sondern in der Einrichtung davor. Ein OTP-Generator kann nur dann helfen, wenn das Konto bereits für genau diese zusätzliche Anmeldemethode vorbereitet wurde. Wird die App einfach installiert, ohne dass die zuständige IT-Stelle oder der verwendete Fortinet-Dienst eine Aktivierung angestoßen hat, bleibt sie zunächst ohne sinnvolle Aufgabe. Das ist kein Fehler der Codeanzeige, sondern eine Frage der Zuordnung zwischen Konto und Gerät.

Gerade bei Arbeitskonten sollte ich daher nicht erst beim dringenden Login anfangen zu testen. Ich brauche den Aktivierungsprozess, die richtige Anmeldeseite und gegebenenfalls die Informationen, die mir die Organisation bereitstellt. Ein Screenshot oder eine Aktivierungsanleitung sollte dabei nicht auf einem anderen Gerät verloren gehen, wenn ich die App auf dem Smartphone einrichte. Der praktische Vorteil eines zweiten Bildschirms ist hier groß: Ich kann die Einrichtung auf dem Telefon durchführen und die nötigen Angaben gleichzeitig auf dem Computer sehen.

Ein weiterer Stolperstein ist die Erwartung, dass ein einmal erzeugter Code beliebig lange gültig bleibt. Einmalpasswörter sind gerade dafür gedacht, zeitlich begrenzt zu sein. Wenn ich einen Code zu spät eingebe oder zwischen mehreren Anmeldeversuchen wechsle, kann der erste Versuch bereits überholt sein. Dann hilft es meistens mehr, ruhig einen neuen Code abzuwarten und ihn direkt in das richtige Feld einzutragen, statt wiederholt denselben abgelaufenen Wert zu verwenden.

Auch die Gerätesituation spielt eine Rolle. Wenn ich das Smartphone wechsle, zurücksetze oder die App entferne, darf ich nicht automatisch davon ausgehen, dass die Konto-Verknüpfung einfach wieder auftaucht. Bei einer Authentifizierungs-App ist das Telefon Teil des Anmeldewegs. Deshalb sollte ich einen Gerätewechsel möglichst planen, solange ich noch Zugriff auf das geschützte Konto und auf den vorgesehenen Wiederherstellungsweg habe.

Die Anwendung selbst ist kostenlos und gehört zur Kategorie der Business-Apps. Fortinet entwickelt sie für diesen beruflichen Sicherheitskontext, nicht als allgemeine Sammlung beliebiger Login-Hilfen. Das erklärt auch, warum die Bewertung mit durchschnittlich 3,5 Sternen bei rund 4.000 Bewertungen eher gemischt wirkt: Für Nutzer, deren Organisation den Ablauf sauber vorbereitet, kann die App unauffällig funktionieren; für Personen, die eine spontane und universelle Authentifizierungslösung erwarten, entstehen dagegen schnell Fragen.

Was ich vor der Einrichtung prüfen würde

Bevor ich FortiToken Mobile installiere, kläre ich zuerst, welches Konto geschützt werden soll und wer die Aktivierung verwaltet. Bei einem Firmenkonto ist das häufig die interne IT oder die Person, die den Fortinet-Zugang betreut. Diese kurze Prüfung spart viel Zeit, denn ein korrekt installierter OTP-Generator ersetzt keine fehlende Kontenfreigabe.

Danach kontrolliere ich, ob mein Gerät die nötige Systemumgebung erfüllt. Die aktuelle Version 6.5.0.0030 setzt mindestens iOS oder Android in Version 10 voraus. Das ist besonders wichtig bei älteren Geräten, die zwar noch funktionieren, aber keine unterstützte Systembasis mehr besitzen. Wenn die Installation bereits an dieser Stelle scheitert, bringt es wenig, die Kontoaktivierung oder die Codes zu untersuchen.

Für die eigentliche Einrichtung nehme ich mir einen Moment ohne Zeitdruck. Ich halte das Smartphone entsperrt, öffne die bereitgestellte Aktivierungsinformation und achte darauf, dass ich nicht versehentlich ein anderes Arbeitskonto bestätige. Bei mehreren beruflichen Zugängen ist eine klare Zuordnung entscheidend. Ich würde jedes hinzugefügte Konto sofort mit einem echten, nicht kritischen Anmeldeversuch prüfen, bevor ich mich aus einer bestehenden Sitzung abmelde.

