Fast jeder kennt die sechsstelligen Zahlencodes, die in Apps wie Google Authenticator, Authy oder Microsoft Authenticator im Sekundentakt durchlaufen und nach kurzer Zeit ablaufen. Dahinter steckt ein cleveres Verfahren namens TOTP – Time-based One-Time Password. Dieser Artikel erklärt, wie es funktioniert, warum die Codes überhaupt ablaufen und was das für deine Zwei-Faktor-Authentifizierung bedeutet.
Was ist TOTP?
TOTP ist ein offener Standard (RFC 6238) für Einmalpasswörter, die sich aus zwei Zutaten berechnen: einem geheimen Schlüssel (Secret), den du beim Einrichten per QR-Code in deine App überträgst, und der aktuellen Uhrzeit. Beide Seiten – dein Smartphone und der Server des Dienstes – kennen dasselbe Secret und lesen dieselbe Zeit. Daraus berechnen sie unabhängig voneinander denselben Code. Es muss nie ein Code übers Internet übertragen werden, um ihn zu erzeugen.
Wie der Code entsteht
Der Trick liegt in der Zeit. TOTP teilt die fortlaufende Uhrzeit in feste Zeitfenster, üblicherweise 30 Sekunden. Die Anzahl dieser 30-Sekunden-Schritte seit dem 1. Januar 1970 (Unix-Zeit) wird zusammen mit dem Secret durch eine kryptografische Hash-Funktion (HMAC-SHA1) geschickt. Aus dem Ergebnis werden die sechs Ziffern abgeleitet, die du in der App siehst.
- Secret + Zeitfenster ergeben über HMAC einen eindeutigen Code.
- Alle 30 Sekunden wechselt das Zeitfenster, also auch der Code.
- Ohne das Secret lässt sich der nächste Code nicht vorhersagen.
Genau deshalb läuft jeder Code ab: Sobald das 30-Sekunden-Fenster vorbei ist, gilt ein neuer Wert. Wie viele Sekunden der gerade angezeigte Code noch gültig ist, kannst du mit dem TOTP Restzeit Rechner jederzeit nachvollziehen – praktisch, wenn du wissen willst, ob du den Code noch rechtzeitig eingibst oder lieber auf den nächsten wartest.
Warum das Zeitfenster wichtig für die Sicherheit ist
Das begrenzte Gültigkeitsfenster ist der eigentliche Sicherheitsgewinn. Selbst wenn jemand deinen aktuellen Code abfängt – etwa über eine Phishing-Seite – ist er innerhalb von Sekunden wertlos. Anders als ein statisches Passwort kann ein abgefangener TOTP-Code nicht später wiederverwendet werden.
Die meisten Server akzeptieren zusätzlich das unmittelbar vorherige und nächste Zeitfenster, um kleine Zeitabweichungen zwischen Handy und Server auszugleichen. Genau hier liegt auch die häufigste Fehlerquelle: Geht die Uhr deines Geräts mehrere Sekunden falsch, passen die Fenster nicht mehr zusammen und der Code wird abgelehnt. Eine korrekt synchronisierte Systemzeit ist für TOTP also Pflicht.
TOTP richtig nutzen
- Mehrere Geräte oder Backups: Bewahre die Wiederherstellungscodes des Dienstes sicher auf, falls dein Authenticator verloren geht.
- Secret schützen: Wer das Secret kennt, kann beliebig viele gültige Codes erzeugen. Teile QR-Codes oder Setup-Schlüssel niemals.
- Code nicht weitergeben: Seriöse Dienste fragen Codes nur im Login-Formular ab, nie per Anruf oder Mail.
TOTP ist eine starke Ergänzung zum Passwort, ersetzt es aber nicht. Achte weiterhin auf einzigartige, lange Passwörter pro Dienst – wie sicher deine sind, schätzt der Passwort Brute-Force-Zeit Rechner ab. Weitere kostenlose Sicherheitswerkzeuge findest du in den kotsch.tech Webtools.
Das Wichtigste in Kürze
- TOTP berechnet Codes aus Secret + aktueller Zeit, lokal und offline.
- Der Code wechselt typischerweise alle 30 Sekunden und läuft danach ab.
- Das kurze Zeitfenster macht abgefangene Codes praktisch wertlos.
- Eine korrekte Systemzeit ist Voraussetzung dafür, dass Codes akzeptiert werden.
Wie lange dein aktueller Authenticator-Code noch läuft, zeigt dir der TOTP Restzeit Rechner auf den Sekunden genau.