So funktioniert es
Schlüssel und aktueller Zeitschritt werden per HMAC (SHA-1, SHA-256 oder SHA-512) kombiniert und auf eine 6- oder 8-stellige Zahl gekürzt – das TOTP-Verfahren nach RFC 6238. Bei einem otpauth://-Link werden Stellen, Intervall und Algorithmus automatisch gesetzt. Die Geräteuhr muss ungefähr stimmen.
Schlüssel + Zeit ÷ 30 → HMAC-SHA1 → 6 Ziffern
Wo steht der Schlüssel?
- Neue Einrichtung: Die Seite zeigt „Nicht scannbar?“ oder „Manuell eingeben“ neben dem QR-Code – diese Zeichenkette ist der Schlüssel.
- Leerzeichen und Bindestriche im Schlüssel werden ignoriert, Kleinbuchstaben gehen auch.
- Verlorener Schlüssel: Diese Seite kann ihn nicht wiederherstellen. Richte Zwei-Faktor auf der Seite neu ein, um einen neuen zu erhalten.
Tipps
- Nutze dies als Ersatz-Anzeige, nicht als einzige Kopie – bewahre den Schlüssel zusätzlich in einem Passwort-Manager auf.
- Wenn Codes immer abgelehnt werden, prüfe zuerst deine Geräteuhr.
- Alles läuft in deinem Browser; nichts wird hochgeladen.
Standards und Quellen
- Einmalpasswörter mit Zeitbezug (TOTP): RFC 6238; der HMAC-Kern: RFC 4226
- Base32-Kodierung: RFC 4648
Zuletzt geprüft 12. Oktober 2026
Häufige Fragen
Wo finde ich den Schlüssel?
Wenn eine Seite dir einen QR-Code zur Zwei-Faktor-Einrichtung zeigt, steht daneben meist ein Link wie „Nicht scannbar?“ oder „Manuell eingeben“ – diese Zeichenkette ist der Schlüssel.
Warum werden meine Codes immer abgelehnt?
Fast immer die Uhr: TOTP hängt von der Zeit ab, also erzeugt ein um Minuten verstelltes Gerät falsche Codes. Prüfe zuerst die automatische Datum- und Uhrzeiteinstellung.
Ist es sicher, meinen Schlüssel hier einzufügen?
Die Seite arbeitet komplett offline und der Schlüssel verlässt deinen Browser nie. Nutze sie trotzdem als Ersatz-Anzeige und bewahre den Schlüssel zusätzlich in einem Passwort-Manager auf.
Was, wenn ich den Schlüssel verliere?
Hier kann ihn nichts wiederherstellen. Schalte Zwei-Faktor auf der Seite aus und wieder ein, um einen neuen Schlüssel zu erhalten.