Ein nützlicher, oft übersehener Check ist die Uhrzeit des Geräts. Ein OTP-Code basiert auf einem zeitlichen Ablauf. Wenn die Systemzeit deutlich falsch ist, kann ein korrekt wirkender Code vom Server abgelehnt werden. Deshalb sollte die automatische Zeit- und Zeitzoneneinstellung des Smartphones aktiv sein. Dieser Schritt ist allgemein und sicher, ohne dass ich an den Kontoeinstellungen herumprobieren muss.

Ich prüfe außerdem, ob ich wirklich den Code aus dem richtigen Eintrag verwende. Bei mehreren Konten kann die ähnliche Darstellung verschiedener Einträge zu einem simplen Übertragungsfehler führen. Der Code ist dann nicht grundsätzlich falsch; ich habe nur den falschen Zugang ausgewählt. Besonders beim Wechsel zwischen privatem und beruflichem Konto lohnt sich ein kurzer Blick auf die Bezeichnung, bevor ich die Zahlen eingebe.

Die App ist für alle Altersgruppen freigegeben und kostenlos erhältlich. Das macht den Einstieg niedrigschwellig, sagt aber nichts darüber aus, ob sie für meinen konkreten Dienst geeignet ist. Der entscheidende Punkt ist die Unterstützung durch den Anmeldeanbieter. Ich installiere sie also nicht nach dem Motto „irgendeine Authentifizierungs-App wird schon passen“, sondern als Teil eines vorgesehenen Fortinet-Arbeitsablaufs.

Ein realistischer Arbeitsablauf vom Büro bis zum Außentermin

Ein typisches Beispiel ist ein Arbeitstag, an dem ich mich morgens am Firmenportal anmelde und später von unterwegs auf dieselbe Umgebung zugreife. Das Passwort allein reicht nicht, weil zusätzlich ein Einmalcode verlangt wird. Ich öffne FortiToken Mobile, wähle den passenden Kontoeintrag, übernehme den aktuellen Code und schließe die Anmeldung ab. Der Ablauf ist schnell, sobald die Einrichtung einmal stimmt.

Der wichtige Unterschied zwischen einem guten und einem frustrierenden Ablauf liegt in der Vorbereitung. Wenn ich erst im Zug bemerke, dass das neue Telefon noch nicht aktiviert ist, kann die App den fehlenden Registrierungsschritt nicht ersetzen. Deshalb würde ich einen Gerätewechsel im Büro oder an einem Ort mit erreichbarer Unterstützung testen. Ein kurzer erfolgreicher Login vor dem ersten Außentermin ist wertvoller als mehrere theoretische Annahmen.

Bei einem gemeinsam genutzten Computer hilft mir die App, den zweiten Faktor getrennt vom Browser zu halten. Ich muss den OTP-Code nicht dauerhaft in einem Dokument speichern, was ein unnötiges Risiko wäre. Dennoch sollte ich das Smartphone selbst schützen und nicht aus der Hand geben, während ein aktueller Code sichtbar ist. Die zusätzliche Sicherheit funktioniert nur, wenn ich auch den zweiten Faktor sorgfältig behandle.

Wenn ein Anmeldeversuch nicht klappt

Ich gehe bei einem abgelehnten Code schrittweise vor und ändere nicht alles gleichzeitig. Zuerst prüfe ich, ob ich den richtigen Kontoeintrag geöffnet habe. Danach warte ich auf einen neuen Code und gebe ihn ohne unnötige Verzögerung ein. Wenn das Problem bestehen bleibt, kontrolliere ich die automatische Uhrzeit des Geräts und wiederhole den Versuch an der vorgesehenen Anmeldeseite.

Falls die App nach einem Telefonwechsel leer wirkt oder ein Konto nicht mehr wie erwartet verfügbar ist, sollte ich nicht mehrfach neue Aktivierungen anfordern. Dadurch kann die Situation unübersichtlicher werden. Besser ist es, die zuständige IT-Stelle oder den Verantwortlichen des Kontos zu fragen, welcher Wiederherstellungs- oder Neuaktivierungsweg vorgesehen ist. Bei geschäftlichen Zugängen kann nur die betreuende Organisation sicher feststellen, ob der alte Geräteeintrag entfernt oder der neue registriert werden muss.

