Der vollstaendige Leitfaden zur Zwei-Faktor-Authentifizierung (2FA)
Alles was Sie ueber 2FA, TOTP-Codes, Authenticator-Apps und den Schutz Ihrer Online-Konten mit Zwei-Faktor-Authentifizierung wissen muessen.
So generieren Sie einen 2FA-Code in 3 einfachen Schritten
-
1
Kopieren Sie Ihren Secret Key
Wenn Sie die Zwei-Faktor-Authentifizierung bei Google, Facebook, GitHub oder einem anderen Dienst aktivieren, kopieren Sie den Base32 Secret Key, der neben dem QR code angezeigt wird.
-
2
Einfuegen und Generieren
Fuegen Sie den Secret Key in das 2FA-Generator-Feld oben ein und klicken Sie auf Generate Code. Ein frischer 6-stelliger TOTP-Code wird sofort in Ihrem Browser berechnet.
-
3
Verwenden Sie den 2FA-Code zum Anmelden
Geben Sie den 6-stelligen Verifizierungscode in das Anmeldeformular ein, bevor der 30-Sekunden-Timer ablaeuft. Der Code wird automatisch fuer jede neue Anmeldung aktualisiert.
2FA-kompatible Dienste und Plattformen
Unser 2FA-Code-Generator ist vollstaendig kompatibel mit jedem Dienst, der den TOTP-Standard RFC 6238 befolgt. Hier sind die beliebtesten Plattformen, auf denen Sie diesen authenticator verwenden koennen:
Warum diesen 2FA-TOTP-Generator verwenden
100% Privat und Lokal
Die gesamte TOTP-Code-Generierung erfolgt direkt in Ihrem Browser. Ihr 2FA Secret Key wird niemals an einen Server gesendet, wodurch Ihre authenticator-Daten vollstaendig privat bleiben.
Sofortige 6-stellige Codes
Erzeugen Sie sofort zeitbasierte Einmalcodes mit automatischer 30-Sekunden-Aktualisierung. Funktioniert als vollstaendiger Ersatz fuer Google Authenticator, Authy und Microsoft Authenticator.
Integrierter QR code Scanner
Scannen Sie jeden 2FA QR code mit Ihrer Kamera oder laden Sie ein Bild hoch. Das Tool liest otpauth URIs automatisch, sodass Sie keinen Base32 Secret Key eintippen muessen.
TOTP- und HOTP-Unterstuetzung
Wechseln Sie zwischen zeitbasierten (TOTP / RFC 6238) und counterbasierten (HOTP / RFC 4226) Algorithmen. Unterstuetzt HMAC-SHA1, HMAC-SHA256 und HMAC-SHA512 Hashes.
Haeufig gestellte Fragen zu 2FA
Was ist 2FA (Zwei-Faktor-Authentifizierung)?
Ist dieser 2FA-Generator kompatibel mit Google Authenticator?
Warum aendert sich mein 2FA-Code alle 30 Sekunden?
Ist es sicher, meinen 2FA Secret Key auf dieser Website einzugeben?
Was ist der Unterschied zwischen TOTP und HOTP?
Kann ich dies als meine primaere authenticator-App verwenden?
Was tun, wenn mein 2FA-Code von der Website abgelehnt wird?
Funktioniert dieses 2FA-Tool offline?
Warum Zwei-Faktor-Authentifizierung wichtig ist
Passwoerter allein reichen nicht mehr aus. Milliarden von Zugangsdaten werden jedes Jahr durch Datenlecks veroeffentlicht, und ausgefeilte Phishing-Kits koennen selbst komplexe Passwoerter besiegen. Zwei-Faktor-Authentifizierung, auch 2FA, multi-factor authentication (MFA) oder zweistufige Verifizierung genannt, fuegt eine zweite Schicht hinzu, die Angreifer aus der Ferne nicht leicht umgehen koennen.
TOTP-authenticator wie dieser sind die am weitesten unterstuetzte 2FA-Methode und funktionieren bei Google, Microsoft, Apple ID, GitHub, Facebook, Instagram, Snapchat, TikTok, Steam, Epic Games, Fortnite, Discord und nahezu allen grossen Online-Diensten. Mit frischen 6-stelligen 2FA-Codes, die alle 30 Sekunden rotieren, werden geleakte Passwoerter allein nutzlos.
