Ein Feld, ein Live-Token
Geheimschlüssel oder den ganzen otpauth://-Link einfügen, und der passende Code beginnt sofort herunterzuzählen — keine Einrichtung, keine Formulare, keine „Konto hinzufügen“-Zeremonie.
Timer
Letzte Schlüssel
Privat von Grund auf. Codes werden in Ihrem Browser mit Web Crypto erzeugt. Schlüssel werden unverschlüsselt im lokalen Speicher dieses Geräts zwischengespeichert — sie verlassen es nie (es gibt keine Server), aber jeder, der dieses Browserprofil öffnen kann, kann sie lesen.
100 % clientseitig · Zero-Knowledge
Live 2FA-Code-Generator
Geheimen Schlüssel einfügen und ein 6-stelliges Einmalpasswort live erzeugen. Ein schneller, kostenloser, privater 2FA-Authenticator und Google-Authenticator-Alternative — für die Momente, in denen Ihr Handy weg, kaputt oder schlicht nicht zur Hand ist.
Keine App. Kein Konto. Kein Schlüssel berührt je einen Server.
otp.rfc-6238.js
// The whole tool. No servers involved.
const step = Math.floor(Date.now() / 1000 / 30);
const key = await crypto.subtle.importKey(
'raw', base32(secret), { name: 'HMAC', hash: 'SHA-1' });
const mac = new Uint8Array(
await crypto.subtle.sign('HMAC', key, u64(step)));
const o = mac[19] & 15;
const code = ((mac[o] & 0x7f) << 24 | mac[o+1] << 16
| mac[o+2] << 8 | mac[o+3]) % 1e6;
code.toString().padStart(6, '0'); // ← your 2FA code
0
Schlüssel auf unserer Seite gespeichert — es gibt keine Server, die sie speichern könnten
100%
der Berechnungen passieren auf Ihrem Gerät, via Web Crypto
6238
der implementierte RFC-Standard — kompatibel mit jeder Authenticator-App
So funktioniert es
Drei Schritte zum Live-2FA-Code — ohne Handy.
Die Zwei-Faktor-Authentifizierung setzt ein zweites Schloss vor Ihre Konten: einen Code, der sich alle 30 Sekunden ändert und aus einem gemeinsam geheimen Schlüssel plus der aktuellen Zeit abgeleitet wird (TOTP — RFC 6238). Diese Seite ist das zweite Schloss. Ihr Browser führt dieselbe Berechnung aus wie die Website, bei der Sie sich gerade anmelden.
Weil das Geheimnis das Einzige ist, das zählt, können Sie es in einem verschlüsselten Passwort-Manager aufbewahren und Codes überall neu erzeugen — auf einem Laptop, in einem zweiten Browserprofil, am Rechner unterwegs, offline.
Neu im Thema? Lesen Sie den verständlichen Erklärartikel: Was ist 2FA? Wie TOTP funktioniert
Jetzt ausprobieren- 01
Geheimen Schlüssel besorgen
Wenn ein Dienst „Zwei-Faktor-Authentifizierung → Authenticator-App“ anbietet, wählen Sie „Scannt nicht? Einrichtungsschlüssel anzeigen“. Sie erhalten eine Base32-Zeichenkette wie JBSWY3DPEHPK3PXP — oder einen kompletten otpauth://-Link. Beides funktioniert hier.
- 02
Einfügen, ablegen oder scannen
Fügen Sie den Schlüssel oder die URI in den Generator ein, ziehen Sie einen Screenshot des QR-Codes auf die Seite oder scannen Sie ihn mit der Kamera. Alles wird auf Ihrem Gerät dekodiert — nichts wird hochgeladen.
- 03
Live-Code kopieren
Ein frischer Token erscheint nach wenigen Sekunden, synchron mit der Uhr Ihres Geräts. Klicken Sie auf Kopieren und schließen Sie Ihre Anmeldung ab. Er aktualisiert sich automatisch alle 30 Sekunden.
Funktionen
Alles, was eine 2FA-App kann — vieles davon besser
Screenshot einfügen, Schlüssel erhalten
QR-Code-Bild mit Strg+V einfügen, eine Bilddatei hineinziehen oder mit der Webcam scannen. Drei Wege zum Importieren, kein Weg, über den Ihr Schlüssel entweichen kann.
Vollständige Parameterunterstützung, automatisch erkannt
Ein nackter Schlüssel nutzt die Standardwerte; eine vollständige otpauth://-URI berücksichtigt jeden übergebenen Parameter — 6/7/8 Ziffern, 15/30/60 s Periode, SHA-1/256/512, sogar zählerbasiertes HOTP.
