VKT Toolkit · 18. Oktober 2026 · 6 Min. Lesezeit2FA-Secrets im Browser mit einem Master-Passwort schützen (2026)
Ein TOTP-Secret ist kein Passwort. Es ist der Keim, aus dem jeder 6-stellige Code eines Kontos entsteht. Wer es einmal kopiert, kann dauerhaft gültige Codes erzeugen — auf jedem Gerät, ohne dass es auffällt. Ein geleaktes Passwort lässt sich in Minuten ändern; ein geleaktes Secret wird still dupliziert, und die einzige Gegenmaßnahme ist, 2FA für jedes betroffene Konto neu einzurichten.
Im Browser liegt dieses Secret in einem Popup, das ein Klick öffnet. Kein Prompt, keine PIN, kein zweiter Schritt. Wer an deinem ungesperrten Rechner sitzt oder dein Browserprofil kopiert, kann die Liste lesen. Genau dafür gibt es in LocalBox2FA ein optionales Master-Passwort. Was es tut, was es bewusst nicht tut und wie du es nutzt, ohne dich auszusperren, steht hier.
Der zweite Schlüssel liegt in einer offenen Schublade
2FA geht davon aus, dass der zweite Faktor dort liegt, wo der Angreifer nicht ist. Auf dem Handy ist das hinter dem Sperrbildschirm. In einer Browsererweiterung ist das Secret ein Wert in chrome.storage.local, geschützt durch dein Betriebssystemkonto — und sonst nichts. Bei einem geteilten Arbeitsplatz oder einem offenen Laptop im Besprechungsraum ist diese Grenze dünn.
LocalBox2FA ist bewusst klein: Manifest V3, eine Berechtigung (storage) plus eine Host-Berechtigung für den Lizenzserver — kontaktiert nur zum Aktivieren, Prüfen oder Deaktivieren eines Lizenzschlüssels, nie mit deinen Daten —, TOTP per Web Crypto im Browser berechnet, kein Konto bei uns, keine Analyse. Die geräteübergreifende Synchronisierung ist optional und standardmäßig aus; wenn du sie einschaltest, werden versiegelte Einträge über chrome.storage.sync in deinem eigenen Browser-Konto gespiegelt, und das Master-Passwort bleibt auf dem Gerät. Das hält Secrets standardmäßig auf deiner Maschine. Vor jemandem, der dieselbe Maschine benutzt, schützt es nicht.
Was das Master-Passwort tatsächlich verschlüsselt
Es ist optional und standardmäßig aus. Nach dem Aktivieren gilt:
- Nur das Feld
secretwird verschlüsselt, mit AES-GCM und einem 256-Bit-Schlüssel. - Der Schlüssel wird per PBKDF2-SHA256 aus deinem Passwort abgeleitet: 600.000 Iterationen und ein zufälliges Salt. Das Passwort selbst wird nie gespeichert.
- Der abgeleitete CryptoKey existiert nur im Speicher des Popups und wird nie geschrieben.
Name, Digits, Period, Algorithmus und Datum bleiben im Storage unverschlüsselt. Die Trennung ist Absicht, doch im gesperrten Zustand blendet die Oberfläche die Liste komplett aus — genau darum geht es im nächsten Abschnitt. Verschlüsselung und Code-Berechnung passieren am selben Ort; nichts verlässt das Gerät.
Warum du es jedes Mal eingibst — Absicht
Kein Angemeldet-bleiben, keine 24-Stunden-Freigabe, keine biometrische Abkürzung. Jedes Öffnen beginnt mit dem Passwort.
Frag dich, was das Überspringen kosten würde: Die Erweiterung müsste den abgeleiteten Schlüssel — oder einen Schlüssel, der ihn entpackt — dauerhaft speichern. Wer diesen Wert erbeutet, öffnet deinen Tresor ohne Passwort. Genau das soll die Funktion verhindern. Der Preis ist eine Eingabe pro Popup, der Gewinn ist, dass Schließen den Zugriff wirklich beendet. Wer deinen Laptop bei gesperrtem Bildschirm mitnimmt, bekommt Chiffrat, keine gültigen Codes.
Was im gesperrten Zustand passiert
Im gesperrten Zustand zeigt das Popup nur den Sperrbildschirm. Die Kontoliste wird gar nicht gerendert — du erfährst erst nach dem Entsperren, welche Dienste im Tresor liegen.
Das ist der bewusste Kompromiss. Verschlüsselt ist nur das Secret, aber eine halb gerenderte Liste würde verraten, welche Konten du führst. Also wird alles verdeckt und zuerst das Passwort verlangt. Nach dem Entsperren sind Codes, Suche, Umbenennen und das 🔐 bei verschlüsselten Einträgen wieder da.
Namen liegen im Storage im Klartext; wer dein Browserprofil kopiert, liest sie mit. Halte sie langweilig: „Arbeitsmail“ ist in Ordnung, Kontonummern und PINs gehören nicht in einen Namen.
Ein- und ausschalten
Popup öffnen, Einstellungen, Master-Passwort setzen. Die einzige Bedingung: nicht leer. Keine Mindestlänge, keine Großbuchstaben, keine Sonderzeichen. Das ist eine bewusste Entscheidung des Autors — Komplexitätsregeln treiben Menschen zu kurzen, vorhersehbaren Mustern, und eine lange Passphrase, die du täglich tippen kannst, ist praktischer.