Aktivieren Sie 2FA ueberall dort, wo es moeglich ist - E-Mail, soziale Medien, Krypto-Boersen, Cloud-Speicher, Banking und Gaming-Konten. Kombiniert mit einem starken Passwortmanager und eindeutigen Passwoertern pro Website ist eine korrekt konfigurierte Zwei-Faktor-Authentifizierung eines der groessten Upgrades fuer Ihre Online-Sicherheit.
Vergleich der Arten von 2FA-Methoden: SMS, TOTP, Hardware Key, Biometrie
Heute gibt es mehrere Arten von Zwei-Faktor-Authentifizierung, jede mit unterschiedlichen Sicherheits- und Komfortniveaus. Das Verstaendnis dieser Optionen hilft Ihnen, die richtige 2FA-Methode fuer jedes Konto auszuwaehlen, von Casual-Gaming-Logins bis zu hochwertigen Bank- und Kryptokonten. Unten vergleichen wir jede wichtige Form von 2FA, die Ihnen 2026 begegnet, mit Vor- und Nachteilen sowie unseren ehrlichen Empfehlungen.
| 2FA-Methode | Sicherheit | Komfort | Geeignet fuer |
|---|---|---|---|
| SMS 2FA | Low | High | Fallback only; vulnerable to SIM swap |
| TOTP Authenticator App | High | High | Daily 2FA for all accounts |
| Push Notifications | Medium | Very High | Work accounts with managed devices |
| Hardware Security Key | Very High | Medium | Email, password manager, crypto |
| Biometric / Passkey | Very High | Very High | Modern passwordless sign-in |
| Backup Codes | Medium | One-time | Recovery when authenticator is lost |
SMS-based 2FA ist die haeufigste Form der Zwei-Faktor-Authentifizierung, weil sie mit jedem Mobiltelefon funktioniert. Nach Eingabe Ihres Passworts wird eine Textnachricht mit einem 6-stelligen Verifizierungscode an Ihre Nummer gesendet. Obwohl bequem, ist SMS 2FA anfaellig fuer SIM swapping Angriffe, bei denen Kriminelle den Mobilfunkanbieter dazu bringen, Ihre Nummer auf ihr Geraet zu uebertragen. NIST hat SMS als sichere 2FA-Methode fuer hochwertige Konten bereits abgekuendigt, und grosse Banken empfehlen zunehmend den Wechsel zu TOTP authenticator-Apps.
Authenticator apps (TOTP) wie Google Authenticator, Microsoft Authenticator, Authy und 1Password erzeugen zeitbasierte Einmalpasswoerter direkt auf Ihrem Geraet ohne Netzwerkverbindung. Dadurch ist TOTP 2FA schneller, sicherer und immun gegen SIM swap Angriffe. Codes rotieren alle 30 Sekunden basierend auf dem RFC 6238 Standard, und derselbe Secret Key funktioniert in allen kompatiblen authenticator Apps, einschliesslich dieses browserbasierten Generators.
Hardware security keys wie YubiKey, Google Titan, SoloKeys und Feitian verwenden den FIDO2 / WebAuthn Standard, um den physischen Besitz ueber ein USB-, NFC- oder Bluetooth-Geraet nachzuweisen. Hardware keys sind der Goldstandard der 2FA-Sicherheit, weil sie phishingresistent sind - gefaelschte Anmeldeseiten koennen im Gegensatz zu TOTP-Codes keine kryptografischen Signaturen ernten. Verwenden Sie Hardware keys fuer Ihre kritischsten Konten: primaere E-Mail, Passwortmanager, Krypto-Boersen und Arbeitsidentitaet.
Push notification 2FA Apps wie Duo Mobile, Microsoft Authenticator Push-Prompts und Okta Verify senden einen Bestaetigungstipp an Ihr Telefon. Bequemer als das Eintippen eines 6-stelligen 2FA-Codes, erfordert aber Diensteunterstuetzung und ist anfaellig fuer MFA fatigue Angriffe, bei denen Kriminelle Genehmigungsanfragen spammen, in der Hoffnung, dass Sie unbedacht auf Approve tippen.
