SICHERHEITS-TOOL

OTP Generator

TOTP und HOTP Einmalpasswörter nach RFC 6238 und RFC 4226 generieren. Mit QR-Code für Authenticator-Apps und Live-Verifikation.

TOTP (RFC 6238) HOTP (RFC 4226) QR-Code Verifikation

Datenschutz: Alle Berechnungen laufen zu 100% lokal in deinem Browser mit der Web Crypto API. Secret Keys werden niemals an Server gesendet. Der QR-Code wird lokal generiert.

Inhaltsverzeichnis

             Schnellübersicht
            TOTP: Zeitbasierte Einmalpasswörter (RFC 6238)
HOTP: Zählerbasierte Einmalpasswörter (RFC 4226)
QR-Code: Für Google Authenticator und Authy
Live-Countdown: Verbleibende Sekunden
OTP-Verifikation: Eingegebenen Code prüfen
Secret-Generator: Base32-Secrets erstellen
Theorie: Über 2FA und OTP
Geschichte: Von S/Key zu WebAuthn
FAQ: Häufige Fragen zu OTP

        

1. OTP Generator

Wähle einen Modus – TOTP für Authenticator-Apps oder HOTP für Zähler-basiert.

Secret (Base32) Base32 (A-Z, 2-7) – z.B. aus QR-Code

Periode (Sekunden) Zeitfenster pro Code

Stellen Länge des Codes

Account (optional) Für QR-Code-Label

Aussteller (optional) Für QR-Code-Issuer

TOTP vs. HOTP

TOTP

Time-based One-Time Password. Nutzt die aktuelle Zeit als Zähler.

RFC 6238

HOTP

HMAC-based One-Time Password. Nutzt einen inkrementellen Zähler.

RFC 4226

Merkmal	TOTP	HOTP
RFC	RFC 6238 (2011)	RFC 4226 (2005)
Basis	Unix-Zeit / Periode	Inkrementeller Zähler
Code-Änderung	Automatisch alle 30s	Nach jeder Verwendung
Client-Sync	Zeit synchron (NTP)	Zählerstand synchron
Verwendung	Google Authenticator, Authy	Hardware-Token (älter)
Empfehlung	✓ Standard heute	⚠ Legacy

Theorie – OTP und 2FA

Was ist ein OTP?

Ein OTP (One-Time Password) ist ein Einmalpasswort:

Nur einmal gültig: Nach Verwendung wertlos
Zeit- oder Zähler-basiert: TOTP oder HOTP
6-8 Ziffern: Einfach abzutippen
Teil von 2FA: Zweiter Faktor
Kein Passwort-Ersatz: Ergänzung!

Google Authenticator: 123 456 (30s gültig)

Warum 2FA mit OTP?

Zwei Faktoren sind besser als einer:

Wissen: Passwort (was du weißt)
Besitz: Smartphone (was du hast)
Sein: Fingerabdruck (was du bist)
Schutz: Phishing + Passwort-Leak
Standard: Bei Banken, Google, GitHub

Passwort + OTP = 2 Faktoren

Wie funktioniert TOTP?

Berechnung in 4 Schritten:

1. Zeit: Unix-Zeit / 30 = Zähler
2. HMAC: HMAC-SHA1(Secret, Zähler)
3. Truncate: Dynamisches Truncating
4. Modulo: Modulo 10^6 = 6 Stellen

Server + Client rechnen unabhängig

Best Practices

Secret: 160+ Bit (20 Bytes)
Backup: Recovery-Codes sichern
NTP: Zeit synchron halten
Hardware-Token: YubiKey statt SMS
FIDO2/WebAuthn: Phishing-resistent
SMS vermeiden: Unsicher (SIM-Swap)

Besser: YubiKey statt SMS-OTP

Wussten Sie schon?

TOTP funktioniert ohne Internet – Server und Client rechnen unabhängig.
Der Secret Key ist der wichtigste Teil – er muss geheim bleiben!
Bei SMS-OTP gibt es SIM-Swap-Angriffe – TOTP ist sicherer.
Moderne Systeme nutzen WebAuthn/FIDO2 – noch sicherer als TOTP.
Der QR-Code enthält die komplette Konfiguration als otpauth://-URL.

2. Geschichte der OTP

Von S/Key zu WebAuthn – die Evolution der Einmalpasswörter.

