Wird geladen...
Verwandle ein Base32-2FA-Secret in aktuelle, RFC-6238-konforme Einmalcodes — vollständig in deinem Browser berechnet.
Füge ein echtes 2FA-Secret nur auf einem vertrauenswürdigen Gerät ein: Wer es sieht, kann deine Codes erzeugen. Die Beispiel-Schaltfläche lädt den öffentlichen Testschlüssel aus RFC 6238.
Gib ein gültiges Secret ein, um die otpauth://-URI in der Vorschau zu sehen.
••• •••
Dieses Tool generiert zeitbasierte Einmalpasswörter (TOTP) gemäß RFC 6238 — demselben Algorithmus, den Authenticator-Apps wie Google Authenticator und Authy verwenden. Füge ein Base32-codiertes Secret ein — wie es bei der Einrichtung der Zwei-Faktor-Authentifizierung angezeigt wird — und dieses Tool berechnet den aktuellen, vorherigen und nächsten Code mithilfe der Web Crypto API, vollständig in deinem Browser.
Was ist ein TOTP-Code?
Ein zeitbasiertes Einmalpasswort (TOTP) ist ein kurzer numerischer Code, der sich alle 30 oder 60 Sekunden ändert und aus einem geteilten Secret sowie der aktuellen Zeit generiert wird. Es ist der Standard hinter den meisten Authenticator-Apps für die Zwei-Faktor-Authentifizierung (2FA).
Ist es sicher, mein echtes 2FA-Secret hier einzugeben?
Alles läuft lokal in deinem Browser — das Secret wird nirgendwohin gesendet, und nichts wird protokolliert oder gespeichert. Dennoch birgt die Eingabe eines echten, produktiven 2FA-Secrets auf einer Webseite ein gewisses inhärentes Risiko (z. B. eine kompromittierte Browser-Erweiterung). Zum Lernen, Testen oder für ein Secret, das du selbst kontrollierst, ist dies sicher; behandle wirklich sensible oder gemeinsam genutzte Konto-Secrets mit zusätzlicher Vorsicht.
Welche Algorithmen und Einstellungen unterstützt dieses Tool?
SHA-1 (der Standard, den fast alle Authenticator-Apps verwenden), SHA-256 und SHA-512, mit 6- oder 8-stelligen Codes und 30- oder 60-Sekunden-Zeitfenstern, abgedeckt wird der gesamte in RFC 6238 definierte Bereich.
Warum stimmt mein Code nicht mit meiner Authenticator-App überein?
Die häufigsten Ursachen sind: die Uhr deines Geräts ist nicht synchron (TOTP ist zeitabhängig), Algorithmus, Ziffernanzahl oder Zeitfenster stimmen nicht mit dem überein, was dein Konto tatsächlich verwendet (die meisten Dienste nutzen SHA-1, 6 Ziffern, 30 Sekunden), oder das Secret wurde falsch eingegeben. Überprüfe jede Einstellung und die Uhrzeit deines Geräts.
Kann ich diese Seite als alltägliche Authenticator-App nutzen?
Eher nicht. Die Seite speichert dein Secret absichtlich nie, du müsstest es also jedes Mal einfügen – und jedes Einfügen ist eine weitere Gelegenheit, dass es abfließt. Nutze für tägliche Anmeldungen eine Authenticator-App; dieses Tool ist zum Testen, Debuggen und Prüfen von Codes gedacht, wenn du das Secret ohnehin zur Hand hast.
In welchem Format sollte das Secret vorliegen?
Eine Base32-codierte Zeichenfolge (Buchstaben A-Z und Ziffern 2-7) — dasselbe Format, das angezeigt wird, wenn ein Dienst dir statt eines QR-Codes einen manuellen 2FA-Einrichtungsschlüssel gibt. Leerzeichen, Kleinbuchstaben und fehlendes Padding werden automatisch toleriert.
Die gesamte Berechnung erfolgt lokal in deinem Browser über die Web Crypto API. Dein Secret wird nie hochgeladen, protokolliert oder gespeichert — aber wie bei jedem webbasierten Tool solltest du davon absehen, wirklich sensible Produktions-Secrets einzugeben, sofern du das Risiko nicht verstehst.