Wissen

Was ist 2FA? Und wie funktioniert dieser 30-Sekunden-Code eigentlich?

Ein vollständiger, verständlicher Leitfaden: Was Zwei-Faktor-Authentifizierung ist, welche Kryptografie hinter den 6-stelligen TOTP-Codes steckt, welcher Faktor für welches Konto passt — und wie Sie sich nie wieder aussperren.

Warum Passwörter allein scheitern

Jede Anmeldung braucht ein Passwort, und Passwörter haben drei strukturelle Probleme: Sie werden wiederverwendet, sie werden von Credential-Stuffing-Angriffen über geleakte Datenbanken erraten, und sie werden den Menschen abgephished. Die Zwei-Faktor-Authentifizierung (2FA) akzeptiert eine simple Wahrheit — der Mensch ist das schwächste Glied — und fügt ein zweites, unabhängiges Element hinzu, das ein Angreifer ebenfalls besitzen muss. Mit 2FA reicht ein geleaktes Passwort allein nicht mehr aus, um in Ihr Konto zu gelangen.

Die meisten großen Dienste bieten 2FA heute an oder verlangen sie: GitHub erzwingt sie seit 2023, Krypto-Börsen (Binance, Coinbase, Kraken) pushen sie bei jedem Kurssturz, und Microsoft, Google und Apple haben sie als Standard in die Kontosicherheit integriert.

Die drei Faktoren

Authentifizierungsfaktoren fallen in drei Kategorien:

Etwas, das Sie wissen — Passwörter, PINs. Günstig einzuführen und leicht abzuphishen.
Etwas, das Sie besitzen — ein Authenticator, der Codes erzeugt, ein Hardware-Sicherheitsschlüssel oder Passkey, ein Handy, das SMS empfängt. Hier lebt die 2FA.
Etwas, das Sie sind — Fingerabdrücke, Gesichtserkennung. Bequem, wird aber direkt auf dem Gerät registriert statt als primärer entfernter Faktor zu dienen.

Echte Zwei-Faktor-Prüfung kombiniert Verfahren aus zwei verschiedenen Kategorien. Ein Passwort plus Entsperrmuster auf Ihrem Handy ist keine 2FA; ein Passwort plus ein rotierender Authenticator-Code schon.

Wie TOTP funktioniert, Schritt für Schritt

Einrichtung. Wenn Sie einen Dienst aktivieren, erzeugt er ein zufälliges Geheimnis und teilt es Ihnen einmalig mit — als QR-Code gezeichnet oder als Base32-Einrichtungsschlüssel angezeigt. In Sicherheitsbetrachtung birgt genau dieser Moment das gesamte Risiko; deshalb sollten Sie den Schlüssel nur dort zeigen lassen, wo Sie ihm vertrauen.
Die Zeit tickt. Die aktuelle Zeit wird in 30-Sekunden-„Schritte“ eingeteilt: step = floor(unixTime / 30). Nichts ist an der 30 besonders; RFC 6238 erlaubt einem Dienst auch 15, 30 oder 60 Sekunden.
HMAC. Ihr Authenticator berechnet einen HMAC-Hash (SHA-1 für die meisten Dienste, gelegentlich SHA-256/512) über den Schrittwert, mit dem Geheimnis als Schlüssel. HMAC ist eine Einweg-Konstruktion: Das Ergebnis verrät nichts über das Geheimnis.
Ziffernextraktion. Vier Bytes des HMAC-Ergebnisses werden über das letzte Halbbyte ausgewählt, das oberste Bit gelöscht, und das Ergebnis modulo 10ⁿ wird Ihr Code — meist n = 6, manchmal 7 oder 8.
Prüffenster. Der Server berechnet denselben Wert für den aktuellen und den vorherigen Schritt neu (um kleine Uhrabweichungen zu tolerieren). Stimmt der Nachweis, wird die Anmeldung akzeptiert.

Das alles läuft in Mikrosekunden, vollständig auf Ihrem Gerät. Genau deshalb kann ein clientseitiges Werkzeug wie 2FA COUNTER die gesamte Arbeit lokal erledigen — Seite laden, Internet trennen, und die Codes strömen trotzdem alle 30 Sekunden heraus, für immer.