Wenn ich keinen Code sehe, unterscheide ich zwischen zwei Fällen: Die App zeigt keinen passenden Kontoeintrag, oder sie zeigt einen Eintrag, dessen Code beim Server nicht akzeptiert wird. Im ersten Fall geht es wahrscheinlich um Einrichtung oder Registrierung. Im zweiten Fall prüfe ich zuerst Zeit, Kontoauswahl und Eingabe. Diese Unterscheidung verhindert, dass ich die App vorschnell neu installiere und dadurch eine funktionierende Zuordnung verliere.

Eine Neuinstallation wäre für mich kein erster Reparaturschritt. Bei einer Authentifizierungs-App kann das Entfernen der Anwendung Teil der Ursache werden, wenn die ursprüngliche Aktivierung nicht erneut verfügbar ist. Ich würde vorher klären, ob die Organisation einen neuen Aktivierungsvorgang bereitstellen kann und ob ich noch eine alternative Anmeldemethode besitze. Erst danach wäre eine saubere Neueinrichtung sinnvoll.

Auch Netzwerkprobleme können die Wahrnehmung verfälschen. Der Code wird zwar in der App angezeigt, aber die eigentliche Anmeldung findet auf einer anderen Seite oder in einem Unternehmensdienst statt. Wenn diese Seite nicht erreichbar ist, wirkt es leicht so, als sei der Code schuld. Ich teste daher, ob die Anmeldeseite überhaupt lädt und ob andere Internetverbindungen funktionieren, bevor ich die Token-App verantwortlich mache.

Wann eher der Dienst oder das Konto die Ursache ist

FortiToken Mobile erzeugt den zweiten Faktor, aber es entscheidet nicht allein, ob mein Konto zugelassen ist. Ein gesperrtes Benutzerkonto, ein abgelaufenes Passwort, eine geänderte Sicherheitsrichtlinie oder ein nicht erreichbarer Unternehmensdienst kann den Login ebenfalls verhindern. In solchen Fällen kann ich in der App einen plausiblen Code sehen und trotzdem nicht hineinkommen. Die Diagnose muss dann außerhalb der Codeanzeige weitergehen.

Das ist einer der wichtigsten Unterschiede zu einem Passwortmanager mit integrierter Anmeldung. Ein Passwortmanager kann je nach Produkt Zugangsdaten speichern, ausfüllen und teilweise weitere Sicherheitsfunktionen bündeln. FortiToken Mobile ist dagegen auf den OTP-Teil konzentriert. Diese Trennung gefällt mir aus Sicherheits- und Übersichtsgründen, ist aber weniger bequem, wenn ich eine einzige Anwendung für Passwörter, Codes und Kontoverwaltung suche.

Im Vergleich zu einer universell eingesetzten Authenticator-App liegt die Stärke hier in der klaren Ausrichtung auf Fortinet-nahe Unternehmensabläufe. Die Schwäche ist die geringere Freiheit bei Konten, die nicht für diesen Weg vorgesehen sind. Für eine private Sammlung vieler unabhängiger Dienste würde ich zuerst prüfen, ob eine breiter ausgelegte Lösung besser zu meinem Alltag passt. Für einen verwalteten Firmenzugang ist die Spezialisierung dagegen ein Vorteil, weil weniger Funktionen vom eigentlichen Login ablenken.

Wer regelmäßig mehrere Smartphones nutzt, sollte außerdem überlegen, ob die Organisationsregeln das erlauben. Ein zweites Gerät klingt praktisch, kann aber bei der Registrierung, bei der Sicherheitsprüfung und bei der späteren Deaktivierung zusätzlichen Verwaltungsaufwand erzeugen. Ich würde nicht eigenmächtig parallele Kopien einrichten, sondern die erlaubte Vorgehensweise klären. Gerade im Business-Umfeld ist eine technisch mögliche Lösung nicht automatisch eine zulässige.

Für Familienmitglieder oder Kinder, die nur gelegentlich einen privaten Bestätigungscode benötigen, wäre die App vermutlich überdimensioniert, sofern kein passender Fortinet-Zugang vorhanden ist. Ihre Altersfreigabe ab null Jahren macht sie zwar grundsätzlich zugänglich, aber die Zielgruppe wird durch den beruflichen Einsatzzweck bestimmt, nicht durch die Altersangabe. Entscheidend ist also die Kontenverwaltung, nicht die Frage, ob die Bedienung kompliziert aussieht.

