Was ist TOTP? So funktionieren Authenticator-Codes — und so nutzen Sie unseren Generator

Wenn Sie schon einmal Google Authenticator, Authy, 1Password oder Apple Passwords geöffnet und einen sechsstelligen Code eingegeben haben, der alle 30 Sekunden wechselt, haben Sie TOTP genutzt — Time-based One-Time Password.

TOTP ist die gängigste App-basierte 2FA. Stärker als SMS gegen viele Alltagsbedrohungen, schwächer als Passkeys gegen Echtzeit-Phishing — und trotzdem Standard-Zweitfaktor bei unzähligen Diensten.

Dieser Guide erklärt, was TOTP wirklich ist, wie Codes berechnet werden, wie der TOTP-Generator & QR-Tester von passwords.lu funktioniert, und in welchen Situationen ein clientseitiges Toolkit hilft — ohne Passwortmanager oder Authenticator-Tresor zu sein.

Was ist TOTP?

TOTP bedeutet Time-based One-Time Password. Offener Standard (RFC 6238) auf Basis von HOTP (RFC 4226).

Einfach gesagt: Sie und eine Website teilen ein Geheimnis. Beide Seiten kombinieren es mit der aktuellen Zeit zu einem kurzen Zahlencode. Stimmt der Code, besitzt der Nutzer das Geheimnis — typischerweise in der Authenticator-App.

Anders als ein statisches Passwort gilt jeder Code nur kurz (meist 30 Sekunden). Anders als SMS entsteht der Code auf dem Gerät und läuft nicht über das Mobilfunknetz.

Wie TOTP-Codes berechnet werden

Technisch läuft es so:

1. 1

   Enrolment

   Der Dienst erzeugt ein Zufallssecret (oft Base32) und zeigt es als QR mit otpauth://totp-URI.

2. 2

   In die App scannen

   Sie scannen den QR; die Authenticator-App speichert das Secret lokal auf Ihrem Gerät.

3. 3

   Zeitzähler ableiten

   Beim Login liest die App die Unix-Zeit, teilt durch die Periode (meist 30 s) und erhält einen Zähler.

4. 4

   Code berechnen

   HMAC (oft SHA-1, zunehmend SHA-256) über Secret und Zähler, dann Kürzung auf 6 oder 8 Stellen.

5. 5

   Server prüft

   Der Server rechnet dasselbe. Bei Match — manchmal auch t−1/t+1 wegen Uhrdrift — sind Sie drin.

Deshalb zählt Uhrensync. Und deshalb zeigen zwei Apps mit demselben Secret immer dieselben Ziffern.

Was steckt in einem Setup-QR?

Typischerweise eine otpauth://totp-URI mit:

• Geteiltes Secret (Base32)
• Aussteller (z. B. GitHub, AWS)
• Kontoname (E-Mail oder Benutzer)
• Optionaler Algorithmus (SHA-1, SHA-256, SHA-512)
• Optionale Stellen (6 oder 8)
• Optionale Periode (oft 30 Sekunden)

Wer den QR fotografiert, kann dieselben Codes erzeugen. Behandeln Sie ihn wie ein Passwort.

Hinweis: Google-Authenticator-Multi-Account-Exports nutzen otpauth-migration://. Einzelne otpauth://totp-Enrolment-QRs sind der Normalfall.

TOTP vs. SMS vs. Passkeys

Nicht jeder Zweitfaktor ist gleichwertig.

• SMS-OTP: bequem, aber SIM-Swap- und Abhörrisiko.
• TOTP: offlinefähig, weit verbreitet, aber in Echtzeit phishbar.
• Passkeys / FIDO2 / Hardware-Keys: phishing-resistenter, an die echte Site gebunden.

Praxis: Manager oder Passkeys im Alltag; TOTP wo angeboten; Recovery-Codes offline; nie nur SMS für kritische Konten.

Was das passwords.lu-TOTP-Tool ist (und nicht ist)

Ein privacy-first, clientseitiges Toolkit: Secrets erzeugen, QR bauen, Bilder dekodieren, Codes prüfen — im Browser.

Nichts wird hochgeladen. Web Crypto.

Kein Passwortmanager, kein Authy-Ersatz. Für Papier-Backup, Desktop-only, QA, Uhrdrift und Offline-QR-Prüfung.

So nutzen Sie den TOTP-Generator

Öffnen Sie das Tool und wählen Sie einen der drei Modi.

1. Erzeugen — neues Secret und QR

Wenn Sie selbst ein TOTP-Setup anlegen (Labor, Self-Hosting, Testkonto).

