Die Sicherheit von solchen Tokens

Wenn es die Dinger für mobile Geräte gibt, dann werden die
Algorithmen doch eh frei verfügbar sein. So wie ich solche Geräte
kenne, nutzen die die Atomzeit (bei mobilen Geräten braucht es dazu
einen Internetzugang) und eine auf dem Gerät aufgedruckte
Seriennummer, um daraus dann eine Zahlenfolge zu berechnen. Die ist
dann für paar Minuten gültig. Da spielt es doch keine Rolle wer den
Algorithmus kennt und es gibt auch nichts was man stehlen könnte.
Außer eine Liste welchem User welche Seriennummer zugeordnet ist,
aber die liegt doch bei dem, wo ich mich einloggen will, also sehr
verteilt.

Oder was verstehe ich an der Meldung falsch?