Was ist ein OTP-Code und wie funktioniert er?

Beim Login kann ein Klick auf „OTP senden“ den nächsten Schritt auslösen. Wer den Code am falschen Ort eingibt oder zu lange wartet, muss den Vorgang womöglich neu starten. Hier erfahren Sie, wie Einmalcodes beim Login funktionieren und worauf Unternehmen bei der Wahl des Zustellwegs achten sollten.

Was ist ein OTP-Code?

Ein OTP-Code ist ein Einmalpasswort, das ein System für eine Anmeldung oder eine andere Bestätigung einmalig akzeptiert. OTP steht für One-Time Password. Häufig besteht der Code aus wenigen Ziffern und gilt nur kurz.

Ein Online-Shop kann damit beim Login prüfen, ob jemand Zugriff auf die hinterlegte Telefonnummer hat.

Wie funktioniert die OTP-Verifizierung?

Bei einem Login per SMS sieht der Ablauf so aus:

1. Code anfordern. Die Person klickt auf „OTP senden“. Der Dienst erstellt einen Code und schickt ihn an die hinterlegte Mobilnummer.
2. Code eingeben. Die Person übernimmt die Ziffern aus der SMS in das Eingabefeld der Website oder App, auf der sie den Login gestartet hat.
3. Code prüfen. Der Dienst prüft, ob der Code zum Vorgang gehört, noch gültig ist und bisher unbenutzt ist. Nach erfolgreicher Bestätigung lässt sich derselbe Code kein zweites Mal verwenden.

Wo setzen Unternehmen Einmalcodes ein?

Was ein Code bestätigt, hängt vom jeweiligen Schritt ab. Drei typische Beispiele:

• Registrierung. Ein Code im Postfach bestätigt, dass die Person Zugriff auf die angegebene E-Mail-Adresse hat.
• Login und Kontowiederherstellung. Ein Code am hinterlegten Kontaktweg kann den Zugriff auf das Konto absichern oder den nächsten Schritt zum Zurücksetzen des Passworts freigeben.
• Transaktionsfreigabe. Ein Code kann zur Bestätigung eines konkreten Vorgangs dienen. Zeigen Sie vor der Eingabe an, welche Aktion die Person damit freigibt.

Auch beim Fernzugriff kann ein Einmalcode Teil der Anmeldung sein. Ein Unternehmen kann zum Beispiel für den VPN-Zugang ein Passwort und zusätzlich einen Code aus einer Authenticator-App verlangen. Bei Buchungen oder beim Check-in kann ein zugestellter Code bestätigen, dass die Person Zugriff auf den hinterlegten Kontaktweg hat.

Wie kommt das Einmalpasswort zum Nutzer?

Ein Dienst kann den Code zustellen, etwa per SMS oder E-Mail. Eine eingerichtete Authenticator-App kann ihn auch direkt auf dem Gerät erzeugen. Diese Unterscheidung ist wichtig, wenn Sie beurteilen möchten, wo Nutzer ihren Code finden und wovon der Zugang abhängt.

• SMS. Nutzer brauchen Zugriff auf die hinterlegte Mobilnummer und müssen SMS empfangen können. Eine zusätzliche App ist dafür entbehrlich. Bei einem SIM-Tausch durch Betrüger können Nachrichten in fremde Hände gelangen.
• E-Mail. Nutzer erhalten den Code im Postfach. Das passt etwa zur Bestätigung einer neuen E-Mail-Adresse. Der Schutz hängt davon ab, wer Zugriff auf das Postfach hat.
• Authenticator-App. Nach der Einrichtung zeigt die App den aktuellen Code an. Die Codeerzeugung funktioniert auch ohne SMS-Empfang. Planen Sie für einen Gerätewechsel einen Weg zur Wiederherstellung des Zugangs ein.

TOTP verwendet die aktuelle Zeit zur Berechnung. Deshalb wechselt der Code in festen Intervallen. HOTP verwendet einen Zähler, der bei der Erzeugung eines neuen Codes weiterrückt. Beide Begriffe beschreiben die Berechnung des Codes. SMS und E-Mail beschreiben seinen Zustellweg.

Wählen Sie den Kanal danach, welchen Zugriff Sie prüfen möchten. Für die Bestätigung einer neuen E-Mail-Adresse gehört der Code ins entsprechende Postfach. Soll der Login den Zugriff auf die hinterlegte Mobilnummer prüfen, kommt SMS infrage. Für bereits eingerichtete Konten kann eine gebundene Authenticator-App als zweiter Faktor dienen. Testen Sie den gewählten Weg auch für den Fall, dass eine Nachricht ausbleibt oder das Gerät nicht verfügbar ist.

Zugestellte Codes im Login testen

Prüfen Sie bei einem Testlogin, ob die Nachricht am vorgesehenen Kontakt ankommt und ob Ihre App klar erklärt, wann Nutzer einen neuen Code anfordern können. Die Oberfläche sollte auch nach Ablauf des Codes einen verständlichen nächsten Schritt anbieten.

Die Eingabemaske im Beispiel zeigt den Übergang von der Nachricht zur Verifizierung. An dieser Stelle helfen eine eindeutige Beschriftung und eine verständliche Fehlermeldung, wenn ein Code abgelaufen ist.

Was schützt ein Einmalcode beim Login?

