TOTP

TOTP, kurz für Time-based One-Time Password (zeitbasiertes Einmalpasswort), ist der Standard hinter den sechsstelligen Codes, die Authenticator-Apps für die Zwei-Faktor-Authentifizierung erzeugen. Wenn Sie ihn aktivieren, teilen sich der Dienst und Ihre App einen geheimen Schlüssel; beide verbinden dieses Geheimnis dann mit der aktuellen Uhrzeit und berechnen daraus einen kurzen Code, der sich alle 30 Sekunden ändert, sodass ein abgefangener oder später wiederverwendeter Code wertlos ist.

Wenn Sie zum Beispiel ein Börsenkonto absichern, scannen Sie einen QR-Code mit einer App wie Google Authenticator oder Authy. Der QR-Code enthält das gemeinsame Geheimnis. Von da an verlangen Anmeldungen und Abhebungen den aktuellen sechsstelligen Code aus Ihrer App, und die Börse prüft ihn, indem sie auf ihrer Seite dieselbe Berechnung durchführt. Das Verfahren funktioniert vollständig offline auf Ihrem Smartphone; weder ein Netzwerk noch SMS sind beteiligt.

TOTP ist deutlich sicherer als SMS-Codes, weil es sich nicht per SIM-Swap stehlen lässt. Seine Hauptschwächen sind Phishing-Seiten, die Ihren Code in Echtzeit weiterleiten, und der Verlust des Geräts, auf dem die Geheimnisse liegen – weshalb Dienste bei der Einrichtung Backup-Codes bereitstellen, die Sie sicher aufbewahren sollten. Ein verbreiteter Irrtum ist, dass die Codes vom Dienst kämen; sie werden lokal aus dem gemeinsamen Geheimnis und der Uhrzeit berechnet, weshalb auch eine stark falsch gehende Uhr des Smartphones dazu führt, dass Codes nicht funktionieren.