Biometric 2FA and passkeys verwendet Fingerabdruck- oder Gesichtserkennung, oft kombiniert mit an das Geraet gebundenen Passkeys. Apple Face ID, Windows Hello und Android-Fingerabdruckscanner werden zunehmend als zweiter Faktor fuer bereits angemeldete Geraete verwendet. FIDO2 / WebAuthn basierte Passkeys ersetzen schrittweise Passwoerter und TOTP 2FA bei Google, Apple, Microsoft, GitHub und einer wachsenden Liste von Diensten - das ist die Zukunft der Authentifizierung.
Unsere Empfehlung: verwenden Sie eine TOTP authenticator-App als primaere 2FA-Methode, ergaenzt durch Hardware Security Keys fuer Ihre kritischsten Konten (primaere E-Mail, Passwortmanager, Krypto, Arbeitsidentitaet). Vermeiden Sie SMS 2FA wenn moeglich und bewahren Sie Backup Codes offline an einem sicheren Ort auf.
So aktivieren Sie 2FA bei beliebten Diensten (Schritt fuer Schritt)
Die Einrichtung der Zwei-Faktor-Authentifizierung unterscheidet sich leicht von Plattform zu Plattform, aber der grundlegende Ablauf ist bei allen grossen Diensten gleich. Unten finden Sie schnelle Schritt-fuer-Schritt-Anleitungen zum Aktivieren von 2FA auf den beliebtesten Plattformen, alle funktionieren nahtlos mit diesem TOTP-Generator.
2FA bei Google / Gmail aktivieren
Besuchen Sie myaccount.google.com, dann Security, 2-Step Verification, Get Started. Melden Sie sich mit Ihrem Passwort an und waehlen Sie Authenticator app. Google zeigt einen QR code an - scannen Sie ihn mit unserem TOTP-Generator oder fuegen Sie den Base32 Secret Key ein. Google unterstuetzt auch Google Prompt Benachrichtigungen und Hardware Security Keys als zusaetzliche 2FA-Methoden fuer Ihr Gmail- und Google-Konto.
2FA bei Facebook / Meta aktivieren
Klicken Sie auf Ihr Facebook-Profilbild, oeffnen Sie Settings and Privacy, Settings, Accounts Center, Password and security, Two-factor authentication. Waehlen Sie Authentication app und scannen Sie den QR code oder kopieren Sie den Secret Key in unseren 2FA-Code-Generator. Facebook erlaubt SMS als Backup, aber authenticator-App 2FA wird fuer bessere Sicherheit dringend empfohlen.
2FA bei Discord aktivieren
Oeffnen Sie Discord, User Settings (Zahnradsymbol), My Account, Enable Two-Factor Auth. Geben Sie Ihr Passwort ein, dann verwenden Sie den angezeigten QR code oder den manuellen Base32 Key mit unserem 2FA-Code-Generator. Speichern Sie Discord Backup Codes immer sofort - wenn Sie den Zugriff auf Ihren authenticator verlieren, benoetigt Discord diese Codes fuer die Kontowiederherstellung.
2FA bei GitHub aktivieren
Gehen Sie zu Settings, Password and authentication, Two-factor authentication, Enable. Waehlen Sie Set up using an app, um TOTP-Codes mit unserem 2FA-Tool oder einem beliebigen RFC 6238 authenticator zu generieren. GitHub unterstuetzt auch FIDO2 Security Keys als zusaetzlichen Faktor und erzwingt 2FA fuer alle Contributoren in sensiblen Repositories.
2FA bei Microsoft / Outlook aktivieren
Besuchen Sie account.microsoft.com, Security, Advanced security options, Two-step verification, Turn on. Microsoft bevorzugt die eigene Microsoft Authenticator App, aber jeder TOTP RFC 6238 Generator, einschliesslich unseres, funktioniert identisch. Die gleiche 2FA-Einrichtung umfasst Outlook, Xbox, Microsoft 365, Teams, OneDrive und alle anderen Microsoft-Dienste.
