Ein Einmalpasswort (One-Time Password, OTP) ist ein Code, der nur für eine einzige Anmeldung oder Transaktion gültig ist. Anders als ein statisches Passwort verliert es nach der Verwendung sofort seine Gültigkeit — gestohlene Codes lassen sich nicht wiederverwenden.
Arten von Einmalpasswörtern
- HOTP (HMAC-based One-Time Password, RFC 4226): Der Code wird aus einem Ereigniszähler berechnet, der bei jeder Nutzung hochzählt. Client und Server müssen den Zähler synchron halten.
- TOTP (RFC 6238): Die zeitbasierte Variante — der Code hängt von der aktuellen Uhrzeit ab und ändert sich typischerweise alle 30 Sekunden. Sie ist die Grundlage fast aller Authenticator-Apps.
- SMS-Codes: Per SMS zugestellte Ziffernfolgen. Bequem, aber anfällig für Phishing und SIM-Swapping, daher von der Branche zunehmend abgeraten.
- E-Mail-Codes und Hardware-Token: Weitere Übertragungswege beziehungsweise dedizierte Geräte, die Codes anzeigen.
Warum Einmalpasswörter?
Statische Passwörter werden bei Datenlecks oft millionenfach gestohlen und dann für Brute-Force-Angriffe oder Credential Stuffing eingesetzt. Ein Einmalpasswort ist dagegen nur kurze Zeit gültig und an einen einzigen Vorgang gebunden: Selbst wer einen alten Code abfängt, kann damit nichts anfangen. Zusätzlich schützt der zweite Faktor Konten, deren Hauptpasswort bereits kompromittiert ist.
Einordnung in die Authentifizierung
Einmalpasswörter dienen typischerweise als Besitz-Faktor in der Multi-Faktor-Authentifizierung: etwas, das der Benutzer hat (Smartphone, Hardware-Token), ergänzt das, was er weiß (Passwort). Die Sicherheit hängt davon ab, wie gut der Code übertragen und der geheime Schlüssel geschützt wird — Apps mit lokal erzeugtem TOTP sind hier stärker als SMS-basierte Verfahren. Moderne Alternativen wie Passkeys ersetzen Einmalpasswörter zunehmend durch kryptografische Schlüssel.
Verwandte Grundlagen: Zwei-Faktor-Authentifizierung, Token.