1981

S/Key (Bellcore)

Leslie Lamport entwickelt das erste OTP-System basierend auf Hash-Ketten. S/Key wird von Bellcore standardisiert – Grundlage für alle modernen OTP-Systeme.

1994

RFC 1760 – S/KEY

Das S/KEY-Protokoll wird offiziell als RFC 1760 standardisiert. Es nutzt Hash-Ketten mit MD4/MD5 für einmalige Passwörter.

2005

RFC 4226 – HOTP

HOTP (HMAC-based One-Time Password) wird standardisiert. Grundlage: HMAC-SHA1 mit inkrementellem Zähler. Erste echte Standardisierung.

2011

RFC 6238 – TOTP

TOTP (Time-based OTP) wird veröffentlicht. Nutzt Unix-Zeit statt Zähler. Google Authenticator implementiert TOTP und macht es weltweit bekannt.

2014

U2F / FIDO

FIDO Alliance veröffentlicht U2F (Universal 2nd Factor). Hardware-Token wie YubiKey werden populär. Sicherer als Software-OTP.

2019

WebAuthn Standard

WebAuthn wird W3C-Standard. Phishing-resistente Authentifizierung mit Biometrie oder Hardware-Token. Moderne Alternative zu TOTP.

Heute

2FA ist Standard

TOTP ist Standard bei Google, GitHub, Banken. WebAuthn/FIDO2 gewinnt bei großen Anbietern. SMS-OTP wird zunehmend abgeschafft.

3. FAQ – Häufige Fragen

Häufige Fragen zu OTP

Was ist der Unterschied zwischen TOTP und HOTP?

Merkmal	TOTP	HOTP
Basis	Zeit (Sekunden)	Zähler (inkrementell)
RFC	6238	4226
Code-Änderung	Automatisch (30s)	Nach Verwendung
Sync-Problem	Zeit-Sync nötig	Zähler-Sync nötig
Verwendung	Google Authenticator	Hardware-Token

TOTP ist heute Standard, weil:

Zeit automatisch synchronisiert (NTP)
Code wechselt automatisch
Einfacher für Benutzer
Kein Zähler-Desync möglich

HOTP wird nur noch für Hardware-Token verwendet.

Ist TOTP sicher?

Ja, TOTP ist deutlich sicherer als nur ein Passwort – aber nicht perfekt:

Vorteile:

Einmalig: Code verfällt nach 30s
Kein Passwort-Diebstahl: OTP allein reicht nicht
Offline: Funktioniert ohne Internet
Standard: Von RFC 6238 definiert

Schwächen:

Phishing: Code kann abgefangen werden
Man-in-the-Middle: Echtzeit-Proxy möglich
Malware: Kann Codes mitlesen
Secret-Diebstahl: Wenn Backup kompromittiert

Besser: FIDO2/WebAuthn (phishing-resistent).

Was ist ein otpauth:// Link?

Der otpauth:// Link ist das Standard-Format für Authenticator-Apps:

Format:

otpauth://totp/Label?secret=XXX&issuer=YYY
totp:// oder hotp:// als Typ
Label: z.B. user@example.com
secret: Base32-Secret
issuer: Anbietername

Beispiel:

otpauth://totp/IT-Grundlagen:user@example.com?secret=JBSWY3DPEHPK3PXP&issuer=IT-Grundlagen&algorithm=SHA1&digits=6&period=30

QR-Code: Kodiert diesen Link – Scanner-Apps lesen ihn aus.

Wie lang sollte das Secret sein?

Empfehlungen (RFC 4226 & RFC 6238):

Algorithmus	Minimum	Empfohlen
HMAC-SHA1	128 Bit (16 B)	160 Bit (20 B)
HMAC-SHA256	256 Bit (32 B)	256 Bit (32 B)
HMAC-SHA512	512 Bit (64 B)	512 Bit (64 B)

Standard heute:

Google Authenticator: 160 Bit (20 Bytes)
Base32-Kodiert: 32 Zeichen
Beispiel: JBSWY3DPEHPK3PXP...

Wichtig: Secret muss zufällig generiert werden (CSPRNG)!

Was passiert bei Zeit-Abweichung?

Server toleriert Zeit-Abweichungen in einem kleinen Fenster:

Standard-Fenster: ±1 Periode (±30 Sekunden)
Erweitertes Fenster: ±2 Perioden (±60 Sekunden)
RFC 6238: Empfiehlt ±1 als Minimum

Bei zu großer Abweichung:

❌ Code wird abgelehnt
⏰ Lösung: NTP auf Client aktivieren
🔧 Alternativ: Uhr manuell stellen

Unser Tool: Prüft ±1 Periode (Standard).