2FA bei Fortnite / Epic Games aktivieren
Besuchen Sie epicgames.com, dann account, password-and-security, Two-factor authentication, Enable Authenticator App. Scannen Sie den QR code mit unserem 2FA-Generator. Das Aktivieren von 2FA bei Fortnite bringt Ihnen auch die Boogiedown Emote-Belohnung und verbessert die Sicherheit Ihres Rocket League- und Epic Games Store-Kontos.
2FA bei Binance / Coinbase / Kraken aktivieren
Jede grosse Krypto-Boerse - Binance, Coinbase, Kraken, Gemini, KuCoin, Bitstamp - erfordert 2FA fuer Auszahlungen. Aktivieren Sie die Google Authenticator Kompatibilitaet im Sicherheitstab jeder Boerse und speichern Sie den Secret Key in Ihrem Passwortmanager. Der Verlust des 2FA-Zugangs zu einem Kryptokonto ohne Backup Codes kann Sie dauerhaft von Ihren Geldern aussperren.
2FA bei Instagram / TikTok / Snapchat aktivieren
Instagram, TikTok und Snapchat unterstuetzen alle authenticator App 2FA ueber die Menues Settings, Security. Jede App generiert einen QR code, der mit jedem TOTP RFC 6238 Tool kompatibel ist. Angesichts der Haeufigkeit, mit der soziale Konten fuer Kontodiebstahl und Weiterverkauf ins Visier genommen werden, ist die Aktivierung der Zwei-Faktor-Authentifizierung fuer jedes Social-Media-Konto 2026 Pflicht.
Nach dem Aktivieren von 2FA bei einem Dienst sollten Sie es sofort testen, indem Sie sich ab- und wieder anmelden, bevor Sie es wirklich brauchen. Dies stellt sicher, dass Ihre authenticator Codes korrekt funktionieren und Sie die Recovery Backup Codes sicher gespeichert haben.
2FA-Sicherheits-Best-Practices, die jeder Benutzer befolgen sollte
Das Aktivieren der Zwei-Faktor-Authentifizierung ist nur die halbe Arbeit. Das Befolgen dieser Best Practices schuetzt Ihre 2FA-Einrichtung vor modernen Bedrohungen, die authenticator Apps, SMS-Codes und Wiederherstellungsabläufe angreifen. Selbst die Einfuehrung der Haelfte der unten stehenden Praktiken setzt Sie in Bezug auf 2FA-Hygiene vor 95 Prozent der Benutzer.
-
Speichern Sie immer Ihre Backup Codes. Jeder Dienst, der 2FA unterstuetzt, generiert 8-10 einmalige Recovery Codes, wenn Sie den authenticator aktivieren. Drucken Sie sie aus, speichern Sie sie in einem Passwortmanager oder in verschluesselten Notizen. Ohne Backup Codes kann der Verlust Ihres Telefons den dauerhaften Verlust des Kontos bedeuten - kein Kundendienst kann ein abgesichertes 2FA-Konto ohne Identitaetsnachweis wiederherstellen.
-
Verwenden Sie mehrere authenticator-Geraete. Exportieren Sie 2FA-Backups aus diesem Tool und importieren Sie sie auf einem zweiten Geraet, oder verwenden Sie Authy / 1Password, die TOTP Secrets nativ zwischen Geraeten synchronisieren. Google Authenticator hat jetzt eine offizielle QR-Exportfunktion. Ein zweites Geraet zu haben bedeutet, dass ein verlorenes oder kaputtes Telefon Sie nicht im schlimmsten Moment von allen 2FA-Konten abschneidet.
-
Achten Sie auf MFA fatigue Angriffe. Angreifer, die Ihr Passwort kennen, koennten 2FA Push-Benachrichtigungsanfragen spammen, in der Hoffnung, dass Sie aus Gewohnheit oder Aerger auf Approve tippen. Dies wurde bei hochkaraetigen Sicherheitsverletzungen bei Uber und anderen verwendet. Pruefen Sie immer, welche App eine Bestaetigung anfordert, und lehnen Sie unerwartete Prompts ab - legitime Anmeldungen loesen selten grundlose 2FA-Anfragen mitten in der Nacht aus.
