Dein Code ist richtig, aber die Seite sagt, er ist falsch
Du öffnest deine Authenticator-App, liest den 6-stelligen Code, gibst ihn sorgfältig ein und… “Ungültiger Code.” Du versuchst es mit dem nächsten Code nochmal. Dasselbe. Du fängst an zu fragen, ob du etwas falsch eingerichtet hast, oder ob der Dienst kaputt ist.
Das passiert häufiger, als du denkst, und es gibt fast immer eine einfache Erklärung.
Die häufigste Ursache: Deine Uhr geht falsch
TOTP-Codes werden aus zwei Dingen berechnet: einem geheimen Schlüssel und der aktuellen Uhrzeit. Dein Telefon und der Server müssen sich darin einig sein, wie spät es ist. Wenn die Uhr deines Telefons auch nur 30 Sekunden abweicht, generierst du einen Code für das falsche Zeitfenster, und der Server wird ihn ablehnen.
Das ist mit Abstand der häufigste Grund, warum TOTP-Codes nicht funktionieren.
So behebst du es:
- Auf Android: Gehe zu Einstellungen > System > Datum & Uhrzeit und schalte “Uhrzeit automatisch einstellen” ein. Wenn es bereits an ist, schalte es aus und wieder an. Manche Telefone driften im Laufe der Zeit, auch wenn Auto-Sync aktiviert ist.
- Auf iPhone: Gehe zu Einstellungen > Allgemein > Datum & Uhrzeit und stelle sicher, dass “Automatisch” an ist. Wenn es bereits an ist und Codes immer noch fehlschlagen, schalte es aus, warte ein paar Sekunden und schalte es wieder an.
- Google Authenticator hat einen eingebauten Zeitsync: geh zu Einstellungen > Zeitsynchronisierung für Codes > Jetzt synchronisieren. Das passt den internen Offset der App an, ohne die Systemuhr deines Telefons zu ändern.
Wenn du unterwegs bist und dein Telefon manuell auf eine andere Zeitzone gestellt hast, sollte das TOTP nicht beeinflussen (der Algorithmus nutzt UTC), aber einige schlecht konfigurierte Geräte können durcheinanderkommen. Bleib bei automatischer Zeit.
Du gibst den Code zu langsam ein
TOTP-Codes sind 30 Sekunden gültig. Wenn du den Code von deiner App abliest, zum Browser wechselst, das Eingabefeld findest und ihn eingibst, könntest du die Grenze ins nächste Zeitfenster überschreiten. Der Code, den du getippt hast, ist jetzt der vorherige Code.
Die meisten Server akzeptieren Codes aus den angrenzenden Zeitfenstern (eins davor, eins danach), um dem Rechnung zu tragen. Aber wenn du genau am Rand bist, kannst du immer noch abgelehnt werden.
So behebst du es: Warte, bis ein frischer Code in deiner Authenticator-App erscheint, dann tippe ihn sofort ein. Fang nicht an, einen Code einzutippen, der noch 5 Sekunden auf dem Countdown hat.
Du hast den falschen QR-Code gescannt oder den falschen Schlüssel eingegeben
Wenn der Code noch nie funktioniert hat, seit du ihn eingerichtet hast, hast du wahrscheinlich den falschen geheimen Schlüssel gespeichert. Das kann passieren, wenn:
- Du einen QR-Code von einem anderen Account gescannt hast
- Du den geheimen Schlüssel manuell getippt hast und einen Tippfehler gemacht hast
- Der Einrichtungsprozess unterbrochen wurde und der Schlüssel nicht richtig gespeichert wurde
So behebst du es: Gehe zu den Sicherheitseinstellungen des Dienstes, deaktiviere 2FA (du brauchst dafür vielleicht Backup-Codes) und richte sie von vorne ein. Scanne den QR-Code sorgfältig und verifiziere durch Eingabe eines Codes, bevor du die Einrichtungsseite schließt.
Du schaust auf den falschen Account
Wenn du mehrere Accounts beim selben Dienst hast (ein persönliches und ein Arbeits-Gmail zum Beispiel), hat deine Authenticator-App Einträge für beide. Es ist leicht, den Code vom falschen zu lesen, besonders wenn die Labels ähnlich sind.
So behebst du es: Überprüfe das Label auf dem TOTP-Eintrag in deiner App. Die meisten Authenticator-Apps zeigen die E-Mail-Adresse oder den Benutzernamen, der mit jedem Eintrag verbunden ist. Stelle sicher, dass du den Code für den Account liest, in den du dich tatsächlich einloggst.
Die Server-Uhr ist falsch (selten, aber es passiert)
Manchmal ist es nicht deine Schuld. Wenn der Server eines Dienstes eine Zeitabweichung hat, lehnt er gültige Codes von allen ab. Das ist ungewöhnlich bei großen Anbietern, kann aber bei kleineren Diensten, selbst gehosteten Anwendungen oder Unternehmens-Intern-Tools passieren.
So verifizierst du: Versuche deinen Code auf 2fa.zip. Gib denselben geheimen Schlüssel ein und schau, ob der Code, den er generiert, mit deiner Authenticator-App übereinstimmt. Wenn sie übereinstimmen, liegt das Problem auf der Server-Seite, nicht bei dir. Du musst das Support-Team des Dienstes kontaktieren.
Das Format des geheimen Schlüssels ist falsch
TOTP-Geheimnisse sind Base32-kodierte Strings (mit Buchstaben A-Z und Ziffern 2-7). Wenn du ein Geheimnis manuell eingegeben hast und Zeichen außerhalb dieses Bereichs einbezogen hast, oder wenn der Dienst dir einen Schlüssel in einem anderen Format gab, werden die generierten Codes falsch sein.
So behebst du es: Überprüfe den geheimen Schlüssel doppelt. Entferne alle Leerzeichen oder Bindestriche (die sind nur zur Lesbarkeit). Stelle sicher, dass es keine mehrdeutigen Zeichen gibt (0 vs O, 1 vs l). Im Zweifel lösche den Eintrag und scanne den QR-Code statt den Schlüssel manuell einzutippen.
Schnelle Checkliste
Wenn dein TOTP-Code nicht funktioniert, arbeite das hier ab:
- Ist die Uhrzeit deines Telefons auf automatisch eingestellt? (Behebt 80% der Probleme)
- Hast du auf einen frischen Code gewartet, bevor du getippt hast?
- Liest du den Code für den korrekten Account?
- Hat der Code jemals funktioniert, oder ist er von Anfang an fehlgeschlagen?
- Kannst du deinen Code gegen 2fa.zip verifizieren?
Wenn du all das durchgegangen bist und der Code immer noch nicht funktioniert, liegt das Problem wahrscheinlich auf Seiten des Dienstes. Überprüfe deren Status-Seite oder kontaktiere den Support.
Für Schritt-für-Schritt-Anleitungen zur korrekten Einrichtung von 2FA von Anfang an, sieh dir unsere Guides für Discord und GitHub an.