Wie füge ich meiner App 2FA (Google Authenticator) hinzu?
Erzeugt ein TOTP-Secret für 2FA: einen zufälligen Schlüssel + scanbereiten QR-Code für Google Authenticator, Authy, 1Password, Microsoft Authenticator, Aegis.
Der RFC 6238-Standard: 160-Bit-Base32-Secret + die übliche "otpauth://totp/..."-URI, die jede populäre 2FA-App versteht.
Perfekt zum Hinzufügen von 2FA zur eigenen App, zum Testen von Integrationen oder zum Migrieren von 2FA zwischen Authenticatoren.
So nutzt du das Tool
- "Issuer" = App-/Dienstname (z. B. "MeinDienst", "Bank ABC"). Erscheint als Titel im Authenticator.
- "Account" = Nutzerkennung (z. B. "jan@firma.de"). Steht unter dem Issuer.
- Lass die Standardwerte SHA-1, 6 Ziffern, 30s, das ist der Branchen-Standard. Wird von jedem populären Authenticator unterstützt.
- Scanne den QR mit der Authenticator-App auf deinem Handy. Oder kopiere das Secret und tippe es als "Setup Key" ein.
- Das Handy zeigt jetzt 6-stellige Codes, die alle 30s rotieren.
- Bewahre das Secret sicher auf (Papier, Passwort-Manager). Ohne es kannst du bei Handyverlust nichts wiederherstellen. Generiere zusätzlich Backup-Codes als zweite Absicherung.
Wann das hilfreich ist
Vier typische Situationen, in denen ein TOTP-Secret-Generator ein konkretes Problem löst:
- Eigene App mit 2FA bauen. Erzeuge pro Nutzer ein Secret, speichere es serverseitig; hier kannst du den Flow testen, bevor du eine Bibliothek wie otplib/speakeasy anbindest.
- Migration Google Authenticator → Authy/1Password/Aegis. Per QR importieren.
- 2FA für Tools nachrüsten, die es nicht nativ unterstützen (eigener VPS, private Dienste über SSH-OTP).
- Schulung. Sehen, wie eine otpauth-URI tatsächlich aussieht, welche Felder Pflicht sind und wie Base32 das Secret kodiert.
Für Endnutzer: wenn ein Dienst (Google, GitHub) selbst einen QR generiert, brauchst du dieses Tool nicht, nutze den eingebauten Flow.
Fragen und Antworten
TOTP (Time-based One-Time Password): der RFC-6238-Standard für Zwei-Faktor-Authentifizierung. Die Authenticator-App teilt sich mit dem Server ein gemeinsames Secret; alle 30 Sekunden berechnet sie aus Secret + aktueller Zeit einen 6-stelligen Code. Der Server macht dasselbe und vergleicht. Ein Angreifer, der dein Passwort kennt, aber kein Authenticator-Handy hat, kann sich nicht einloggen.