Wichtig: Smartphones synchronisieren Zeit automatisch – Desktop-PCs oft nicht!

Was ist besser: TOTP oder SMS-OTP?

TOTP ist deutlich sicherer als SMS-OTP:

Merkmal	TOTP	SMS-OTP
Sicherheit	✅ Hoch	⚠️ Mittel
Offline	✅ Ja	❌ Nein
Kosten	✅ Keine	❌ SMS-Gebühren
SIM-Swap	✅ Immun	❌ Anfällig
SS7-Angriff	✅ Immun	❌ Anfällig

SMS-OTP Schwächen:

SIM-Swap: Angreifer übernimmt Nummer
SS7-Angriff: Abhören im Mobilfunknetz
Phishing: Weiterleitung möglich
Kein Empfang: Im Ausland problematisch

Empfehlung: TOTP > SMS > E-Mail-OTP.

Wie speichere ich das Secret sicher?

Das Secret ist der wichtigste Teil – wie ein Passwort:

Do's:

✅ Passwort-Manager: Bitwarden, 1Password, KeePass
✅ Recovery-Codes: Ausdrucken + sicher aufbewahren
✅ Backup: Verschlüsselt auf USB-Stick
✅ Zwei Geräte: Smartphone + Tablet

Don'ts:

❌ Nicht in E-Mails: Unsicher
❌ Nicht in Notizen: Auf Smartphone ungeschützt
❌ Nicht als Screenshot: In Galerie auffindbar
❌ Nicht per Messenger: Unsicher

Best Practice: Passwort-Manager + Recovery-Codes ausgedruckt im Safe.

Was ist der Unterschied zu WebAuthn/FIDO2?

WebAuthn/FIDO2 ist die nächste Generation:

Merkmal	TOTP	WebAuthn
Phishing-Schutz	❌ Nein	✅ Ja
Passwort nötig	Ja (+ OTP)	Nein
Hardware	Optional	Ja (YubiKey)
Biometrie	Nein	✅ Ja
Benutzerfreundlich	⚠️ Code abtippen	✅ Ein Klick

Warum WebAuthn besser ist:

Phishing-resistent: Domain wird kryptographisch gebunden
Kein Shared Secret: Nur Public Key auf Server
Kein Abtippen: Automatisch über USB/NFC
Biometrie: Fingerprint/Face ID möglich

Zukunft: WebAuthn ersetzt langfristig TOTP.

Zusammenfassung

Die wichtigsten Punkte

OTP: Einmalpasswort, nur einmal gültig
TOTP: Zeitbasiert (RFC 6238), heute Standard
HOTP: Zählerbasiert (RFC 4226), Legacy
Secret: 160+ Bit, Base32, zufällig generiert
6-8 Ziffern: Typische Code-Länge
30 Sekunden: Standard-Periode
QR-Code: otpauth:// Format für Apps
2FA: Passwort + OTP = 2 Faktoren
Besser als SMS: TOTP ist sicherer
Zukunft: WebAuthn/FIDO2 ist phishing-resistent
Unser Tool: TOTP, HOTP, Verifikation, QR-Code

Weitere Sicherheits-Tools

AES Encryption Demo

Text und Dateien mit AES-GCM verschlüsseln. Mit PBKDF2-Schlüsselableitung.

Zum Tool

Bcrypt Tool

Passwörter mit bcrypt hashen und verifizieren. Mit Kostenfaktor-Analyse.

Zum Tool

Key Strength Comparison

RSA, ECC, AES und DH Schlüsselstärken nach NIST SP 800-57 vergleichen.

Zum Tool

File Integrity Checker

Datei-Integrität mit MD5, SHA-1, SHA-256 und SHA-512 prüfen.

Zum Tool

Hash Generator

MD5, SHA-1, SHA-256 und SHA-512 für Text und Dateien.

Zum Tool

Passwort-Stärke Checker

Passwort-Stärke mit Entropie und Knackzeiten prüfen.

Zum Tool

ROT13 Cipher

ROT13, ROT5, ROT18 und ROT47 Ver-/Entschlüsselung mit Live-Konverter.

Zum Tool

DDoS Protection Simulator

Simuliere DDoS-Angriffe und teste Schutzmaßnahmen.

Zum Tool