Zufällige Passwörter aus Buchstaben, Ziffern und Symbolen über crypto.getRandomValues.
TOTP/HOTP-Code-Generator
Läuft lokal
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
TOTP/HOTP-Code-Generator verwenden
Was es bewirkt
Berechnen Sie zeitbasierte (TOTP) oder zählerbasierte (HOTP) Einmalpasswörter für ein Base32-Geheimnis, so wie es Authentifizierungs-Apps tun, und prüfen Sie, ob ein Code übereinstimmt. Nützlich zum Testen Ihrer eigenen 2FA-Konfiguration.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie TOTP/HOTP-Code-Generator
- Secret eingeben. Fügen Sie das Base32-Secret Ihres eigenen Testkontos in Secret key (Base32) ein, oder drücken Sie Random für ein neues Secret mit 32 Zeichen.
- Passe die Einstellungen deiner App an. Wählen Sie den Code-Typ (TOTP – zeitbasiert oder HOTP – zählerbasiert), den Algorithmus und die Anzahl der Ziffern aus. Die meisten Authentifizierungs-Apps verwenden TOTP, HMAC-SHA-1 und 6 Ziffern.
- Code anzeigen. Für TOTP drücken Sie „Start TOTP“: Der Code wird zusammen mit einem Countdown angezeigt und jede Sekunde neu berechnet. Für HOTP stellen Sie den Zähler ein und drücken Sie „HOTP-Code anzeigen“; mit „Weiter“ gelangen Sie zum nächsten Zähler.
- Code überprüfen. Geben Sie einen Code aus Ihrer App oder von einem Server in das Feld „Code überprüfen“ ein und klicken Sie auf „Überprüfen“. Das Ergebnis gibt an, ob der Code übereinstimmt und für welchen Zeitschritt oder Zähler dies gilt.
- Anhalten und räumen. Drücken Sie „Stopp“, wenn Sie fertig sind; der letzte Code bleibt auf dem Bildschirm stehen. Leeren Sie das geheime Feld selbst.
Beispiel
Test-Secret aus RFC 6238
GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ412568Dies ist der veröffentlichte RFC 6238-Testschlüssel 12345678901234567890 im Base32-Format. Die Seite zeigt den aktuellen sechsstelligen Code und die Sekunden bis zum nächsten Code an – denselben Code, den eine Authentifizierungs-App für dieses Geheimnis anzeigt; bei Umschaltung auf HOTP mit Zähler 0 wird 755224 angezeigt, der erste RFC 4226-Testwert.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Der Code | HMAC des Zeitschritts (TOTP) oder des Zählers (HOTP), gekürzt auf 6 oder 8 Ziffern gemäß RFC 4226 und RFC 6238. Eine Übereinstimmung mit einer App liegt nur vor, wenn Typ, Algorithmus und Ziffern identisch sind. |
| Aktualisierungen in Ns · Zeitschritt N | Die verbleibende Zeit im aktuellen 30-Sekunden-Fenster in Sekunden sowie die Schrittnummer, die von der Uhr Ihres Geräts übernommen wird. Bei einer ungenauen Uhr wird der vorherige oder nächste Code angezeigt. |
| Zähler N · auf „Weiter“ klicken | Im HOTP-Modus gehört der Code zu diesem Zähler. Jeder Code wird einmal verwendet; anschließend erwarten die Server den nächsten Zähler. |
| Nicht Base32: ... | Das Passwort enthält Zeichen außerhalb des Bereichs A–Z und 2–7, wie beispielsweise 0, 1, 8 oder 9. Leerzeichen, Bindestriche und das Gleichheitszeichen „=“ werden ignoriert, und Kleinbuchstaben sind zulässig. |
| Das Geheimnis besteht nur aus N Bits | Der Schlüssel ist kürzer als die in RFC 4226 geforderten 128 Bit (26 Base32-Zeichen). Die Codes werden zwar weiterhin angezeigt, aber ein solcher Schlüssel lässt sich leichter erraten. |
| Gültig: entspricht … | Überprüfen Sie, ob der Code für den aktuellen Zeitschritt oder der HOTP-Zähler im Feld gefunden wurde. |
| Gilt für den vorherigen oder den nächsten Schritt | Der Code bezieht sich auf einen 30-Sekunden-Schritt vor oder nach dem aktuellen Zeitpunkt (gelb markiert). In der Regel besteht eine geringe Zeitabweichung zwischen den beiden Geräten. |
| Keine Übereinstimmung | Weder die überprüften Zeitschritte noch die Zähler stimmen überein. Überprüfe den Schlüssel, die Uhr, den Algorithmus und die Anzahl der Ziffern. |
Weitere Beispiele
RFC 4226-Testschlüssel, HOTP
GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQBei Code-Typ HOTP, HMAC-SHA-1, 6 Ziffern und Zähler 0 lautet der Code 755224; „Weiter“ ergibt 287082 für Zähler 1, die in RFC 4226 veröffentlichten Testwerte.
