Was ist ein 2FA-Geheimschlüssel? Base32, TOTP und otpauth-URIs erklärt

Ein 2FA-Geheimschlüssel ist die kurze Zeichenfolge aus Buchstaben und Ziffern, aus der eine Authenticator-App den sechsstelligen Code für den Login berechnet. Enthält Ihre Lieferung einen solchen Schlüssel, ist er nach dem Passwort das wichtigste Feld der Zeile – und zugleich dasjenige, das Käufer am häufigsten falsch abtippen oder mit etwas anderem verwechseln. Dieser Leitfaden erklärt, was dieser String ist, wie Base32 aussieht und wie sich ein Geheimschlüssel von Backup-Codes und QR-Inhalten unterscheidet.

Außerdem erfahren Sie, wie Sie den Schlüssel in einer Lieferzeile erkennen und in wenigen Sekunden prüfen, ob er funktioniert. So können Sie jede Zeichenfolge in Ihrer Datei einordnen: Ist es der Schlüssel, ein Backup-Code oder etwas ganz anderes?

Was ein 2FA-Geheimschlüssel ist und wie daraus sechsstellige Codes entstehen

Zeitbasierte Einmalpasswörter (TOTP, definiert in RFC 6238) bestehen aus zwei Zutaten: einem gemeinsamen Geheimnis und der aktuellen Uhrzeit. Beim Einrichten von 2FA erzeugt die Plattform das Geheimnis und behält eine Kopie, die zweite Kopie liegt in Ihrer Authenticator-App. Alle 30 Sekunden führen beide Seiten dieselbe Berechnung mit dem Geheimnis und der Uhrzeit aus und kommen auf dieselben sechs Ziffern.

Daraus ergeben sich drei praktische Folgen:

• Der Schlüssel ist der zweite Schlüssel des Kontos. Wer ihn kennt, kann von jedem Gerät aus gültige Codes erzeugen, solange diese 2FA-Einrichtung aktiv bleibt.
• Codes werden nirgends gespeichert. Jeder Code wird alle 30 Sekunden neu berechnet, ein Screenshot eines alten Codes nützt also nichts.
• Die Uhrzeit spielt eine Rolle. Geht das Gerät, das die Codes erzeugt, eine Minute oder mehr falsch, liefert selbst ein korrekter Schlüssel abgelehnte Codes.

Base32: So sehen die Zeichen aus und diese Tippfehler passieren am häufigsten

Geheimschlüssel werden in Base32 geschrieben, einem Alphabet aus den 26 Großbuchstaben A bis Z und den Ziffern 2 bis 7. Mehr gehört nicht dazu. Die Ziffern 0, 1, 8 und 9 kommen nie vor, Satzzeichen ebenfalls nicht. Ein Beispiel zur Veranschaulichung (kein echter Kontoschlüssel) sieht so aus: JBSWY3DPEHPK3PXP. Echte Schlüssel sind meist 16 bis 32 Zeichen lang.

Weil nur 32 Zeichen gültig sind, lassen sich die meisten Tippfehler leicht erkennen:

• Eine 0, 1 oder 8 mitten im Schlüssel bedeutet, dass ein Zeichen falsch gelesen wurde. Eine 0 ist meist der Buchstabe O, eine 1 meist ein I oder L und eine 8 meist ein B.
• Kleinbuchstaben sind in der Regel unproblematisch, weil die meisten Apps sie umwandeln.
• Ein oder mehrere „=“-Zeichen am Ende sind Auffüllzeichen (Padding). Viele Apps akzeptieren den Schlüssel mit und ohne sie.
• Unsichtbare Zusätze wie ein Leerzeichen oder ein Zeilenumbruch am Ende, die beim Kopieren aus einer Textdatei mitkommen, lösen oft die Meldung „ungültiger Schlüssel“ aus.

otpauth-URIs, QR-Codes und Schlüssel im Klartext

Derselbe Schlüssel kann Ihnen in drei Formen begegnen, und wer sie durcheinanderbringt, stiftet schnell Verwirrung:

