TOTP-Secrets, QR-Bilder und Codes bleiben in diesem Tab. passwords.lu erhält sie nicht. Cloudflare kann anonyme Seitenaufrufe zur Site-Stabilität erfassen (nicht Ihre Secrets).
Dienst oder Organisation, z. B. GitHub.
Benutzername oder E-Mail in der Authenticator-App.
Für neue Setups SHA-256 bevorzugen (modern, NIST-nah). SHA-1 für maximale Kompatibilität (Google Authenticator, Authy, Apple Passwords, Hardware-Token). SHA-512 ist für typische 6-stellige Codes selten nötig.
Wie oft ein neuer Code erzeugt wird.
Ein TOTP-Secret entspricht einer Kopie Ihres Authenticators.
Erzeugen Sie ein Secret für QR, URI und Live-Codes.
Das Problem: Viele Sites zeigen den Setup-QR nur einmal — danach zeigt die App den Rohsecret nicht mehr.
Die Lösung: Zuerst Dekodieren öffnen, QR erfassen, Recovery-Blatt drucken oder Base32 offline speichern — dann erst das Telefon enrolen.
Das Problem: Laptop, Handyverbot oder der QR ist nur auf dem Bildschirm.
Die Lösung: Screenshot → Dekodieren fürs Secret → Tester für Live-Codes auf derselben Maschine.
Das Problem: Nach jedem DB-Wipe das Telefon neu zu enrolen ist langsam.
Die Lösung: Temporäre Secrets erzeugen, otpauth:// kopieren, t−1/t+1 im Tester prüfen — Seite danach leeren.
Das Problem: Die Ziffern wirken korrekt, die Site lehnt sie ab.
Die Lösung: Secret in den Tester einfügen und den Telefoncode eingeben. Match bei t−1 oder t+1 deutet meist auf Uhrskew hin.
Das Problem: Sie wechseln den Authenticator und wollen Issuer, Algo und Secret vorher sehen.
Die Lösung: Dekodieren arbeitet offline für einzelne otpauth://totp-QR. Google-Multi-Account-Exports werden erkannt, aber noch nicht entpackt.
TOTP stoppt kein Echtzeit-Phishing. Passkeys/FIDO2 sind stärker.
Weiterlesen
Nach dem Generator: mehr zu Passwortstärke, Passkeys, sicherem Teilen und Kontohygiene.