Einen Code eine Zählerstufe weiter überprüfen
GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQIm HOTP-Modus mit Zählerstand 0 ergibt die Eingabe von 287082 unter „Code überprüfen“ folgende Meldung: „Gültig für Zählerstand 1, 1 vor dem Zählerfeld“.
Kein Base32-Geheimnis
0189FEHLER mit der Meldung „Nicht Base32: ‚0‘, ‚1‘, ‚8‘, ‚9‘“, da Base32 nur die Buchstaben A–Z und die Ziffern 2–7 verwendet.
Häufig gestellte Fragen
Was genau wird berechnet?
TOTP-Codes ab dem aktuellen Zeitpunkt in 30-Sekunden-Schritten (RFC 6238) oder HOTP-Codes für einen von Ihnen festgelegten Zähler (RFC 4226), mit HMAC-SHA-1, SHA-256 oder SHA-512 und 6 oder 8 Ziffern; die meisten Authentifizierungs-Apps verwenden SHA-1 und 6 Ziffern. Bei der Überprüfung eines Codes werden der aktuelle Zeitschritt und jeweils ein Schritt in beide Richtungen sowie der HOTP-Zähler und die nächsten 9 Schritte geprüft; ein Geheimcode mit Zeichen außerhalb des Bereichs A–Z und 2–7 wird mit einer Meldung abgelehnt.
Schützt mich ein TOTP-Code vor Phishing?
Nicht vollständig. Adversary-in-the-Middle-Phishing-Kits geben den Code an die echte Website weiter, während Sie ihn eintippen, sodass er zusammen mit dem Passwort abgegriffen wird; Passkeys und FIDO2-Sicherheitsschlüssel widerstehen dem, weil sie an die echte Domain gebunden sind.
Wird das Secret irgendwohin gesendet oder gespeichert?
Nein. Die Codes werden in Ihrem Browser mithilfe der Web Crypto API berechnet, und das Geheimnis wird zu keinem Zeitpunkt hochgeladen oder gespeichert. TOTP basiert auf der Uhr Ihres Geräts; wenn die Uhr also nicht genau geht, werden unterschiedliche Codes generiert.
Wie kann ich die Codes anhand der RFCs überprüfen?
Verwenden Sie den Testschlüssel 12345678901234567890, in Base32: GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ. Im HOTP-Modus ergibt Zähler 0 den Wert 755224 und Zähler 1 den Wert 287082 (RFC 4226). RFC 6238 gibt 94287082 für 8 Ziffern 59 Sekunden nach dem 1. Januar 1970 UTC an; der TOTP-Modus verwendet immer die aktuelle Uhrzeit.
Was ist der Unterschied zwischen TOTP und HOTP?
HOTP (RFC 4226) zählt die Verwendungen: Jeder Code ist mit einem Zähler verknüpft, der sich um eins erhöht. TOTP (RFC 6238) ist eine Variante von HOTP, bei der der Zähler auf den aktuellen 30-Sekunden-Zeitschritt eingestellt ist, sodass sich der Code mit der Uhrzeit ändert.
Warum zeigt meine App einen anderen Code?
Überprüfen Sie zunächst die Uhrzeiten, denn bereits 30 Sekunden Unterschied führen zu einer Änderung des Codes. Überprüfen Sie anschließend das Passwort auf Tippfehler und stellen Sie fest, ob das Konto SHA-256, SHA-512, 8 Ziffern oder einen Zähler anstelle der Uhrzeit verwendet, und stellen Sie hier die entsprechenden Optionen ein.
Soll ich ein echtes 2FA-Secret hier einfügen?
Vermeiden Sie das. Das Secret bleibt in Ihrem Browser, aber jeder, der es sieht oder kopiert, kann Ihre Codes erzeugen, bis Sie 2FA für dieses Konto zurücksetzen. Um 2FA auf ein neues Telefon zu übertragen, nutzen Sie die Übertragungs- oder Zurücksetzungsfunktion des Kontos selbst.