EMZETT.TOTP und WebAuthn: So funktionieren Einmalcodes und Sicherheitsschlüssel
Kurz: TOTP erzeugt alle 30 Sekunden einen sechsstelligen Code aus einem geteilten Geheimnis und der Uhrzeit. WebAuthn ersetzt Codes durch ein Schlüsselpaar, das nur auf der echten Seite funktioniert. Beides sind Formen von 2FA.
TOTP (zeitbasiertes Einmalpasswort)
- Beim Einrichten teilen Seite und Authenticator-App ein Geheimnis (meist als QR-Code).
- Beide rechnen: Geheimnis + aktuelle Zeit in 30-Sekunden-Schritten → ein Hashing-Verfahren (HMAC) → sechs Ziffern.
- Du tippst den Code ein; der Server rechnet nach und vergleicht (meist mit einem Schritt Toleranz).
Stärken: funktioniert offline, kein Mobilfunk nötig. Schwäche: Der Code lässt sich auf einer gefälschten Seite abfangen und sofort weiterreichen (Phishing).
WebAuthn / FIDO2 (Sicherheitsschlüssel und Passkeys)
- Beim Einrichten erzeugt das Gerät ein Schlüsselpaar (Asymmetrische Verschlüsselung). Der öffentliche Schlüssel geht an die Seite, der private bleibt im Gerät.
- Beim Anmelden schickt die Seite eine zufällige Herausforderung. Das Gerät signiert sie, nachdem du dich per Fingerabdruck, Gesicht oder PIN bestätigt hast.
- Die Signatur gilt nur für die Domain, für die der Schlüssel angelegt wurde.
Stärken: Auf einer Fälschungs-Seite passiert schlicht nichts, weil die Domain nicht passt. Es gibt kein Geheimnis, das ein Datenleck verraten könnte. Das ist die Grundlage von Passkeys.
Vergleich
| TOTP | WebAuthn | |
|---|---|---|
| Phishing-sicher | nein | ja |
| Offline | ja | ja |
| Aufwand | App | Schlüssel oder Gerät |
| Verlust | Wiederherstellungscodes | zweiter Schlüssel nötig |
Praxis
Wenn möglich WebAuthn/Passkey, sonst TOTP. SMS-Codes nur als letzte Wahl. Wiederherstellungscodes sicher aufbewahren (Passwort-Manager).