So erhalten Sie Ihren 2FA-Code

Was Sie vor dem Start brauchen

Zugang zum Konto natürlich — Sie sollten bereits bei dem Dienst angemeldet sein, den Sie schützen möchten. Darüber hinaus zählen zwei Dinge. Erstens muss der Dienst eineAuthenticator-App als zweiten Faktor anbieten; das umfasst Google, Microsoft, GitHub, Discord, Steam, AWS, Coinbase, Kraken, Binance, X sowie die meisten Banken und Börsen. Zweitens brauchen Sie einen Ort, um den Authenticatorlaufen zu lassen: eine Handy-App oder — der Kern dieser Website — dieses Browser-Werkzeug, das exakt dieselben Codes berechnet, ohne dass Sie etwas installieren.

Ein Wort zur Benennung: Dienste nennen diesen zweiten Faktor „Zwei-Faktor-Authentifizierung“, „2FA“, „Zwei-Schritt-Verifizierung“, „TOTP“ oder „Authenticator-App“. Hinter den Begriffen steckt dasselbe — ein zeitbasiertes Einmalpasswort, das aus einem gemeinsam geheimen Schlüssel abgeleitet wird. Wenn Sie eher den Mechanismus erklärt bekommen möchten als ihn zu benutzen, lesen Sie Was ist 2FA? Wie TOTP funktioniert.

Schritt 1: 2FA aktivieren und den Einrichtungsschlüssel anzeigen

Öffnen Sie die Sicherheitseinstellungen Ihres Kontos und suchen Sie den Abschnitt zur Zwei-Faktor-Authentifizierung. Wählen Sie die Option Authenticator-App. Der Dienst zeigt Ihnen einen QR-Code zum Scannen mit dem Handy — und dieser Bildschirm bietet fast immer eine Alternative: einen Link mit der Aufschrift „Scannt nicht?“,„Code manuell eingeben“ oder „Einrichtungsschlüssel“. Über diesen Link erscheint das eigentliche Geheimnis: eine Base32-Zeichenkette wie JBSWY3DPEHPK3PXP, gelegentlich verpackt in eine vollständige otpauth://-URI, die zusätzlich die Kontobezeichnung, die Ziffernanzahl, die Aktualisierungsperiode und den Hash-Algorithmus enthält.

Dieser Schlüssel ist der Berechtigungsnachweis — er ist das tragbare Äquivalent zu Ihrem Passwort für den zweiten Faktor. Behandeln Sie den Bildschirm wie einen Wiederherstellungsbildschirm: Niemand, der seriös ist, wird Sie je bitten, einen Einrichtungsschlüssel in eine E-Mail oder einen Chat einzufügen. Kopieren Sie ihn, schließen Sie die Aktivierung von 2FA ab (die meisten Dienste verlangen zur Bestätigung einen funktionierenden Code) und bewahren Sie das Original verschlüsselt auf, etwa in einem Passwort-Manager.

Schritt 2: Den Schlüssel in den Generator eingeben

Fügen Sie im Generator oben auf unserer Startseite das soeben kopierte ein — die nackte Base32-Zeichenkette oder den vollständigen otpauth://-Link, beides funktioniert. Innerhalb weniger Sekunden erscheint ein Live-6-stelliger Code, der sich alle 30 Sekunden erneuert. Sie können den Schlüssel auch aus einem Bild importieren: Fügen Sie einen Screenshot des QR-Codes direkt mit Strg+V auf der Seite ein, ziehen Sie eine Bilddatei hinein oder scannen Sie den QR-Code mit der Kamera — das Dekodieren passiert lokal, nichts wird hochgeladen. Liefert der Dienst eine vom Standard abweichende Konfiguration (8-stellige Codes, 15/30/60-Sekunden- Perioden, SHA-256 oder zählerbasiertes HOTP), trägt eine vollständige otpauth://-URI all diese Parameter, und der Generator beachtet sie automatisch.

Schritt 3: Den Live-Code eingeben und die Anmeldung abschließen

Geben Sie den aktuellen Code in die Verifizierungsabfrage ein, bevor er rotiert. Jeder Code gilt für genau ein 30-Sekunden-Fenster (kürzer oder länger bei Diensten mit eigenen Perioden); steht der Zähler also auf den letzten Sekunden, warten Sie lieber auf den nächsten Code, statt einen abgelaufenen zu versenden. Von nun an wiederholt sich bei jeder Anmeldung bei diesem Dienst derselbe Ablauf: Generator öffnen → Code kopieren → Code eingeben. Ihren letzten Schlüssel merkt sich das Werkzeug ausschließlich im lokalen Speicher Ihres eigenen Browsers, der nächste Besuch ist also nur einen Klick entfernt.

Wo Sie den Einrichtungsschlüssel bei populären Diensten finden

Jeder Dienst versteckt die Authenticator-Option an einem etwas anderen Ort, deshalb veröffentlichen wir Schritt-für-Schritt-Einrichtungsanleitungen, die zu diesem Generator passen — am Ende fügen Sie den Schlüssel hier ein und schließen die Einrichtung ab. Am häufigsten gefragt: Google, Microsoft, Discord, GitHub, Steam, AWS, Coinbase, Kraken und Binance.

Fehlersuche: Was tun, wenn es nicht funktioniert

Der Code wird abgelehnt. In der Praxis liegt das fast immer an einer Uhrabweichung auf dem Gerät, auf dem der Generator läuft. TOTP vergleicht Ihren Code mit einem Code, der aus der Uhr des Dienstes abgeleitet wird; liegt Ihre Systemzeit auch nur um eine halbe Minute daneben, entfernen sich die beiden Werte. Stellen Sie Ihr Betriebssystem auf automatische Zeitsynchronisierung ein (Windows: „Jetzt synchronisieren“ in den Datums- und Uhrzeiteinstellungen; macOS: „Datum und Uhrzeit automatisch festlegen“) und probieren Sie den nächsten Code.

Der QR-Code lässt sich nicht scannen. Nutzen Sie stattdessen den Link „Scannt nicht?“, um den Einrichtungsschlüssel anzuzeigen — der Textschlüssel ist immer zuverlässiger als das Abfotografieren eines Bildschirms. Liegt Ihnen nur ein Screenshot vor, schneiden Sie ihn auf den QR-Code selbst zu; stark komprimierte oder schräg aufgenommene Aufnahmen scheitern oft am Dekodieren.

Sie haben das Handy verloren, auf dem der Schlüssel lag. Genau für diese Situation wurde dieses Werkzeug gebaut: Wenn Sie das Original-Geheimnis in Ihrem Passwort-Manager aufbewahrt haben — oder es hier eingefügt haben, solange das Handy noch funktionierte —, können Sie die Codes auf jedem Computer neu erzeugen. Kein Handy, keine Wiederherstellung, kein Support-Ticket.

Zwei Gewohnheiten, die sich lohnen

Speichern Sie die Wiederherstellungscodes des Dienstes offline, wenn Sie 2FA aktivieren; sie sind die Rettung, falls Sie jemals das Gerät verlieren, auf dem das Geheimnis liegt. Und betrachten Sie einen Live-2FA-Code nie als etwas zum Weitergeben: kein Support-Mitarbeiter, keine Bank, keine Börse braucht Ihren aktuellen Code je unaufgefordert. Ein Code ist nur innerhalb seines 30-Sekunden-Fensters an dem Anmeldebildschirm nützlich, den Sie selbst gewählt haben.