Du kannst die Funktion jederzeit in den Einstellungen abschalten. Dann wird das Schlüsselmaterial gelöscht und die Einträge liegen wieder im Klartext.
Bestehende Einträge: keine Migration, kein Reset
Nichts wird migriert, nichts geleert, kein Secret erneut eingefügt. Der Storage-Key bleibt unverändert, Klartext- und verschlüsselte Einträge stehen in derselben Liste. Neue Einträge werden verschlüsselt gespeichert, alte funktionieren weiter — ohne 🔐.
Passwort vergessen: kein Weg zurück
AES-GCM hat keine Hintertür, und es gibt keinen Reset-Link, keinen Recovery-Key, keine Support-Ausnahme. Ist das Passwort weg, sind die Secrets weg; auch der Support kann sie nicht entschlüsseln.
Der einzige Ausweg ist Alles löschen: zweimal bestätigen, dann werden alle Einträge entfernt. Für ein lokales Werkzeug ist das richtig — und der Grund für eine Gewohnheit: vor dem Aktivieren exportieren. Der Export ist kostenlos und schreibt eine Textdatei mit name:secret-Zeilen. Bewahre sie offline auf und behandle sie wie die Secrets selbst.
Das Passwort auf einen Zettel zu schreiben ist ebenfalls vernünftig. Ein rein lokales Werkzeug hat per Definition keine Kontowiederherstellung.
Was diese Schicht abhält — und was nicht
Genau gesagt: Es stoppt Kollegen, die auf deinem ungesperrten Rechner auf das Symbol klicken, jemanden, der Rohwerte aus einem kopierten Profil liest, und einen gestohlenen Laptop, dessen Browserdaten ungeschützt waren. Es stoppt keine Malware mit deinen Rechten, keinen Keylogger, keinen Prozess, der im entsperrten Zustand den Popup-Speicher liest, und niemanden, der dein Passwort kennt. Es ist keine Festplattenverschlüsselung und kein Ersatz für einen Sperrbildschirm.
Ein zweites Schloss an einer Schublade, keine Tresortür.
Kostenlos bis auf die Synchronisierung: Master-Passwort, TOTP-Codes, QR-Anzeige, Suche, Export, Import und Löschen sind gratis. Kostenpflichtig ist nur die optionale geräteübergreifende Synchronisierung, die ein Master-Passwort und eine Lizenz erfordert. Chrome Web Store · Edge Add-ons.
Häufige Fragen
Ist die Verschlüsselung mit Master-Passwort kostenlos?
Ja. Master-Passwort-Verschlüsselung, TOTP-Codes, QR-Code-Anzeige, Export, Import und Löschen sind kostenlos. Kostenpflichtig ist nur die optionale geräteübergreifende Synchronisierung, die ein Master-Passwort und eine Lizenz erfordert.
Kann ich ein vergessenes Master-Passwort wiederherstellen?
Nein. Die Secrets sind mit AES-GCM verschlüsselt — ohne Hintertür und ohne Wiederherstellungsweg. Auch der Entwickler kann sie nicht entschlüsseln. Ist das Passwort weg, bleibt nur Alles löschen, das nach einer zweiten Bestätigung alle Einträge entfernt. Exportiere deine Daten, bevor du die Verschlüsselung aktivierst.
Verschwinden meine alten Einträge, wenn ich die Verschlüsselung aktiviere?
Nein. Der Storage-Key bleibt gleich, Klartext- und verschlüsselte Einträge existieren nebeneinander. Vorhandene Einträge bleiben lesbar, alles Neue wird verschlüsselt gespeichert. Keine Migration, kein Leeren, keine erneute Eingabe von Secrets.
Warum muss ich das Passwort bei jedem Öffnen des Popups eingeben?
Weil der abgeleitete Schlüssel nur im Speicher des Popups liegt und nie in den Storage geschrieben wird. Beim Schließen wird er zerstört, es bleibt nichts zum späteren Entsperren. Ein Angemeldet-bleiben müsste Schlüsselmaterial dauerhaft speichern — genau das Risiko, das diese Funktion beseitigt.
Sehe ich meine Kontoliste auch im gesperrten Zustand?
Nein. Der Sperrbildschirm ersetzt das Popup, die Liste wird nicht gerendert — nicht einmal ein Label ist lesbar. Name, Digits und Datum sind in chrome.storage.local unverschlüsselt, im gesperrten Zustand wird aber nichts angezeigt.
Wird irgendetwas hochgeladen?
Standardmäßig nein. Alles bleibt in chrome.storage.local auf deinem Gerät. Wenn du die optionale geräteübergreifende Synchronisierung einschaltest, werden versiegelte Einträge samt Namen und TOTP-Einstellungen über chrome.storage.sync in deinem eigenen Browser-Konto gespiegelt; Master-Passwort und abgeleiteter Schlüssel verlassen das Gerät nie. Die Erweiterung ist Manifest V3 mit einer Berechtigung (storage) plus einer Host-Berechtigung für den Lizenzserver, kontaktiert nur zum Aktivieren, Prüfen oder Deaktivieren eines Lizenzschlüssels — nie mit deinen Daten. TOTP wird lokal mit Web Crypto berechnet; kein Konto bei uns, keine Analyse.
Weitere Tools findest du im VKT-Erweiterungskatalog oder schreib uns an [email protected].