-
Schuetzen Sie sich vor SIM swapping. Selbst wenn Sie SMS 2FA vermeiden, ist Ihre Handynummer oft mit Kontowiederherstellungsabläufen verbunden. Bitten Sie Ihren Mobilfunkanbieter, eine PIN oder einen Port-Out-Schutz zu Ihrem Konto hinzuzufuegen, damit Kriminelle Ihre SIM nicht auf ihr Geraet uebertragen koennen. Diese eine Aenderung blockiert die meisten SIM swap Angriffe und ist bei allen grossen Mobilfunkanbietern kostenlos.
-
Kombinieren Sie 2FA mit einem Passwortmanager. Starke, eindeutige Passwoerter pro Website plus TOTP 2FA plus Hardware Security Keys fuer kritische Konten sind 2026 der Goldstandard fuer Kontosicherheit. 1Password, Bitwarden, LastPass und KeePass koennen TOTP Secrets neben Passwoertern speichern - einige fuellen sogar beide Felder gleichzeitig automatisch aus fuer ein nahtloses Anmeldeerlebnis.
-
Teilen Sie niemals 2FA-Codes, auch nicht mit dem Support. Kein legitimes Unternehmen, keine Bank und keine Online-Plattform wird Sie jemals bitten, einen 6-stelligen 2FA-Code laut vorzulesen, in einen Chat einzutippen oder per E-Mail zu senden. Wenn jemand dies verlangt, sei es als technischer Support, Ihre Bank oder ein Kurier getarnt, ist es Betrug. Legen Sie auf und kontaktieren Sie das Unternehmen ueber die offizielle Nummer oder Website.
-
Pruefen Sie Ihre 2FA-Einrichtung jaehrlich. Fuehren Sie eine Liste aller Konten, fuer die Sie die Zwei-Faktor-Authentifizierung aktiviert haben. Entfernen Sie 2FA von nicht mehr genutzten Konten, aktivieren Sie sie bei neuen Konten und ueberpruefen Sie, ob die Backup Codes noch funktionieren. Ein jaehrliches 2FA-Audit erfasst veraltete Wiederherstellungs-E-Mail-Adressen, alte Handynummern und vergessene authenticator Seeds.
-
Upgrade auf Passkeys wenn verfuegbar. FIDO2 / WebAuthn Passkeys ersetzen schrittweise Passwoerter und TOTP 2FA bei Google, Apple, Microsoft, GitHub, PayPal und Hunderten anderer Dienste. Passkeys sind von Natur aus phishingresistent und an die Secure Enclave des Geraets gebunden - wenn eine Website Passkeys anbietet, aktivieren Sie sie, anstatt sich nur auf 2FA-Codes zu verlassen.
Behebung haeufiger 2FA-Probleme
Selbst eine gut konfigurierte Zwei-Faktor-Authentifizierung kann auf Probleme stossen. Hier sind die haeufigsten 2FA-Probleme, mit denen Benutzer konfrontiert werden, und praktische Loesungen, die die meisten davon ohne Supportkontakt beheben.
\"Invalid 2FA code\" oder \"Falscher Verifizierungscode\"
Die haeufigste Ursache ist eine abweichende Geraeteuhr. TOTP beruht auf genauer Zeit - schon ein Offset von 30 Sekunden fuehrt zu nicht uebereinstimmenden Codes. Auf Android: Settings, System, Date and time, Set time automatically. Auf iOS: Settings, General, Date and Time, Set Automatically. Auf Windows: Settings, Time and language, Date and time, Set time automatically. Server akzeptieren Codes normalerweise innerhalb eines plus/minus 1 Fensters, daher funktioniert das Ausprobieren des naechsten Codes nach der 30-Sekunden-Aktualisierung oft.
Tippfehler beim manuellen Eingeben des Secret Keys
Base32 verwendet nur A bis Z und 2 bis 7 - keine 0, 1, 8 oder 9. Mehrdeutige Zeichen wie O vs 0 oder I vs 1 zerstoeren alles. Kopieren Sie den Secret Key direkt aus dem QR code des Dienstes, anstatt ihn manuell einzugeben, oder verwenden Sie unseren integrierten QR Scanner. Viele Dienste erlauben auch die Anzeige des Klartext-Secrets neben dem QR code fuer einfachere manuelle Eingabe.