Ein statisches Passwort lässt sich bis zur Änderung immer wieder verwenden. Ein erfolgreich verifizierter Einmalcode wird bei einem späteren Anmeldeversuch abgewiesen. Zugestellte Codes haben üblicherweise zusätzlich eine Ablauffrist. Bei TOTP begrenzt das Zeitfenster die Gültigkeit, bei HOTP bestimmt der Zähler, welche Codes das System akzeptiert.

Wer einen noch gültigen Code durch Phishing abfängt, kann ihn unter Umständen vor der berechtigten Person verwenden. Geben Sie ihn deshalb nur in der Website oder App ein, in der Sie den Vorgang selbst gestartet haben. Für sensible Konten kommen phishingresistente Verfahren wie Passkeys infrage. Eine technische Einordnung bietet die MDN-Dokumentation zu Einmalpasswörtern.

Wann ist OTP Teil einer Zwei-Faktor-Authentifizierung?

Bei der Zwei-Faktor-Authentifizierung (2FA) prüft der Dienst zwei unterschiedliche Faktoren. Ein Beispiel ist ein Passwort, das die Person kennt, kombiniert mit einem Code aus einer Authenticator-App auf einem Gerät, das sie besitzt. Verlangt ein Dienst ausschließlich einen Einmalcode, liegt in diesem Ablauf nur ein Faktor vor.

Was bringen Einmalcodes Unternehmen und ihren Nutzern?

• Konten zusätzlich absichern. Wenn nach dem Passwort ein unabhängiger zweiter Faktor abgefragt wird, reicht ein gestohlenes Passwort allein für die Anmeldung nicht aus.
• Besonders sensible Schritte absichern. Ein Shop kann bei einer Änderung der Kontaktdaten eine zusätzliche Bestätigung verlangen. Entscheidend ist, dass der Code an den konkreten Vorgang gebunden ist und die Person erkennt, was sie bestätigt.
• Kontowiederherstellung vereinfachen. Ein automatisierter Ablauf kann Nutzern ermöglichen, den Zugang selbst wiederherzustellen. Wenn der hinterlegte Kontaktweg nicht mehr verfügbar ist, braucht es eine sichere Alternative.
• Hürden im Login erkennen. Die Zustellung einer Nachricht und die erfolgreiche Eingabe sind zwei verschiedene Schritte. Erfassen Sie beide getrennt, um verspätete Nachrichten von Problemen mit dem Eingabefeld oder der Gültigkeitsdauer zu unterscheiden.

Worauf kommt es bei einem OTP-Dienst an?

Wenn Sie Einmalcodes über einen Dienst versenden, testen Sie den gesamten Ablauf in den Ländern und Anwendungen, in denen er eingesetzt werden soll. Vier Punkte aus der Praxis helfen bei der Bewertung:

• Zustellung und Ausweichweg. Prüfen Sie, ob der vorgesehene Kanal Ihre Nutzer erreicht und welcher alternative Weg zur Verfügung steht, wenn die Nachricht ausbleibt.
• Integration und Schutz vor Missbrauch. Klären Sie, wie Ihre Anwendung Codes anfordert und prüft, wie lange sie gelten und wie sich wiederholte Anfragen oder Eingabeversuche begrenzen lassen.
• Kosten pro Verifizierung. Fragen Sie nach der Abrechnungseinheit und berücksichtigen Sie erneute Versandversuche. Die Kosten pro gesendeter Nachricht können sich von den Kosten pro erfolgreicher Bestätigung unterscheiden.
• Betrieb und Support. Prüfen Sie, welche Zustell- und Fehlerdaten Sie einsehen können, wie Störungen gemeldet werden und welche Reaktionszeiten vereinbart sind.

Welche Verifizierung passt zu Ihrem Ablauf?

Legen Sie zuerst fest, was der Code bestätigen soll. Wählen Sie danach den passenden Kontaktweg oder eine bereits eingerichtete Authenticator-App. Testen Sie neben einer erfolgreichen Verifizierung auch einen verspäteten Code, eine falsche Eingabe und den Fall, dass Nutzer keinen Zugriff mehr auf ihr Gerät oder Postfach haben.

Häufige Fragen zu OTP-Codes

• 1

  Was bedeutet „OTP senden“?

  Damit fordern Sie einen Einmalcode an. Der Dienst sendet ihn über den vorgesehenen Kanal, beispielsweise per SMS oder E-Mail. Anschließend geben Sie ihn in der Anwendung ein, in der Sie ihn angefordert haben.
• 2

  Wie lange ist ein Einmalpasswort gültig?

  Das hängt vom Dienst und vom Verfahren ab. Zugestellte Codes gelten häufig wenige Minuten. Bei zeitbasierten Codes zeigt die Authenticator-App oft an, wann der aktuelle Code wechselt.
• 3

  Was kann ich tun, wenn kein Code ankommt?

  Prüfen Sie, ob die angezeigte Telefonnummer oder E-Mail-Adresse stimmt. Bei E-Mails lohnt sich ein Blick in den Spamordner. Fordern Sie einen neuen Code an, sobald die Anwendung diese Option anbietet. Nutzen Sie bei Bedarf den vorgesehenen Wiederherstellungsweg.
• 4

  Was mache ich mit einem Code, den ich nicht angefordert habe?

  Geben Sie den Code nicht weiter und öffnen Sie keine Links aus der Nachricht. Wenn Sie den Dienst kennen, öffnen Sie ihn direkt über die offizielle Website oder App und prüfen Sie dort Ihre Kontoaktivität.