Was im täglichen Gebrauch angenehm und was störend ist

Mir gefällt, dass die Anwendung eine einzelne Aufgabe verfolgt. Wenn ich nur einen aktuellen Einmalcode brauche, muss ich nicht durch Nachrichten, Passwortlisten oder Werbeelemente navigieren. Diese Reduktion ist bei einer Sicherheits-App sinnvoll: Je weniger ich im entscheidenden Moment suchen muss, desto geringer ist die Gefahr, den falschen Eintrag oder einen alten Code zu verwenden.

Die Kehrseite zeigt sich bei der Fehlerbehebung. Eine schlanke OTP-App kann nicht selbst erklären, warum ein Unternehmensserver eine Anmeldung ablehnt, und sie kann eine fehlende Registrierung nicht ersetzen. Wer eine ausführliche Kontoverwaltung oder eine besonders komfortable Wiederherstellung erwartet, wird sich an die IT-Struktur hinter dem Konto wenden müssen. Das ist kein Mangel, den ich einfach mit einer anderen Einstellung beheben kann, sondern eine Grenze des gewählten Einsatzmodells.

Die Reichweite der Anwendung ist dennoch beachtlich: Sie wurde im März 2012 veröffentlicht und kommt inzwischen auf über eine Million Installationen. Diese lange Präsenz spricht für einen etablierten Einsatzbereich, ist aber kein Grund, die eigenen Einrichtungsschritte zu überspringen. Gerade bei einer App, die über Jahre mit unterschiedlichen Geräten und Unternehmensumgebungen genutzt wird, bleibt die konkrete Kontokonfiguration entscheidend.

Beim Datenschutz würde ich mich auf die Grundregel verlassen, die für jeden zweiten Faktor gilt: Das Smartphone und der angezeigte Code bleiben persönlich. Ich mache keine Fotos von aktuellen Codes, speichere sie nicht in einer ungeschützten Notiz und teile sie nicht per Chat. Wenn jemand den Code während eines laufenden Login-Versuchs erfragt, behandle ich das genauso kritisch wie die Weitergabe eines Passworts.

Mein Urteil für unterschiedliche Nutzergruppen

Für Beschäftigte, die von ihrer Organisation ausdrücklich FortiToken Mobile als zweiten Faktor erhalten, ist die App eine vernünftige und zweckmäßige Wahl. Sie erfüllt eine klar umrissene Aufgabe, ist kostenlos und in der aktuellen Version 6.5.0.0030 auf Geräten ab iOS oder Android 10 nutzbar. Ich würde sie in diesem Fall installieren, die Aktivierung in Ruhe durchführen und den Login sofort testen, solange eine alternative Unterstützung erreichbar ist.

Für private Nutzer ohne Fortinet-bezogenen Anmeldeprozess sehe ich dagegen keinen überzeugenden Grund, sie nur vorsorglich zu installieren. Eine allgemeine Authenticator-App kann für viele unabhängige Dienste flexibler sein, während ein Passwortmanager besser passt, wenn ich zusätzlich Zugangsdaten verwalten und automatisch ausfüllen möchte. FortiToken Mobile ist nicht schlechter, weil es weniger kann; es ist nur für einen engeren Zweck gebaut.

Mein praktischer Tipp ist, die App nicht erst dann einzurichten, wenn ein dringender Zugriff ansteht. Ich prüfe Konto, Aktivierung, Systemversion, automatische Uhrzeit und einen echten Test-Login in dieser Reihenfolge. Wenn ein Code abgelehnt wird, unterscheide ich zwischen falschem Eintrag, Zeitproblem, Netzwerkfehler und Kontosperre, bevor ich die Anwendung entferne. Die wichtigste Stärke liegt hier nicht in zusätzlichen Funktionen, sondern in einem sauber vorbereiteten zweiten Anmeldefaktor.

Unterm Strich ist FortiToken Mobile für den vorgesehenen Business-Einsatz ein fokussiertes Werkzeug von Fortinet. Die gemischte Durchschnittsbewertung von 3,5 Sternen zeigt, dass die Erfahrung stark davon abhängt, wie gut die Kontoaktivierung und die organisatorische Betreuung funktionieren. Ich empfehle die App deshalb klar denjenigen, deren Arbeitgeber oder Dienst sie verlangt. Wer dagegen eine universelle Lösung für beliebige private Konten sucht, sollte eine offenere Alternative wählen. Für den passenden Fortinet-Arbeitsablauf bleibt sie jedoch angenehm direkt: einrichten, aktuellen Code ablesen, anmelden und nur bei Problemen systematisch nach der eigentlichen Ursache suchen.