• Schlüssel im Klartext. Der reine Base32-String. Authenticator-Apps nennen ihn Einrichtungsschlüssel oder Schlüssel für die manuelle Eingabe.
• QR-Code. Ein Bild, das eine otpauth-URI enthält, damit ein Smartphone sie scannen kann, statt dass Sie den Schlüssel abtippen.
• otpauth-URI. Eine Textzeile wie otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. Der Wert hinter secret= ist der Base32-Schlüssel. Der Rest besteht aus der Bezeichnung und Einstellungen wie Issuer, Algorithmus, Stellenzahl und Zeitintervall.

Liegt Ihnen nur ein QR-Bild oder ein otpauth-Link vor, ist der Schlüssel der Text nach secret= und vor dem nächsten &-Zeichen. Standardeinrichtungen verwenden SHA-1, sechs Ziffern und ein Intervall von 30 Sekunden; eine App geht von diesen Standardwerten aus, wenn Sie nur den Schlüssel eingeben. Beim Scannen des QR-Codes oder beim Import der vollständigen URI werden auch abweichende Einstellungen übernommen.

2FA-Geheimschlüssel, Backup-Codes und Wiederherstellungs-E-Mail

Diese drei Dinge schützen dasselbe Konto, erfüllen aber völlig unterschiedliche Aufgaben:

• 2FA-Geheimschlüssel. Ein langlebiger Base32-String, der alle 30 Sekunden einen neuen Code erzeugt. Er ändert sich nur, wenn 2FA zurückgesetzt oder neu eingerichtet wird.
• Backup-Codes. Einmalcodes, die eine Plattform für den Fall anbieten kann, dass Sie Ihre Authenticator-App nicht erreichen. Jeder Code funktioniert nur einmal. Es sind keine Base32-Schlüssel, deshalb können eine Authenticator-App oder ein TOTP-Tool sie nicht verwenden.
• Wiederherstellungs-E-Mail. Ein Postfach, kein Code. Dort kommen Login-Bestätigungen und Links zum Zurücksetzen an. In einer Lieferzeile steht sie als E-Mail-Adresse, meist gefolgt vom eigenen Passwort dieses Postfachs.

Der Schlüssel erzeugt Ihre täglichen Codes, die Backup-Codes sind das Ersatzrad, und die Wiederherstellungs-E-Mail ist der Weg zurück, wenn etwas anderes ausfällt. Beschriften Sie die drei in Ihren Unterlagen getrennt.

Den Schlüssel in einer Lieferzeile finden und testen

Lieferungen kommen als TXT-Datei mit Zeilen wie username:password:email:email_password:auth_token, wobei die genauen Felder je nach Kategorie variieren. Enthält eine Kategorie einen 2FA-Schlüssel, ist er ein weiteres Feld in dieser Zeile. Zählen Sie die Positionen nicht blind ab: Lesen Sie die Kategoriebeschreibung und vergleichen Sie sie mit der ersten Zeile Ihrer Datei.

Felder lassen sich auch an ihrer Form erkennen:

• Der Schlüssel hat mindestens 16 Zeichen, besteht aus Großbuchstaben und den Ziffern 2 bis 7 und enthält keine Satzzeichen.
• Der auth_token ist ein langer hexadezimaler String. Er ist ein Sitzungstoken und kein Code-Generator und kann den Schlüssel nicht ersetzen. Für diesen Ablauf lesen Sie die Anmeldung bei Twitter mit einem auth_token.
• Passwörter können einen Doppelpunkt enthalten, weshalb ein naives Trennen an „:“ manchmal eine Zeile zerlegt.

Ob alle Zeilen demselben Aufbau folgen, prüfen Sie, indem Sie eine Stichprobe in den Format-Identifizierer einfügen. Um nur die Spalte mit den Schlüsseln herauszulösen, nutzen Sie split-by-delimiter.

