Füge einen geheimen 2FA-Schlüssel oder einen otpauth://-Link ein, um den Code zu sehen, den deine Authenticator-App jetzt zeigen würde. Er wird auf diesem Gerät berechnet; der Schlüssel wird weder gesendet noch gespeichert.
So entsteht ein TOTP-Code
Ein TOTP-Code (RFC 6238) ist ein Einmalpasswort aus zwei Zutaten: dem geheimen Schlüssel, den dir ein Dienst beim Einschalten der Zwei-Faktor-Authentifizierung gegeben hat, und der aktuellen Zeit. Der Zeitschritt wechselt alle 30 Sekunden, und mit ihm der Code. Der Dienst berechnet denselben Code auf seiner Seite und vergleicht beide.
Dein Schlüssel bleibt auf diesem Gerät
Der Code wird mit der Web Crypto API deines Browsers berechnet. Die Seite sendet nichts: weder den Schlüssel noch den Code noch den Kontonamen. Nichts wird gespeichert, und der Schlüssel landet nie in der Adresszeile; nach einem Neuladen oder dem Schließen des Tabs ist er vergessen.
Wann es hilft und wann nicht
Es hilft, wenn deine Authenticator-App auf einem Handy ist, das du gerade nicht dabeihast, oder um zu prüfen, ob ein notierter Schlüssel stimmt. Wer einen Schlüssel hat, kann seine Codes erzeugen; behandle ihn wie ein Passwort und füge ihn für den Alltag einer Authenticator-App auf einem vertrauenswürdigen Gerät hinzu.
Hängt dein Konto auch an einer Telefonnummer?
Viele Dienste binden Anmeldung und Wiederherstellung zusätzlich an eine Nummer. Nimm eine private Nummer, die nur dir gehört und an niemanden sonst geht, solange du sie behältst.
Wo finde ich meinen geheimen 2FA-Schlüssel?
Beim Einschalten der Zwei-Faktor-Authentifizierung zeigt der Dienst einen QR-Code und meist daneben einen Einrichtungsschlüssel aus Buchstaben und Ziffern. Genau dieser gehört hierher. Hast du ihn nicht aufbewahrt, kann der Dienst ihn nicht erneut anzeigen: Schalte 2FA aus und wieder ein, um einen neuen zu bekommen.
Warum passt der Code nicht zu dem, den der Dienst erwartet?
Meist geht die Uhr des Geräts falsch: TOTP hängt von der Zeit ab, eine Minute Abweichung ergibt einen anderen Code. Prüfe dann die Einstellungen: Die meisten Dienste nutzen 6 Ziffern, SHA-1 und einen neuen Code alle 30 Sekunden.
Ist es sicher, meinen Schlüssel hier einzufügen?
Die Seite berechnet den Code auf deinem Gerät und sendet nichts; einmal geladen, funktioniert sie auch ohne Internet. Trotzdem gehört ein Schlüssel am sichersten in eine Authenticator-App auf einem Gerät, das du kontrollierst, und niemals in einen fremden Computer.
Funktioniert es mit Schlüsseln aus Google Authenticator oder Microsoft Authenticator?
Ja, mit Standard-TOTP-Schlüsseln in Base32, wie diese Apps sie nutzen. Codes in einem eigenen Format eines Dienstes, etwa Steam Guard, werden nicht unterstützt.