Das Geheimnis und der QR-Code

Die Base32-Zeichenkette ist kein bloßes Zwischenformat — sie sind die rohen Bytes des Geheimnisses, kodiert in einem handyfreundlichen Alphabet (A–Z plus 2–7, bewusst ohne 0/1, die leicht verwechselt werden, und auf jeder Tastatur sicher). Bietet eine Plattform „Scannt nicht?“ an, enthält die resultierende Zeichenkette dasselbe private Material, das der QR-Code kodiert. Sie können beide Formen speichern; die Bedeutung ist identisch:

otpauth://totp/GitHub:you%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=GitHub
otpauth://totp/Binance:me?secret=JBSWY3DPEHPK3PXP&digits=6&period=30&algorithm=SHA1
otpauth://hotp/Steam:sda?secret=...&counter=5   ← zählerbasierte Variante (HOTP)

Ein moderner Generator beachtet jeden Parameter: Ziffernanzahl, Periode, Hash-Algorithmus und HOTP-Zähler — denn ein Dienst, der SHA-256 verlangt, lehnt auch einen Standard- SHA-1-Code ab. Ein nackter Base32-Schlüssel nutzt die Standardwerte 6 Ziffern, 30 s, SHA-1 — das verwenden die allermeisten Dienste.

TOTP gegenüber SMS und Hardware-Schlüsseln

SMS-Codes laufen über das Telekommunikationsnetz. SIM-Swap-Angriffe lassen einen Angreifer Ihre Rufnummer übernehmen und jeden Code mitlesen. SMS ist in den US-Standards (NIST SP 800-63B) für die Authentifizierung abgestuft.
TOTP überträgt nichts — der Code wird lokal berechnet und läuft nach 30 Sekunden aus. Kostenlos, standardbasiert und überall unterstützt. Schwache Stelle: Er lässt sich innerhalb seines Gültigkeitsfensters phishen.
Sicherheitsschlüssel und Passkeys (WebAuthn/FIDO2) sind kryptografisch an die exakte Domain gebunden, sodass nachgeahmte Fake-Seiten automatisch scheitern. Die stärkste Option; weniger weit verbreitet und ein Schlüssel kostet Geld.

Die praktische Leiter: SMS nur, wenn es sein muss, TOTP als Standard, Hardware-Schlüssel oder Passkeys für die wichtigsten Konten.

Vertiefungen zu den Abwägungen: TOTP gegen Passkeys — welcher Faktor wohin gehört, wie SIM-Swap-Angriffe SMS-Codes besiegen und was die Cloud-Sync der App mit Ihren geheimen Schlüsseln macht.

Was 2FA nicht löst

Die Zwei-Faktor-Authentifizierung löst Passwortdiebstahl. Sie verhindert weder das Stehlen von Session-Cookies (Schadsoftware, die bereits auf Ihrer Maschine läuft), noch Browsererweiterungen mit zu weitreichenden Berechtigungen, noch eine Wiederherstellungs-E-Mail, über die Sie die Kontrolle verloren haben, noch Social Engineering, bei dem ein Angreifer Sie bedrängt, einen frischen Code innerhalb seines 30-Sekunden-Fensters vorzulesen. Halten Sie Ihre Browser aktuell, entsorgen Sie Erweiterungen kompromisslos und werten Sie jede panische Bitte um einen Code als das Warnsignal, das sie ist.

Wie Sie sich nie aussperren

Sichern Sie die Backup-Codes. Jeder Dienst zeigt beim Aktivieren von 2FA ein Bündel Einmal-Wiederherstellungscodes an. Drucken Sie sie aus oder speichern Sie sie verschlüsselt und offline.
Bewahren Sie das Geheimnis auf, nicht nur das Werkzeug. Der Base32-Schlüssel im Tresor Ihres Passwort-Managers lässt Sie Codes mit jedem Authenticator neu erzeugen — einer Handy-App oder dem browserbasierten Generator —, auf welchem Gerät Sie an diesem Tag gerade haben.
Richten Sie zwei Geräte ein, nicht eines. Ein Geheimnis darf gefahrlos auf zwei vertrauenswürdigen Geräten gleichzeitig leben. TOTP ist deterministisch: dasselbe Geheimnis, dieselben Codes.
Beobachten Sie Ihre Uhr. Wenn Codes regelmäßig abgelehnt werden, beheben Sie zuerst die Zeitsynchronisation des Geräts — sie ist mit Abstand die häufigste Ursache für „ungültiger Code“-Fehler, und kein Werkzeug kann sie umgehen.

FAQ

Was ist 2FA?

2FA (Zwei-Faktor-Authentifizierung) bedeutet, dass Sie Ihre Identität mit zwei unterschiedlichen Nachweisen belegen: etwas, das Sie wissen (Ihr Passwort), plus etwas, das Sie besitzen (ein Code, der sich alle 30 Sekunden ändert, ein Sicherheitsschlüssel oder Ihr Handy). Ein Passwort allein kann abhandenkommen oder erraten werden; der zweite Faktor macht ein geleaktes Passwort allein wertlos.