Verlust des Telefons mit authenticator App
Probieren Sie zuerst Ihre Backup Codes - die meisten Dienste fragen nach einem, wenn Sie keinen Zugriff auf Ihren 2FA authenticator haben. Wenn Sie Ihre TOTP Secrets bereits exportiert oder synchronisiert haben, stellen Sie sie auf einem neuen Geraet wieder her. Als letzten Ausweg kontaktieren Sie das Support-Team des Dienstes und folgen Sie deren Kontowiederherstellungsablauf, was normalerweise die Verifizierung mit einem Ausweis oder die Bestaetigung anderer Secrets beinhaltet. Bezahlen Sie niemals fuer 2FA recovery Dienste von Dritten - das sind Betrueger.
QR code laesst sich nicht scannen
Beleuchtung, Kamerafokus und Bildschirmreflexionen sind haeufige Uebeltaeter. Versuchen Sie, den QR als Bilddatei herunterzuladen und in unseren Bildscanner hochzuladen, oder geben Sie den angezeigten Base32 Secret Key manuell ein. Stellen Sie sicher, dass keine Browsererweiterungen die QR-Anzeige aendern.
Konto vollstaendig von 2FA ausgesperrt
Die meisten Dienste unterstuetzen Identitaetsverifizierung ueber amtliche Ausweise, die letzten 4 Ziffern einer Kreditkarte, Wiederherstellungs-E-Mails oder vertrauenswuerdige Kontakte. Soziale Logins (Google, Apple, Microsoft) koennen oft durch 2FA des uebergeordneten Kontos entsperrt werden. Krypto-Boersen sind am strengsten - rechnen Sie mit mehrtaegigen KYC-Prozessen. Dokumentieren Sie Ihre Identitaet ordnungsgemaess und folgen Sie dem offiziellen Wiederherstellungsablauf jedes Dienstes.
Push-Benachrichtigungen kommen nicht an
Stellen Sie sicher, dass die authenticator App Benachrichtigungsberechtigungen hat, die Batterieoptimierung speziell dafuer deaktiviert ist und das Geraet eine aktive Internetverbindung hat. Auf Android schalten einige aggressive Battery Saver Hintergrund-authenticator-Dienste ab - setzen Sie Ihre 2FA App auf die Whitelist. Ein Neustart der App aktualisiert normalerweise den Push Token.
Wie TOTP hinter den Kulissen funktioniert (Technischer Deep Dive)
Fuer die technisch Neugierigen, hier Schritt fuer Schritt, wie 2FA TOTP-Codes gemaess RFC 6238 erzeugt werden - derselbe Algorithmus, den unser 2FA-Generator intern verwendet, und derselbe Algorithmus, dem Google Authenticator, Microsoft Authenticator, Authy und alle anderen kompatiblen authenticator folgen.
- 1. Shared Secret. Wenn Sie 2FA bei einem Dienst aktivieren, einigen sich sowohl der Server als auch Ihre authenticator App auf einen zufaelligen Secret Key, typischerweise 160 bits (20 bytes), Base32 codiert fuer die menschenlesbare Darstellung. Dieses Shared Secret verlaesst im Normalbetrieb keine der beiden Seiten.
- 2. Time Counter. Nehmen Sie den aktuellen Unix-Zeitstempel, teilen Sie ihn durch 30 und runden Sie das Ergebnis ab. Dies ergibt einen Integer-Counter, der auf beiden Seiten alle 30 Sekunden inkrementiert wird. Die Verwendung von Zeit als Counter bedeutet, dass keine State-Synchronisation zwischen Server und authenticator erforderlich ist - beide Seiten berechnen unabhaengig den gleichen Wert.
- 3. HMAC-SHA1. Berechnen Sie einen HMAC-SHA1 Hash mit dem Shared Secret als Schluessel und dem 8-byte big-endian Counter als Nachricht. Die Ausgabe ist ein 20 bytes kryptografischer Hash. Moderne Implementierungen unterstuetzen auch HMAC-SHA256 und HMAC-SHA512 fuer staerkere 2FA, wenn beide Seiten dem Algorithmus zustimmen.