Danach testen Sie den Schlüssel in wenigen Sekunden. Öffnen Sie das kostenlose 2FA-Tool, fügen Sie den Schlüssel ein, und ein sechsstelliger Code erscheint mit einem Countdown. Meldet das Tool einen ungültigen Schlüssel, gehen Sie die Liste der Tippfehler oben durch. Erscheint ein Code, der Login lehnt ihn aber ab, prüfen Sie die Uhrzeit Ihres Geräts und lesen Sie was zu tun ist, wenn ein 2FA-Code nicht funktioniert.

Schlüssel sicher aufbewahren, wenn Sie viele Konten verwalten

Eine Lieferzeile enthält oft Passwort und 2FA-Schlüssel zusammen, sodass jeder, der die Datei öffnet, beide Faktoren hat. Schützen Sie deshalb die Datei als Ganzes statt jedes Feld einzeln:

• Bewahren Sie die Datei in einem privaten Ordner mit eingeschränktem Zugriff auf und vermeiden Sie Chat-Apps, geteilte Dokumente und Screenshots.
• Testen Sie jeden Schlüssel bald nach der Lieferung und notieren Sie das Datum beim Konto, damit ein Problem früh auffällt.
• Beschriften Sie, was jeder String ist, damit ein einmaliger Backup-Code nie in einer Authenticator-App landet.
• Zählen Sie Ihre Kopien. Den Schlüssel in eine zweite Authenticator-App zu laden ist eine vernünftige Sicherung, aber jede Kopie ist ein weiterer Ort, an dem er abfließen kann.

Für einen umfassenderen Plan lesen Sie Zwei-Faktor-Authentifizierung und Wiederherstellungsplanung, und für die Begriffe in Angeboten das Konto-Glossar. Wenn Sie Kategorien wie Phone Verified Aged Accounts vergleichen, lesen Sie die Beschreibung, um zu sehen, was eine Lieferdatei enthält. Sind Sie auf einen 2FA-Schlüssel angewiesen, klären Sie das vor der Bestellung oder fragen Sie den Support auf Telegram.

Häufig gestellte Fragen

Wie sieht ein 2FA-Geheimschlüssel aus?

Es ist eine Zeichenfolge aus Großbuchstaben von A bis Z und den Ziffern 2 bis 7, meist 16 bis 32 Zeichen lang, in Dokumentationen zum Beispiel JBSWY3DPEHPK3PXP. Manche Plattformen zeigen ihn in Gruppen, die durch Leerzeichen oder Bindestriche getrennt sind.

Ist der 2FA-Schlüssel dasselbe wie ein Backup-Code?

Nein. Der Schlüssel erzeugt alle 30 Sekunden einen neuen Code, solange diese 2FA-Einrichtung aktiv bleibt. Ein Backup-Code ist ein Einmalcode, der nur einmal funktioniert und sich nicht in einer Authenticator-App verwenden lässt.

Kann ich aus einem QR-Code einen Geheimschlüssel gewinnen?

Ja. Ein Einrichtungs-QR-Code enthält eine otpauth-URI, und der Schlüssel ist der Wert hinter secret= in diesem Text. Halten Sie den Text privat, denn er ist genauso sensibel wie der Schlüssel selbst.

Warum haben manche Schlüssel Leerzeichen oder Bindestriche?

Die Abstände dienen nur der Lesbarkeit, oft in Vierergruppen. Lehnt eine App den Schlüssel ab, entfernen Sie Leerzeichen und Bindestriche; das kostenlose 2FA-Tool akzeptiert sie auch unverändert.

Lässt sich derselbe Schlüssel in zwei Apps gleichzeitig verwenden?

Ja. Jede App und jedes Gerät mit demselben Schlüssel und korrekter Uhrzeit zeigt denselben Code an. Als Sicherung ist das praktisch, aber jede Kopie ist ein weiterer Ort, an dem der Schlüssel offengelegt werden kann.