Warum ist 2FA so wichtig?

Weil Passwörter immer auf dieselbe Art scheitern. Milliarden echter Passwörter sind durch Datenlecks bereits öffentlich, und Angreifer probieren sie rund um die Uhr auf fremden Konten aus (Credential Stuffing). Microsoft berichtet, dass 2FA über 99,9 % automatisierter Kontoübernahme-Angriffe blockiert — es schützt Ihre E-Mail, Ihr Bankkonto, Gaming- und Krypto-Konten genau vor den Bedrohungen, die tatsächlich passieren.

Wofür braucht man 2FA?

Sie schützt jede Anmeldung, auf die ein anderer scharf ist: E-Mail- und Cloud-Konten (Google, Microsoft, Apple), Banken und Finanzen, Krypto-Börsen (Binance, Coinbase, Kraken), Entwicklerplattformen (GitHub, AWS), Gaming (Steam, Discord, Twitch) und Soziale Netze (X, Instagram). Unternehmen nutzen sie auch für VPNs, E-Mail und Admin-Konsolen. Überall dort, wo ein Dienst die Option „Authenticator-App“ anbietet, ist 2FA das richtige Werkzeug.

Wie funktioniert 2FA?

Nachdem Sie Ihr Passwort eingegeben haben, verlangt der Dienst einen zweiten Identitätsnachweis. Beim verbreitetsten Verfahren (TOTP) berechnet Ihr Authenticator aus einem gemeinsam geheimen Schlüssel plus der aktuellen Zeit einen frischen 6-stelligen Code (der RFC-6238-Standard), während der Server exakt dieselbe Berechnung ausführt und die Ergebnisse vergleicht. Der Code rotiert alle 30 Sekunden und kann nie wiederverwendet werden — ein Angreifer mit nur Ihrem Passwort kommt also trotzdem nicht hinein.

Wie wird ein TOTP-Code erzeugt?

Die Website gibt Ihnen einen geheimen Schlüssel (meist als QR-Code oder Base32-Zeichenkette). Ihr Authenticator berechnet einen HMAC (mit SHA-1, SHA-256 oder SHA-512) über das aktuelle 30-Sekunden-Zeitfenster mit diesem Schlüssel und liest daraus 6 Ziffern ab. Die Website führt dieselbe Berechnung aus und vergleicht. Es wird kein Netzwerk benötigt, weil beide Seiten das Geheimnis bereits teilen.

Wie erhalte ich 2FA?

Sie erhalten 2FA über das Konto, das Sie schützen möchten: Öffnen Sie dessen Einstellungen, suchen Sie „Sicherheit“ oder „Login & Sicherheit“ und dort „Zwei-Faktor-Authentifizierung“ oder „Zwei-Schritt-Verifizierung“. Wählen Sie die Option „Authenticator-App“, scannen Sie den QR-Code (oder lassen Sie sich den Einrichtungsschlüssel anzeigen) und bestätigen Sie die Einrichtung mit dem Code, den Ihr Authenticator anzeigt. Unsere Schritt-für-Schritt-Anleitung zeigt, wie Sie einen Code ohne Handy erhalten: /de/how-to-get-2fa-code/.

Wie aktiviere ich die Zwei-Faktor-Authentifizierung?

Vier Schritte: 1) Öffnen Sie die Konto- oder Sicherheitseinstellungen des Dienstes und wählen Sie „Zwei-Faktor-Authentifizierung“. 2) Wählen Sie „Authenticator-App verwenden“ (meiden Sie SMS, wenn es die Option gibt). 3) Scannen Sie den QR-Code mit Ihrem Authenticator — oder klicken Sie auf „Scannt nicht?“ und speichern Sie den Einrichtungsschlüssel. 4) Bestätigen Sie mit dem Live-Code und laden Sie anschließend die angezeigten Backup- bzw. Wiederherstellungscodes herunter oder drucken Sie sie aus. Für Google, GitHub, Discord, Binance und weitere Dienste veröffentlichen wir eigene Einrichtungsanleitungen unter /guides/.

Wie stark ist 2FA?