1. 1

   Aussteller und Kontobezeichnung eingeben.

2. 2

   Secret-Länge, Algorithmus, Stellen, Periode wählen. Neu: SHA-256; Kompatibilität: SHA-1.

3. 3

   Neues Secret erzeugen — QR, Base32, URI und Live-Code erscheinen.

4. 4

   Optional: Recovery-Blatt, Kopieren, otpauth:// öffnen, PrivateNote.

5. 5

   Danach alles löschen.

Zeigt die Website bereits ihren Enrolment-QR, lieber dekodieren statt ein zweites Secret zu erfinden.

2. Dekodieren — bestehenden QR prüfen

Wenn ein Dienst den Setup-QR bereits gezeigt hat.

1. 1

   Screenshot hochladen, einfügen oder Kamera — lokal.

2. 2

   Issuer, Konto, Algo, Stellen, Periode, Secret prüfen.

3. 3

   Recovery-Blatt oder Cold Storage.

4. 4

   Optional an Tester senden.

Beste Reihenfolge bei „QR nur einmal“: erst dekodieren und sichern, dann Handy enrolen.

3. Testen — Codes und Uhrdrift

Mit Base32-Secret oder otpauth://-URI Codes prüfen.

1. 1

   Secret oder URI einfügen.

2. 2

   Aktuellen, vorherigen (t−1) und nächsten (t+1) Code beobachten.

3. 3

   Telefoncode eingeben — Match bei t−1/t+1 bedeutet Uhrskew.

4. 4

   Prüffenster bei Bedarf anpassen.

Die meisten „ungültigen Codes“ sind Uhrprobleme.

Anwendungsfälle im Detail

Wann sich ein lokales TOTP-Toolkit lohnt.

Wenn der Setup-QR nur einmal erscheint

Kritische Konten zeigen den QR oft nur einmal; Apps verbergen danach den Rohsecret.

Bevor Sie das Telefon enrolen: auf passwords.lu Dekodieren öffnen, QR laden, Blatt drucken oder Base32 offline speichern — dann scannen.

Offizielle Recovery-Codes des Dienstes zusätzlich behalten.

2FA einrichten, wenn kein Telefon da ist

Nicht jedes Enrolment hat ein Handy zur Hand.

Screenshot → Dekodieren → Secret → Codes mit Tester auf dem Desktop.

Custom-TOTP-Parameter im Staging prüfen

8 Stellen, SHA-256, 60-s-Perioden, DB-Resets — Telefon neu enrolen ist langsam.

Wegwerf-Seeds erzeugen, otpauth:// kopieren, t−1/t+1 testen, danach löschen.

Abgelehnte Codes diagnostizieren, die trotzdem stimmen

Oft stimmen die Ziffern — die Uhren nicht.

Secret in Tester, Telefoncode eingeben. t−1/t+1 = Drift; kein Match = falsches Secret/Algo/Stellen.

Einen QR verstehen, bevor Sie den Authenticator wechseln

Blind migrieren riskiert Aussperrung.

Enrolment-QR offline dekodieren. Einzelne otpauth://totp voll unterstützt; Google-Multi-Account-Exports erkannt, noch nicht entpackt.

Sicherheitspraktiken

• Passkeys/Hardware-Keys für die wichtigsten Konten bevorzugen.
• Backups wie Passwörter schützen — nie Klartext in Chat/Mail.
• Setup-QR nicht öffentlich fotografieren.
• Nur clientseitige Decoder nutzen.
• Zwischenablage nach dem Kopieren leeren.
• TOTP stoppt kein Echtzeit-Phishing.

FAQ

Kernpunkte

• TOTP = geteiltes Secret + Zeit → Kurzcode.
• Setup-QR enthält das Secret.
• Passkeys > TOTP gegen Phishing; TOTP > SMS.
• passwords.lu arbeitet lokal — kein Tresor.
• Stärken: Offline-Backup, Desktop-only, QA, Uhrdrift, QR-Inspection.

Fazit

Authenticator-Codes sind kein Zauber: Secret plus Uhr, gehasht und gekürzt.

Alltag: Authenticator oder Passwortmanager. Spezialfälle: TOTP-Generator von passwords.lu — privat, lokal, ohne Upload.

Weiterlesen

• Passkeys: die nächste Stufe passwortloser Authentifizierung
• Passwort-Generator vs. Passwortmanager: Was Sie wirklich brauchen
• Secrets sicher mit PrivateNote teilen