Überlebt einen Reload — und wechselt mit
Seite neu geöffnet, und Ihr letzter Schlüssel ist schon da. Über die Liste „Letzte Schlüssel“ springen Sie mit einem Klick zwischen Ihren Schlüsseln — nur aus dem lokalen Speicher dieses Geräts wiederhergestellt, nie von einem Server.
Nichts zu installieren, nichts zu registrieren
Keine Handy-App, kein Konto, keine Sync-Gebühren, kein Tracking. Wer einen Browser öffnen kann, kann einen Code erzeugen.
Offline & installierbar
Funktioniert, wenn die Verbindung zur Außenwelt getrennt ist — wortwörtlich. Und als PWA installiert es sich in Ihr Dock oder auf Ihren Startbildschirm wie eine native App.
Kompatibilität
Funktioniert überall dort, wo eine Authenticator-App funktioniert
Jeder Dienst mit der Option „Authenticator-App verwenden“ erzeugt denselben standardisierten TOTP-Code — auch die folgenden:
- Discord
- GitHub
- Steam
- Binance
- X / Twitter
- AWS
- Coinbase
- Kraken
- Twitch
- Microsoft
- Proton Mail
Gerade einen dieser Dienste einrichten? Lesen Sie die Schritt-für-Schritt-Anleitung: GoogleMicrosoftDiscordGitHubXAWSCoinbaseKrakenSteamBinance
Über diesen 2FA-Generator
2FA COUNTER — der 2FA-Authenticator, der in Ihrem Browser lebt
Die Menschen kommen mit demselben Wunsch hierher: ein funktionierender Einmalpasswort-Code, sofort, ohne etwas zu installieren. Genau das ist 2FA COUNTER: ein kostenloser, browserbasierter 2FA-Authenticator und 2FA-Code-Generator. Fügen Sie Ihren geheimen Schlüssel ein, ziehen Sie einen Screenshot des QR-Codes auf die Seite oder scannen Sie ihn mit der Kamera — der passende Live-Code erscheint in Sekunden und aktualisiert sich alle 30 Sekunden, genau wie die App auf Ihrem Handy; nur eben, ohne dass etwas installiert werden muss.
Was ist 2FA? Die Antwort in 60 Sekunden
2FA — Zwei-Faktor-Authentifizierung — ist das zweite Schloss Ihres Kontos: etwas, das Siebesitzen, zusätzlich zu etwas, das Sie wissen. Beim Einschalten übergibt Ihnen der Dienst ein geheimen Schlüssel für die einmalige Nutzung. Ihr Authenticator leitet daraus plus der aktuellen Zeit einen frischen 6-stelligen Code ab — der TOTP-Standard, RFC 6238 —, während die Website, bei der Sie sich anmelden, dieselbe Berechnung ausführt und die Ergebnisse vergleicht. Weil der Code alle 30 Sekunden rotiert, öffnet ein gestohlenes Passwort allein nichts mehr. Wenn Sie die komplette Kryptografie erklärt bekommen möchten, lesen Sie den verständlichen Erklärartikel Was ist 2FA? Wie Zwei-Faktor-Authentifizierung & TOTP funktionieren, und erzeugen Sie danach Ihren ersten Code.
In drei Schritten zum Code
Wann immer Sie zu einer Anmeldung einen Code brauchen, genügen drei Eingaben. Erstens: Aktivieren Sie die Zwei-Faktor-Authentifizierung auf der Website und wählen Sie „Authenticator-App“; wenn sich der QR-Code nicht scannen lässt, blenden Sie den Einrichtungsschlüssel ein — eine Base32-Zeichenkette oder den vollständigen otpauth://-Link. Zweitens: Fügen Sie diesen Schlüssel oder diese URI in den Generator am Anfang dieser Seite ein, ziehen Sie einen QR-Screenshot hinein oder nutzen Sie die Kamera. Drittens: Kopieren Sie den frischen Code und schließen Sie Ihre Anmeldung ab. Der Generator berücksichtigt jeden übergebenen otpauth-Parameter: 6-, 7- oder 8-stellige Codes, 15/30/60-Sekunden-Perioden, SHA-1-, SHA-256- oder SHA-512-Hashing und zählerbasierte HOTP-Codes. Nichts wird hochgeladen, nichts protokolliert — der Code entsteht auf Ihrem Gerät, und Sie können es selbst im Netzwerk-Tab Ihres Browsers nachprüfen.