Das hängt allein vom gewählten zweiten Faktor ab. SMS-Codes sind die schwächste Variante — SIM-Swap-Angriffe können Ihre Rufnummer übernehmen und die Codes mitlesen. TOTP-Authenticator-Codes (die 30-Sekunden-Variante) sind rechnerisch stark: Ein Offline-Angreifer kann sie nicht ableiten, und jeder Code läuft nach Sekunden aus. Hardware-Sicherheitsschlüssel und Passkeys sind am stärksten, weil sie phishing-resistent und kryptografisch an die echte Domain gebunden sind.

Ist 2FA 100 % sicher?

Keine Sicherheitsmaßnahme ist 100 % sicher, und ehrliche 2FA-Leitfäden sagen das offen. Zwei-Faktor-Authentifizierung vereitelt gestohlene Passwörter, aber der Code selbst lässt sich weiterhin phishen, wenn Sie ihn innerhalb seines 30-Sekunden-Fensters auf einer gefälschten Website eingeben; Schadsoftware, die bereits auf Ihrem Gerät läuft, kann die Sitzung übernehmen; und ist SMS Ihr zweiter Faktor, sind SIM-Swaps eine reale Bedrohung. Trotz allem: Mit 2FA sind Sie dramatisch schwerer anzugreifen als mit Passwort allein.

Ist 2FA verpflichtend?

Nicht per Gesetz, aber immer mehr Dienste machen sie zur Pflicht: GitHub verlangt sie seit 2023 von Code-Beitragenden, viele Banken und Krypto-Börsen erzwingen sie, und Arbeitgeber schreiben sie für Arbeitszugänge routinemäßig vor. Überall sonst ist sie optional, aber dringend empfohlen. In der Praxis sollten Sie 2FA als Pflicht für Ihre wertvollsten Konten behandeln: zuerst die E-Mail, denn wer Ihr Postfach kontrolliert, kann alles andere zurücksetzen.

Warum setzt heute alles auf 2FA?

Weil die Ära des reinen Passworts zusammengebrochen ist. Massenhafte Datenlecks legten Milliarden Zugangsdaten offen, Credential-Stuffing-Angriffe wurden automatisiert und billig, und die Plattformen trugen die Kosten für gekaperte Konten. Die Regulierung zog nach: NIST stufte SMS-Authentifizierung in seinen US-Standards ab, und die EU-Richtlinie PSD2 verlangt starke Kundenauthentifizierung. Nachdem wenige Giganten 2FA normalisiert haben, zog jeder weitere Dienst nach.

Was ist der Unterschied zwischen TOTP, HOTP und OTP?

OTP bedeutet schlicht „Einmalpasswort“ (One-Time Password). TOTP (zeitbasiertes OTP, RFC 6238) leitet den Code aus der aktuellen Zeit ab, er wechselt also alle 30 Sekunden. HOTP (RFC 4226) basiert auf einem Zähler: Jeder Code wird einmal verwendet, danach zählt der Zähler weiter. Nahezu jeder Dienst mit „Authenticator-App“ — Google, Microsoft, Discord, GitHub — nutzt TOTP.

Warum ist TOTP besser als SMS-2FA?

SMS-Codes laufen über das Mobilfunknetz, wo sie abgefangen oder durch SIM-Swap-Angriffe gestohlen werden können — und die SMS-Zustellung kann schlicht fehlschlagen. TOTP-Codes werden auf Ihrem Gerät berechnet, niemals übertragen und laufen nach Sekunden aus. Sicherheitsbehörden einschließlich NIST haben SMS für die Authentifizierung abgestuft.

Kann ein TOTP-Code von einer Phishing-Seite gestohlen werden?

Ja — geben Sie einen frischen Code innerhalb seines 30-Sekunden-Fensters auf einer Phishing-Seite ein, hat der Angreifer genau eine funktionierende Anmeldung. Deshalb sind phishing-resistente Faktoren (Hardware-Sicherheitsschlüssel und Passkeys, die sich kryptografisch an die echte Domain binden) die stärkste Option, wo immer sie angeboten werden. TOTP schlägt SMS und Passwörter — aber keine Hardware-Schlüssel.

Wo sollte ich meinen 2FA-Geheimschlüssel aufbewahren?

Im verschlüsselten Tresor eines Passwort-Managers, als Ihre Hauptkopie. So können Sie Codes auf jedem vertrauenswürdigen Gerät neu erzeugen — auch im Browser mit einem Werkzeug wie 2facounter.com —, falls Ihr Handy einmal nicht erreichbar ist. Speichern Sie zusätzlich die Backup- bzw. Wiederherstellungscodes, die jeder Dienst beim Aktivieren von 2FA anzeigt; sie sind Ihr wahrer Airbag.