TOTP: Einmalpasswörter mit Ablaufzeit

Warum der Code regelmäßig wechselt

Der Algorithmus nutzt den geheimen Schlüssel und einen Zeitwert. Häufig wird alle 30 Sekunden ein neuer sechsstelliger Code angezeigt, doch unterstützte Profile können abweichen. Nach Ablauf kann der vorige Code vom Dienst abgelehnt werden.

Der geheime Schlüssel ist wichtiger als die sechs Ziffern

Wer den Einrichtungsschlüssel oder einen vollständigen otpauth://-QR-Code erhält, kann neue Codes berechnen. Bewahren Sie deshalb Setup-QRs wie Zugangsdaten auf und nutzen Sie TOTP immer nach den Sicherheitsvorgaben des jeweiligen Dienstes.

TOTP ist eine Ergänzung zur Anmeldung

Der Dienst entscheidet, wie er den Einmalcode im Anmeldeprozess prüft. TOTP schützt nicht automatisch vor nachgebauten Login-Seiten, die einen gerade gültigen Code an den echten Dienst weiterreichen.

Ein Zahlenbeispiel macht den Zeitbezug verständlich

Bei einem Profil mit 30 Sekunden Laufzeit gehört eine bestimmte Berechnung zu einem festen Zeitfenster. Zwei Geräte mit identischem geheimem Schlüssel und korrekt eingestellter Uhr können in diesem Fenster denselben Wert anzeigen, ohne Nachrichten auszutauschen. Nach dem Fensterwechsel erscheint ein neuer Code; die Website entscheidet selbst, welche Zeitabweichungen sie bei der Überprüfung zulässt.

Wer nur einen alten sechsstelligen Wert besitzt, kann daraus weder den ursprünglichen geheimen Schlüssel noch zukünftige Codes ableiten. Deshalb sollten Sie beim Einrichten einer Zwei-Faktor-Authentisierung auch die offiziellen Notfallcodes des Anbieters sichern. Solche Notfallcodes sind nicht dasselbe wie der TOTP-Einrichtungsschlüssel oder der Wiederherstellungsschlüssel eines 2FASync-Tresors.

Funktioniert TOTP ohne Internetverbindung zum Dienst?

Die Berechnung selbst braucht keine Serveranfrage. Beim Anmelden muss der betreffende Dienst den eingegebenen Code trotzdem prüfen.