VKT Toolkit · 12. September 2026 · 9 Min. Lesezeit

TOTP Authenticator für Windows: 2FA-Codes direkt im Browser erzeugen (2026)

Zähl mal nach, wie oft du heute nur wegen eines 6-stelligen Codes zum Handy gegriffen hast. Entsperren, Authenticator-App suchen, auf die Liste warten, auf den Countdown starren, den Code mit den Daumen in den Monitor tippen. Wenn du den ganzen Tag am PC arbeitest, wiederholt sich dieses Ritual bei jeder Anmeldung: E-Mail, GitHub, AWS, Bank, VPN, Projektmanagement-Tool. Das ist ein kaputtes Arbeitsablauf-Muster: Der Code, den du gerade brauchst, liegt auf dem einzigen Gerät, das nicht in deiner Hand liegt.

Die Lösung ist einfacher, als sie klingt. Ein TOTP-Authenticator kann direkt im Browser unter Windows laufen und exakt dieselben Codes erzeugen wie deine Smartphone-App — ohne Desktop-Programm, ohne Konto und ohne jede Netzwerkverbindung. In diesem Guide erfährst du, wie TOTP funktioniert, welche Optionen es unter Windows realistisch gibt und wie du einen Browser-Authenticator in rund zwei Minuten einrichtest.

Was ist TOTP? (In 30 Sekunden erklärt)

TOTP steht für Time-based One-Time Password und ist der Standard aus RFC 6238. Der komplette Mechanismus:

• Wenn du 2FA auf einer Website aktivierst, erzeugt die Seite einen gemeinsamen Schlüssel — eine Zeichenkette wie JBSW Y3DP EHPK 3PXP, angezeigt als QR-Code und Text-Schlüssel.
• Sowohl die Website als auch dein Authenticator speichern diesen Schlüssel.
• Alle 30 Sekunden kombiniert der Authenticator den Schlüssel mit der aktuellen Zeit und berechnet einen 6-stelligen Code. Die Seite führt dieselbe Rechnung aus und vergleicht.

Das ist alles. Keine SMS, kein Mobilfunk, keine Internetverbindung — nur ein Schlüssel und eine Uhr. Genau deshalb ist TOTP sicherer als SMS-Codes: Es gibt keine Daten, die über ein Netz wandern und abgefangen werden könnten, und keine Handynummer, die per SIM-Swap gekapert werden könnte. Einzig wichtig ist, wer den Schlüssel hält.

Deine Optionen für TOTP unter Windows

Es gibt vier realistische Wege, beim Arbeiten am Windows-PC an 2FA-Codes zu kommen — jeder mit eigenen Vor- und Nachteilen.

1. Dedizierte Desktop-Apps

Einige Open-Source- und kommerzielle Programme bringen TOTP auf den Windows-Desktop. Sie arbeiten offline und behalten alles lokal. Die Nachteile: schon wieder eine Software, die du installieren und der du vertrauen musst, zusätzliche Updates — und auf Rechnern ohne die App nutzt dir der Code meist nichts.

2. Passwort-Manager mit TOTP-Support

Bitwarden, 1Password und Ähnliches können TOTP-Schlüssel speichern und Codes automatisch einfügen. Bequem, und die Schlüssel reisen mit deinem Tresor. Der Haken: Dein zweiter Faktor wohnt jetzt am selben Ort wie deine Passwörter. Wer diesen Tresor öffnet, hat beide Faktoren auf einmal — genau das, was 2FA verhindern soll. Viele Sicherheitsleitfäden empfehlen deshalb, den zweiten Faktor woanders aufzubewahren.

3. Smartphone-App + Abtippen

Der Standard für die meisten. Sicher, und das Handy ist eigentlich immer dabei — außer es lädt im anderen Zimmer, telefoniert gerade, oder du arbeitest per Remote Desktop auf einer Maschine, die dir nicht gehört. Das Handy ist nicht das Problem; der ständige Gerätewechsel ist es. Die tägliche Reibung haben wir im Guide 2FA in Chrome ohne Handy verwenden ausführlich behandelt.

4. Browser-Erweiterungen (der Mittelweg)

Ein Browser-Authenticator läuft genau dort, wo du dich gerade befindest, wenn die 2FA-Aufforderung erscheint — im Browser selbst. VKT LocalBox2FA ist eine TOTP-Erweiterung für Chrome und Edge auf Basis von Manifest V3: null Berechtigungen, komplette lokale Speicherung, kein Netz, keine Cloud, kein Konto. Sie erzeugt dieselben RFC-6238-Codes wie jede Smartphone-App und bietet ein Live-Dashboard mit Ein-Klick-Kopie. Den detaillierten Vergleich mit dem Marktführer findest du in unserem Google Authenticator vs LocalBox2FA-Beitrag.

LocalBox2FA in Chrome oder Edge einrichten

Das Setup dauert etwa zwei Minuten — und du brauchst nie eine Kamera.

Schritt 1: Erweiterung installieren

Hol dir VKT LocalBox2FA aus dem Chrome Web Store oder den Edge-Add-ons. Es ist eine leichte Manifest-V3-Erweiterung, die null Berechtigungen anfordert — sie kann weder Seiteninhalte lesen, noch andere Tabs überwachen, noch das Netz erreichen.

Schritt 2: Konto über den Setup-Schlüssel hinzufügen

Wenn eine Website ihren 2FA-QR-Code zeigt, suche nach einem Link wie „Setup-Schlüssel eingeben“ oder „Kann nicht scannen?“. Die Seite zeigt dann einen Base32-Schlüssel — eine Zeichenkette aus Buchstaben und Ziffern. Unter Windows musst du nichts scannen:

1. Setup-Schlüssel von der Website kopieren;
2. Auf das LocalBox2FA-Symbol in der Symbolleiste klicken;
3. Den Schlüssel in das Eingabefeld einfügen;
4. Dem Eintrag einen klaren Namen geben (z. B. „GitHub — Arbeit“);
5. Speichern.

