Vier Begriffe, unterschiedliche Aufgaben

OTP bezeichnet den Code, TOTP dessen Berechnung

Ein OTP ist ein nur einmal verwendbares Passwort. TOTP ist eine Variante, deren Wert sich aus einem gemeinsamen Geheimnis und der Zeit ergibt. Ein per SMS zugestellter Einmalcode ist deshalb nicht automatisch ein TOTP-Code.

2FA und MFA beschreiben Faktoren

Bei 2FA werden zwei unterschiedliche Authentisierungsfaktoren kombiniert, etwa Passwort und ein kontrolliertes Gerät. MFA ist der Oberbegriff für mehrere Faktoren. Ein zusätzlicher TOTP-Code kann den Schutz erhöhen, bleibt aber gegenüber gezieltem Phishing angreifbar.

Ein Verfahren passend zum Dienst wählen

Nicht jeder Anbieter akzeptiert denselben zweiten Faktor. Wenn der Dienst mehrere Methoden unterstützt, vergleichen Sie deren Wiederherstellbarkeit und Widerstand gegen Phishing, anstatt jede Einmalcode-Methode als gleichwertig zu behandeln.

So erkennen Sie den Unterschied auf einer Anmeldeseite

Verlangt ein Online-Konto nach Passwort und einem Code aus einer Authenticator-App, kann ein Besitzfaktor zu einem Wissensfaktor hinzukommen. Werden dagegen zwei Kennwörter nacheinander abgefragt, handelt es sich nicht allein deshalb um zwei unabhängige Faktoren. Ein per SMS zugestellter Wert kann ein Einmalpasswort sein, wird aber nicht mit einem lokal gespeicherten TOTP-Schlüssel berechnet.

Wird nach dem Einloggen ein fremdes Bestätigungsfenster eingeblendet, prüfen Sie immer die echte Webadresse. Ein Angreifer kann Passwort und gerade gültigen TOTP-Code gleichzeitig abfragen und unverzüglich weiterleiten. Wenn der ursprüngliche Dienst Passkeys oder Sicherheitsschlüssel unterstützt, können solche Verfahren je nach Umsetzung phishingresistenter sein; die Wahl liegt beim Dienst und bei Ihnen, nicht beim TOTP-Generator.

Ersetzt ein TOTP-Code ein starkes Passwort?

Nein. Er ergänzt ein Anmeldeverfahren, sofern der Dienst TOTP als zweiten Faktor unterstützt.