Ein 2FA-Authenticator, der Ihr Handy nie braucht
Die meisten kommen hierher, weil ihr Handy verschwunden ist — verkauft, kaputt, ertrunken, zurückgesetzt oder am Reisetag mit leerer Batterie — und Google Authenticator, Authy und Microsoft Authenticator nur auf diesem einen Gerät leben. Ein 2FA-Werkzeug im Browser beseitigt diesen einzelnen Ausfallpunkt: Das Geheimnis liegt im Tresor Ihres Passwort-Managers, und den Code erzeugen Sie auf jedem Computer neu, dem Sie vertrauen. Es passt auch zu Desktop-Workflows — bei GitHub oder einer AWS-Konsole am Zweitmonitor anmelden, mehrere Konten über die Liste „Recent keys“ verwalten, an einer Maschine arbeiten, auf der Handys nicht erlaubt sind. Installieren Sie es als App, und der Generator bleibt auch bei komplett getrennter Netzwerkverbindung einsatzfähig. Es ist dieselbe RFC-6238-Mathematik, die jeder Dienst ohnehin akzeptiert — nur eben nicht an Ihre Hosentasche gebunden.
Ein Werkzeug für Krypto, Cloud, Gaming und Soziale Netze
Was auch immer Sie schützen, der Standard-TOTP ist die gemeinsame Sprache. Beim Handel auf Binance, Coinbase oder Kraken, beim Absichern von AWS-, Microsoft- oder Google-Konten, beim Schutz von Steam, Discord, X oder Ihres Postfachs — jeder Dienst, der „Authenticator-App verwenden“ anbietet, spricht dasselbe Protokoll, also deckt ein Werkzeug sie alle ab. Lehnt eine Website Ihren Code ab, liegt es fast immer an der Geräteuhr, nicht am Werkzeug: Stellen Sie die Systemzeit auf automatische Synchronisierung, und die Codes stimmen wieder. Für die populären Dienste veröffentlichen wir Schritt-für-Schritt-Einrichtungsanleitungen, die zu diesem Generator passen — vom Aktivieren der Funktion bis zum Einfügen des letzten Codes.
Nichts gesendet, nichts gespeichert, nichts zu zahlen
Dies ist eines der ganz wenigen 2FA-Werkzeuge ohne Versteck, weil es nichts gibt, das sich verstecken ließe. Es gibt keine Server, an die Schlüssel gesendet werden könnten, keine zu erstellenden Konten, keine Premium-Stufen, keine Telemetrie. Jeder Code wird lokal mit der Web Crypto API berechnet; Ihr letzter Schlüssel und eine kurze „Letzte Schlüssel“-Liste liegen nur im Speicher Ihres eigenen Browsers und lassen sich mit einem Klick auf „Alle löschen“ entfernen. Bewahren Sie die Hauptkopie jedes Geheimnisses in einem verschlüsselten Passwort-Manager auf, sichern Sie zusätzlich die Wiederherstellungscodes jedes Dienstes — und werten Sie jede drängende Aufforderung zu einem frischen Code als das Warnsignal, das sie ist.
Es ist bereit, wenn Sie sind: Der Generator ist am Anfang der Seite. Fügen Sie einen Schlüssel ein und beobachten Sie den Live-Code beim Herunterzählen — kostenlos, privat, offlinefähig, für immer.
FAQ
Fragen, klar beantwortet
Noch unsicher? Alles, was dieses Werkzeug tut, ist im Netzwerk-Tab der DevTools Ihres Browsers sichtbar: keine einzige Anfrage enthält Ihren Schlüssel.
Wie erhalte ich 2FA?
Sie erhalten 2FA über das Konto, das Sie schützen möchten: Öffnen Sie dessen Einstellungen, suchen Sie „Sicherheit“ oder „Login & Sicherheit“ und dort „Zwei-Faktor-Authentifizierung“ oder „Zwei-Schritt-Verifizierung“. Wählen Sie die Option „Authenticator-App“, scannen Sie den QR-Code — oder klicken Sie auf „Scannt nicht? Schlüssel anzeigen“, um den Einrichtungsschlüssel zu sehen (eine Base32-Zeichenkette oder eine otpauth://-URI) — und fügen Sie ihn oben auf dieser Seite in den Generator ein. Bestätigen Sie die Einrichtung mit dem Live-Code und speichern Sie dann die Wiederherstellungscodes, die der Dienst Ihnen anzeigt.
Wie aktiviere ich die Zwei-Faktor-Authentifizierung?