Der 6-stellige Code erscheint sofort und aktualisiert sich alle 30 Sekunden mit sichtbarem Countdown.

Schritt 3: Codes bei der Anmeldung nutzen

Wenn eine Seite das nächste Mal einen Bestätigungscode verlangt: Erweiterungssymbol anklicken, Konto im Dashboard finden und den Code anklicken, um ihn mit einem Klick zu kopieren. Dann einfügen. Der ganze Vorgang dauert ein paar Sekunden — kein Handy, kein Entsperren, kein App-Wechsel.

Schritt 4: Ordnung halten

Das Dashboard zeigt alle Konten mit Live-Codes auf einen Blick, unterstützt den Dark Mode und ist in 6 UI-Sprachen verfügbar (Deutsch, Englisch, Chinesisch, Japanisch, Spanisch, Französisch). Doppelte Schlüssel werden mit Bestätigungsdialog blockiert, und beim Löschen wird immer zweimal nachgefragt. Der kostenlose Kern deckt alles oben Genannte ab; Premium ist ein einmaliges Upgrade für $9.99 (lebenslang) und ergänzt den Export aller Einträge als Textdatei samt Re-Import — praktisch für Backups oder den Umzug auf einen neuen Rechner (siehe Preise). Die Lizenz gibt es auf der Kassenseite.

Ist ein Browser-Authenticator sicher?

Berechtigte Frage — der Browser hat nicht den Ruf eines Secure Enclave auf dem Handy. Hier das ehrliche Bild.

Was LocalBox2FA tut: Schlüssel liegen im localStorage deines Browsers, Codes werden lokal aus deiner Systemuhr berechnet, und es wird nie eine Netzwerkverbindung geöffnet. Null Berechtigungen im Manifest bedeuten, dass das Lesen deiner Surfdaten oder das „Nach Hause telefonieren“ technisch unmöglich ist. Keine Cloud, kein Sync, kein Konto — außerhalb deines Rechners existiert nichts.

Der echte Kompromiss: Cloud-synchronisierte Authenticatoren bieten Bequemlichkeit bei der Wiederherstellung — doch diese Bequemlichkeit hat ihren Preis: Deine Schlüssel existieren auf fremden Servern. LocalBox2FA geht den entgegengesetzten Weg: Deine Schlüssel existieren nur dort, wo du sie sehen kannst. Die Konsequenz: Die Sicherheit deiner Codes entspricht der Sicherheit deines Windows-Kontos.

Tue also das, was du ohnehin an einem Arbeits-PC tun solltest:

• Aktiviere Festplattenverschlüsselung (BitLocker unter Windows Pro, Geräteverschlüsselung unter Home), damit ein gestohlener Laptop deine Dateien — inklusive Browser-Speicher — nicht preisgibt;
• Benutze ein starkes Windows-Passwort bzw. eine PIN und sperre den Bildschirm, wenn du vom Schreibtisch weggehst;
• Speichere keine 2FA-Schlüssel in einem Browserprofil, das du mit anderen teilst;
• Bewahre von jedem Schlüssel eine zweite Kopie an einem anderen Ort auf (dazu gleich mehr).

Mit diesen Grundlagen ist ein lokaler Browser-Authenticator mindestens so sicher wie eine Smartphone-App, die deine Schlüssel in ein Cloud-Konto synchronisiert — und privater noch dazu, weil nie ein Dritter die Schlüssel hält.

Für wen sich ein Browser-TOTP eignet (und für wen nicht)

Perfekt, wenn du…

• den ganzen Tag am PC arbeitest: Die 2FA-Aufforderung erscheint immer genau dort, wo der Authenticator bereits ist. Kein Gerätewechsel, nie wieder.
• Remote Desktop oder RDP nutzt: Die Codes liegen in der Browser-Session und funktionieren auf Maschinen, auf denen du keine Apps installieren kannst — ein klassisches Problem von Remote-Workern und Admins.
• Entwickler/in bist: Dutzende Konten über GitHub, AWS, Cloudflare, npm und interne Tools auf einem Dashboard, jedes mit Live-Code und Ein-Klick-Kopie.
• Privatsphäre schätzt: kein Konto, keine Telemetrie, kein Cloud-Sync — die Schlüssel verlassen dein Gerät nie.

Zwei Mal überlegen, wenn…

• du ihn als einzigen Speicherort für deine Codes planst. Sagen wir es klipp und klar: Mach den Browser nicht zur einzigen Kopie deiner Schlüssel. Eine Browser-Neuinstallation, ein beschädigtes Profil oder ein verlorener Laptop können dich aussperren. Kombiniere ihn mit deiner Smartphone-App oder bewahre die gedruckten Backup-Codes der Dienste auf — am besten beides. Die Browser-Erweiterung ist das bequemste zweite Zuhause für deine Codes, kein Ersatz für alle anderen.
• du den Rechner teilst: Jeder, der in deinem Windows-Konto angemeldet ist, kann die Codes lesen. Gleiche Regel wie beim Handy — entsperrte Geräte nicht teilen.
• du dich überwiegend mobil anmeldest: Wenn dein Leben sich auf dem Handy abspielt, ist eine Browser-Erweiterung nicht dort, wo du sie brauchst.

Häufige Fragen

Weitere Tools findest du im VKT-Erweiterungskatalog oder schreib uns an [email protected].