- 4. Dynamic Truncation. Nehmen Sie das letzte Byte des Hashes, maskieren Sie die unteren 4 bits, um einen Offset zu erhalten (0 bis 15). Extrahieren Sie 4 bytes ab diesem Offset im Hash, loeschen Sie das High Bit und behandeln Sie das Ergebnis als 32-bit Integer. Dies ist der Dynamic Truncation Algorithmus aus RFC 4226 (HOTP), der TOTP zugrunde liegt.
- 5. Modulo fuer Ziffern. Berechnen Sie das 32-bit Integer modulo 10 hoch digits - typischerweise 10^6 fuer den Standard 6-digit 2FA-Code oder 10^8 fuer einige Banking-Dienste. Fuegen Sie fuehrende Nullen hinzu, falls noetig, sodass eine Ausgabe mit niedrigem Wert wie 7 zu 000007 und nicht zu einem partiellen Code wird.
Das Ergebnis ist ein 6-digit Verifizierungscode, der von authenticator und Server identisch berechnet wird. Wenn Sie den Code bei der Anmeldung eingeben, berechnet der Server den erwarteten Code fuer das aktuelle Zeitfenster und vergleicht sie. Da HMAC kollisionsresistent ist, kann nur der Inhaber des Shared Secrets gueltige TOTP-Codes erzeugen - das ist die kryptografische Mathematik hinter der modernen 2FA-Sicherheit. In unserer Implementierung erfolgt diese gesamte Berechnung clientseitig mit der Web Crypto API des Browsers, sodass Ihr Secret Key niemals den Server beruehrt, und die von uns generierten Codes stimmen exakt mit Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden und allen RFC 6238 konformen authenticator ueberein.
2FA Glossar
Schnelle Referenz fuer die haeufigsten Begriffe der Zwei-Faktor-Authentifizierung, denen Sie bei der Aktivierung von 2FA bei verschiedenen Diensten begegnen werden.
- 2FA
- Two-Factor Authentication. Requires two different authentication factors before granting account access.
- MFA
- Multi-Factor Authentication. Umbrella term covering any use of multiple factors (2FA is the most common form of MFA).
- TOTP
- Time-based One-Time Password. 6-digit 2FA codes that change every 30 seconds. Defined by RFC 6238.
- HOTP
- HMAC-based One-Time Password. Counter-based 2FA codes that increment on each use. Defined by RFC 4226.
- OTP
- One-Time Password. Any code valid for a single login attempt. Includes both TOTP and HOTP variants.
- HMAC
- Hash-based Message Authentication Code. The cryptographic primitive that underpins both TOTP and HOTP.
- Base32
- The text encoding used for 2FA secret keys — only A–Z and 2–7, chosen to avoid ambiguous characters.
- Authenticator
- Any app or device that generates 2FA codes. Examples: Google Authenticator, Authy, 1Password, Microsoft Authenticator.
- QR Code
- Quick Response barcode containing the otpauth:// URI used to provision a new 2FA secret without typing.
- Secret Key
- The shared cryptographic key between you and the service, usually 160 bits encoded in Base32.
- Recovery Codes
- Single-use backup codes to log in when your authenticator is unavailable. Also called backup codes.
- SIM Swap
- Attack where criminals port your phone number to their SIM card to intercept SMS 2FA codes.
- Passkey
- Modern FIDO2 / WebAuthn credential replacing passwords plus 2FA on a growing list of sites.
- FIDO2
- Open authentication standard for phishing-resistant login using hardware keys or device biometrics.
- WebAuthn
- Web API that implements FIDO2 inside the browser for passkey and hardware key sign-in.
- U2F
- Universal 2nd Factor. The predecessor of FIDO2, still supported by many hardware security keys.
- YubiKey
- Popular brand of hardware security key supporting FIDO2, U2F, OTP, and smart card functions.
- Phishing-resistant MFA
- 2FA methods (hardware keys, passkeys) that cannot be tricked by fake login pages.