Highlights

• Unterstützt zeitbasierte Einmalcodes für zusätzliche Kontosicherheit.
• Funktioniert auch ohne Internetverbindung nach der Einrichtung.
• Mehrere Token lassen sich in einer App verwalten.
• Kompatibel mit vielen Fortinet-Diensten und gängigen 2FA-Anwendungen.
• Die App benötigt nur wenige Berechtigungen und arbeitet ressourcenschonend.

---

Einschränkungen

• Die Ersteinrichtung kann ohne Administratorhilfe kompliziert sein.
• Ein Gerätewechsel erfordert häufig eine erneute Token-Aktivierung.
• Bei Verlust des Smartphones kann der Kontozugriff erschwert werden.
• Die Benutzeroberfläche wirkt im Vergleich zu modernen Authenticator-Apps schlicht.
• Für manche Funktionen ist eine kostenpflichtige FortiToken-Lizenz notwendig.

Häufig gestellte Fragen

Was ist FortiToken Mobile und wofür wird die App benötigt?

FortiToken Mobile ist eine Authenticator-App für die Zwei-Faktor-Authentifizierung (2FA). Sie erzeugt zeitbasierte Einmalpasswörter, die zusätzlich zu Benutzername und Passwort eingegeben werden müssen. Die App wird häufig für Fortinet-Dienste wie FortiGate, FortiClient VPN oder FortiAuthenticator eingesetzt, kann je nach Einrichtung aber auch andere kompatible Konten unterstützen. Ohne eine vorherige Aktivierung durch den Administrator ist sie normalerweise nicht eigenständig nutzbar.

Wie wird FortiToken Mobile eingerichtet und aktiviert?

Nach der Installation muss ein FortiToken für Ihr Konto eingerichtet werden. In der Regel erhalten Sie dafür einen QR-Code, einen Aktivierungscode oder einen Link von Ihrem Unternehmen beziehungsweise Netzwerkadministrator. Der Code wird in FortiToken Mobile gescannt oder manuell eingegeben. Anschließend zeigt die App regelmäßig wechselnde Sicherheitscodes an. Da die Aktivierung an ein bestimmtes Konto gebunden sein kann, sollten Sie die erhaltenen Anweisungen genau befolgen und den Aktivierungscode nicht an andere Personen weitergeben.

Funktioniert FortiToken Mobile auch ohne Internetverbindung?

Nach der erfolgreichen Einrichtung kann FortiToken Mobile die zeitbasierten Einmalpasswörter normalerweise auch ohne aktive Internetverbindung erzeugen. Das ist praktisch, wenn Sie unterwegs sind oder keinen mobilen Datenempfang haben. Wichtig ist jedoch, dass die Uhrzeit auf dem Smartphone möglichst korrekt eingestellt ist, weil die Codes zeitabhängig sind. Für die erste Aktivierung, bestimmte Synchronisierungen oder spezielle Anmeldeverfahren kann dennoch eine Internetverbindung erforderlich sein.

Was passiert, wenn ich mein Smartphone verliere oder ein neues Gerät kaufe?

Bei einem verlorenen, gestohlenen oder zurückgesetzten Smartphone sollten Sie unverzüglich Ihren IT-Administrator oder den zuständigen Dienstanbieter informieren. Das bisherige Token kann aus Sicherheitsgründen deaktiviert und auf einem neuen Gerät neu eingerichtet werden. Eine automatische Übertragung ist nicht in jedem Fall möglich. Erstellen Sie deshalb keine Screenshots Ihrer Einmalcodes und bewahren Sie Aktivierungsdaten nur so auf, wie es Ihre Organisation ausdrücklich empfiehlt.

Ist FortiToken Mobile kostenlos und welche Berechtigungen benötigt die App?

Ob FortiToken Mobile kostenlos verfügbar ist, hängt vom jeweiligen Fortinet-Produkt, Lizenzmodell und der Einrichtung durch Ihre Organisation ab. Die App selbst kann zwar ohne klassische Abonnementgebühr angeboten werden, die benötigte Fortinet-Infrastruktur oder ein Dienstzugang kann jedoch kostenpflichtig sein. Für die Aktivierung kann die Kamera zum Scannen eines QR-Codes benötigt werden. Prüfen Sie vor dem Download außerdem die aktuelle Datenschutzerklärung sowie die im App Store oder bei Google Play aufgeführten Berechtigungen.