Vier Schritte, ungefähr zwei Minuten: 1) Öffnen Sie die Konto- oder Sicherheitseinstellungen und wählen Sie „Zwei-Faktor-Authentifizierung“. 2) Wählen Sie „Authenticator-App verwenden“ (meiden Sie SMS, wenn es eine bessere Option gibt). 3) Scannen Sie den QR-Code mit Ihrem Authenticator — oder lassen Sie sich den Einrichtungsschlüssel anzeigen und speichern Sie ihn. 4) Bestätigen Sie mit dem Live-Code und laden Sie die Backup-Codes herunter oder drucken Sie sie aus. Für Google, GitHub, Discord, Binance und weitere Dienste veröffentlichen wir eigene Einrichtungsanleitungen.
Wie funktioniert 2FA?
Nach dem Passwort verlangt der Dienst einen zweiten Identitätsnachweis. Beim Standardverfahren TOTP (RFC 6238) berechnet Ihr Authenticator aus einem gemeinsam geheimen Schlüssel plus der aktuellen Zeit einen 6-stelligen Einmalpasswort-Code, und der Server führt exakt dieselbe Berechnung aus und vergleicht beide Werte. Der Code wird alle 30 Sekunden neu abgeleitet und ist nach seinem Ablauf wertlos — ein geleaktes Passwort allein reicht damit nicht mehr aus, Ihr Konto zu öffnen.
Wofür brauchen wir 2FA?
Sie schützt jede Anmeldung, auf die ein anderer scharf ist: E-Mail- und Cloud-Suiten (Google, Microsoft, Apple), Bank- und Brokerkonten, Krypto-Börsen (Binance, Coinbase, Kraken), Entwicklerplattformen (GitHub, AWS), Gaming (Steam, Discord, Twitch) und Soziale Netze (X, Instagram). Unternehmen nutzen sie auch für VPNs, E-Mail und Admin-Konsolen. Überall dort, wo eine Website die Option „Authenticator-App“ anbietet, führt der Weg über 2FA.
Ist 2FA 100 % sicher?
Nein — keine Sicherheitskontrolle ist das, und ehrliche Anleitungen sagen das offen. Zwei-Faktor-Authentifizierung vernichtet Angriffe über gestohlene Passwörter, aber ein frischer Code, den Sie innerhalb seiner 30 Sekunden auf einer gefälschten Website eingeben, lässt sich weiterhin phishen; Schadsoftware, die bereits auf Ihrem Gerät ist, kann die Sitzung selbst übernehmen; und SMS-Codes fallen SIM-Swap-Angriffen zum Opfer. Trotz aller Einschränkungen gilt: Ein Konto mit 2FA ist weit schwerer zu knacken als eines ohne.
Ist 2FA verpflichtend?
Kein Staat macht sie zur Pflicht, aber immer mehr Plattformen tun es: GitHub verlangt sie seit 2023 von Code-Beitragenden, Banken und Krypto-Börsen erzwingen sie, und Arbeitgeber schreiben sie für Arbeitszugänge routinemäßig vor. Überall sonst ist sie optional, aber dringend empfohlen. Behandeln Sie sie trotzdem als Pflicht für Ihr wertvollstes Konto — Ihre E-Mail — denn wer Ihr Postfach kontrolliert, kann alles andere zurücksetzen.
Warum ist 2FA so wichtig?
Weil Passwörter immer auf dieselbe Art scheitern. Milliarden echter Passwörter sind durch Datenlecks bereits öffentlich, und Angreifer probieren sie rund um die Uhr auf jeder anderen Website aus (Credential Stuffing). Microsoft berichtet, dass 2FA über 99,9 % automatisierter Kontoübernahme-Angriffe blockiert — es ist das günstigste Upgrade, das Ihre E-Mail-, Bank-, Gaming- und Krypto-Konten vor den Bedrohungen schützt, die tatsächlich passieren.
Wie stark ist 2FA?
Das hängt allein vom zweiten Faktor ab. SMS-Codes sind die schwächste Variante, denn ein SIM-Swap lässt einen Angreifer Ihre Rufnummer übernehmen und die Codes mitlesen. TOTP-Authenticator-Codes — die 30-Sekunden-Variante — sind kryptografisch stark: nichts wird übertragen, ein Offline-Angreifer kann sie nicht ableiten, und jeder Code läuft nach Sekunden aus. Hardware-Sicherheitsschlüssel und Passkeys sind am stärksten, weil sie phishing-resistent und kryptografisch an die echte Domain gebunden sind.
Warum setzt heute alles auf 2FA?
