TOTP steht für „Time-based One-Time Password“ und bezeichnet einen zeitabhängigen Einmalcode. Login-Apps wie Google Authenticator, Microsoft Authenticator oder Authy erzeugen damit meist sechsstellige Zahlen, die nur kurze Zeit gültig sind. Du brauchst den Code zusätzlich zu Benutzername und Passwort, wenn ein Dienst eine Zwei-Faktor-Anmeldung verlangt.
Der Code erscheint normalerweise alle 30 Sekunden neu. Er wird aus einem geheimen Schlüssel und der aktuellen Uhrzeit berechnet. Weil der Schlüssel nur bei deinem Konto und in der Authenticator-App hinterlegt ist, erhöht TOTP den Schutz deutlich, falls dein Passwort bekannt wird.
Wie funktioniert ein TOTP-Code?
Bei der Einrichtung zeigt der Dienst einen QR-Code oder einen geheimen Einrichtungsschlüssel an. Deine Login-App speichert diese Information. Danach berechnen App und Server aus demselben Schlüssel und der aktuellen Zeit denselben Einmalcode.
Beim Anmelden gibst du zuerst dein Passwort und anschließend die angezeigte Zahlenfolge ein. Nach dem Ablauf des Zeitfensters funktioniert der alte Code nicht mehr. Eine Internetverbindung ist für die reine Codeerzeugung oft nicht nötig, die Uhrzeit des Smartphones muss jedoch stimmen.
Was bedeutet die Anzeige in der Login-App?
Ein Kreis, Balken oder Countdown zeigt meist an, wie lange der aktuelle Code noch gültig ist. Ein bald ablaufender Code ist nicht automatisch falsch. Warte bei einer Fehlermeldung bis zum nächsten Code und gib ihn erneut ein.
Prüfe außerdem, ob das richtige Konto ausgewählt ist. Mehrere Einträge mit ähnlichen Namen können leicht verwechselt werden. Die App erzeugt zwar Zahlen, kann aber nicht erkennen, ob du sie beim richtigen Dienst eingibst.
Wenn der TOTP-Code nicht funktioniert
- Kontrolliere Datum, Uhrzeit und Zeitzone des Smartphones. Aktiviere möglichst die automatische Zeiteinstellung.
- Warte auf den nächsten Code und übertrage die Ziffern ohne Leerzeichen.
- Prüfe, ob der Eintrag in der App zum betroffenen Benutzerkonto gehört.
- Nutze einen vorhandenen Wiederherstellungscode oder die offizielle Kontowiederherstellung, wenn die App gelöscht oder das Smartphone gewechselt wurde.
Mehrere erfolglose Versuche können zu einer vorübergehenden Sperre führen. Starte deshalb nicht beliebig viele Anmeldeversuche. Wenn die Zeit stimmt und der Code dauerhaft abgelehnt wird, muss die Zwei-Faktor-Anmeldung beim jeweiligen Dienst zurückgesetzt oder neu eingerichtet werden.
Fragen und Antworten zu TOTP
Ist ein TOTP-Code dasselbe wie eine SMS-TAN?
Nein. TOTP-Codes werden von einer Authenticator-App aus einem gespeicherten Schlüssel und der Uhrzeit erzeugt. Eine SMS-TAN wird dagegen vom Dienst an eine Mobilfunknummer gesendet.
Funktioniert TOTP ohne Internet?
Die Codeerzeugung funktioniert häufig offline. Entscheidend sind der zuvor gespeicherte Einrichtungsschlüssel und eine möglichst genaue Uhrzeit auf dem Smartphone.
Was passiert beim Wechsel auf ein neues Handy?
Die TOTP-Einträge werden nicht immer automatisch übertragen. Du brauchst dafür eine Export- oder Synchronisierungsfunktion der App, einen hinterlegten Wiederherstellungscode oder die erneute Einrichtung beim jeweiligen Dienst.
Kann jemand den Code aus der App ablesen?
Wer Zugriff auf dein entsperrtes Smartphone oder die Authenticator-App erhält, kann möglicherweise gültige Codes sehen. Schütze deshalb das Gerät mit einer sicheren Bildschirmsperre und teile Einmalcodes niemals mit anderen.
Warum wird der Code trotz richtiger Eingabe abgelehnt?
Häufig stimmen die Gerätezeit oder der ausgewählte Kontoeintrag nicht. Wenn beide Punkte stimmen, kann die TOTP-Einrichtung beim Dienst beschädigt oder ersetzt worden sein; dann hilft nur der offizielle Wiederherstellungsweg.
Wenn ein TOTP-Code abgelehnt wird, prüfe zuerst die automatische Uhrzeit und den richtigen App-Eintrag. Erst danach solltest du die Kontowiederherstellung oder eine neue Einrichtung starten.