Weil die Ära des reinen Passworts zusammengebrochen ist. Industrielle Datenlecks legten Milliarden Zugangsdaten offen, automatisiertes Credential Stuffing machte Kontohijacking nahezu kostenlos, und die Plattformen waren es leid, für die Folgen zu bezahlen. Die Regulierung zog nach: NIST stufte SMS-Authentifizierung in US-Standards ab, und die EU-Richtlinie PSD2 verlangt starke Kundenauthentifizierung. Nachdem wenige Giganten 2FA normalisiert haben, zog jeder weitere Dienst nach.
Brauche ich ein Handy für diesen 2FA-Authenticator?
Nein. Das ist ein browserbasierter 2FA-Code-Generator: Er läuft auf jedem Laptop, Tablet oder Desktop mit einem modernen Browser, online oder komplett offline als installierte App. Er ersetzt die Handy-App, wenn das Handy verloren, verkauft, kaputt oder leer ist — oder wo ein Handy schlicht nicht erlaubt ist.
Ist 2FA COUNTER sicher zu benutzen?
Ja. Jede Berechnung läuft lokal in Ihrem Browser mit der Web Crypto API. Ihre geheimen Schlüssel werden niemals an einen Server gesendet — oder von einem gesehen. Sie können die Seite laden, das Internet trennen, und der Generator arbeitet weiter.
Funktioniert das auch offline?
Absolut. Installieren Sie 2FA COUNTER als App („Zum Startbildschirm hinzufügen“ / „Installieren“), und es läuft vollständig offline wie ein nativer Authenticator. Die Codes werden aus Ihrem Geheimnis plus der Uhr Ihres Geräts abgeleitet — es wird kein Netzwerk benötigt.
Warum wird mein 2FA-Code abgelehnt?
Fast immer wegen einer Uhrabweichung. TOTP-Codes basieren auf der Zeit; wenn die Uhr Ihres Geräts auch nur um eine halbe Minute daneben liegt, ist der Code ungültig. Stellen Sie sicher, dass die Systemzeit automatisch synchronisiert wird (z. B. bei Windows „Jetzt synchronisieren“ in den Einstellungen für Datum und Uhrzeit, bei macOS „Uhrzeit automatisch festlegen“) und versuchen Sie es erneut. Der Generator rechnet mit der Zeit, die Ihr Gerät meldet — eine eigene Uhr, die er korrigieren könnte, hat er nicht.
Wie unterscheidet sich das von Google Authenticator oder Authy?
Das sind Handy-Apps; dies ist ein Authenticator im Browser. Er nutzt exakt denselben RFC-6238-TOTP-Algorithmus und funktioniert mit jedem Dienst, der eine Standard-Authenticator-App akzeptiert — aber Sie verlieren den Zugang nie wieder, nur weil ein Handy kaputt, verkauft oder leer ist. Eine praktische Google-Authenticator-Alternative, wenn kein Handy in Reichweite ist.
Wo werden meine Schlüssel gespeichert?
Nur in Ihrem eigenen Browser. Ihr letzter Schlüssel plus eine kurze „Letzte Schlüssel“-Liste (bis zu 8) liegen im lokalen Speicher dieses Geräts, damit der Generator einen Reload überlebt und Sie mit einem Klick zwischen Ihren Schlüsseln wechseln können — nie auf unseren Servern, weil es keine gibt. Die Schlüssel liegen als Klartext vor; wer dieses Browserprofil öffnen kann, kann sie also lesen — behandeln Sie das Profil wie einen Passwort-Manager-Tresor. „Alle löschen“ über der Liste (fragt nach Bestätigung), das Leeren des Feldes oder das Zurücksetzen Ihrer Browserdaten entfernt sie endgültig; bewahren Sie das Original in Ihrem Passwort-Manager als Hauptkopie auf.
Funktioniert es mit HOTP, 8-stelligen Codes oder SHA-256-Diensten?
Ja. Fügen Sie die vollständige otpauth://-URI ein, die Ihr Dienst bereitstellt, und jeder übergebene Parameter wird automatisch berücksichtigt — 6, 7 oder 8 Ziffern, 15/30/60 s Periode, SHA-1/SHA-256/SHA-512-Hashing und zählerbasiertes HOTP. Ein nackter Base32-Schlüssel nutzt die Standardwerte (6 Ziffern, 30 s, SHA-1) — das verwenden fast alle Dienste.
Ist es wirklich kostenlos?
Ja — keine Konten, keine Premium-Stufen, kein Login. Es ist ein Werkzeug, kein Dienst.
Nie wieder zum Handy greifen
Bewahren Sie Ihre Geheimnisse im Passwort-Manager auf, erzeugen Sie Codes direkt hier und bleiben Sie auf jedem Gerät angemeldet — sogar ganz ohne Internet.
Jetzt 2FA-Code generieren