# OTP-Sicherheitsrechner. - Kanonische URL: https://www.broadnet.me/de/tools/otp-security-calculator - Sprache: de - Zuletzt aktualisiert: 2026-10-21 - Herausgeber: BroadNet (https://www.broadnet.me) - Markdown-Fassung der Seite, aus der ausgelieferten Seite erzeugt. Kostenloses Entwickler-Tool · läuft in Ihrem Browser Konfigurieren Sie ein Einmalpasswort – Länge, Zeichensatz, Gültigkeitsdauer und Versuchslimit – und sehen Sie den genauen Kombinationsraum, die Entropie in Bits, die Erfolgswahrscheinlichkeit, die Brute-Force-Resistenz und eine Sicherheitsbewertung mit konkreten Tipps zur Optimierung. Die Berechnungen sind exakt und laufen vollständig in Ihrem Browser ab. Konfigurieren Sie Ihr OTP-System 6 Anzahl der Ziffern oder Zeichen im Code (4–12). Alphabetgröße: 10 Wie lange der Code gültig bleibt, bevor er rotiert oder abläuft. Vor der Sperrung oder Ungültigmachung des Codes sind Verifizierungsversuche zulässig. Versuche / Sekunde Eine angenommene automatische Raterate. Wird nur zur Schätzung der benötigten Zeit für eine Brute-Force-Suche verwendet – Feld leer lassen, falls unbekannt. Beispiel ausprobieren Festigkeitsanalyse Stark Stärkebewertung Gesamtzahl der Kombinationen 1,000,000 ≈ 1.000e+6 · Alphabet ^ Länge Entropie 19.9 Bits Länge × log₂(Alphabet) Schätzung der Wahrscheinlichkeit pro Versuch 1 Zoll 1,000,000 Chance innerhalb des Versuchslimits(5×) 1 Zoll 200,000 5.00e-4% Zeit, jeden Code auszuprobieren 13.9 Stunden Durchschnittliche Zeit bis zum Treffer 6.9 Stunden Anzahl der Versuche pro Gültigkeitsfenster: 6.000e+3 Die Begrenzung der Angriffsversuche setzt einem echten Angreifer auf 5 Grenzen – die Sperre, nicht die Angriffsrate, ist die bindende Einschränkung. Bei dieser Geschwindigkeit läuft der Code lange vor Erschöpfung des Speicherplatzes ab – Online-Brute-Force-Angriffe sind praktisch unmöglich. Die Sicherheit beruht auf der Begrenzung der Versuche und der kurzen Gültigkeitsdauer, nicht allein auf der Codelänge. Bewertungsschwellen (Schätzwahrscheinlichkeit innerhalb der Versuchsgrenze) - Sehr hoch – 1 zu 1.000.000 oder besser (erfüllt das vom NIST vorgegebene Ziel) - Stark – besser als 1 von 100.000 - Gut – besser als 1 von 10.000 - Schwach – schlechter als 1 von 10.000 Diese Bewertung (schwach/mittel/stark/sehr stark) ist eine interne Heuristik des Tools und kein externer Standard. Sie bewertet die Wahrscheinlichkeit eines erfolgreichen Tippvorgangs innerhalb des vorgegebenen Versuchslimits anhand der unten stehenden Schwellenwerte. Kombinationsraum, Entropie und Wahrscheinlichkeiten basieren auf exakter Mathematik. Empfehlungen - Numerische Einmalpasswörter (OTP) sind der Standard für SMS und benutzerfreundlich. Aufgrund ihrer geringen Länge hängt die Sicherheit jedoch von der Ratenbegrenzung und der kurzen Gültigkeitsdauer ab – nicht vom Code selbst. Beides sollte sorgfältig geschützt werden. - Nach einigen fehlgeschlagenen Versuchen sollte eine strikte serverseitige Sperre verhängt werden. Andernfalls ist die oben genannte „Chance innerhalb des Versuchslimits“ bedeutungslos, und der gesamte Speicherplatz kann per Brute-Force-Angriff erschlossen werden. - Verkürzen Sie das Gültigkeitsfenster. Ein Code, der mehrere Minuten gültig ist, gibt einem Angreifer deutlich mehr Zeit zum Raten als ein Code, der nur 30–60 Sekunden gültig ist. - Für sensible Aktionen wie Zahlungen oder Kontowiederherstellung empfiehlt sich die Gerätebindung, eine zusätzliche Authentifizierungsstufe oder ein zweiter Faktor. Ein OTP allein stellt lediglich ein einzelnes, über einen Kanal geteiltes Geheimnis dar. Die kurze Antwort ## Wie stark ist eine OTP wirklich? Die eigentliche Sicherheit eines Einmalpassworts (OTP) liegt in seinem Kombinationsraum: der Alphabetgröße hoch der Codelänge. Ein sechsstelliger Zahlencode hat eine Million Kombinationsmöglichkeiten und etwa 19,9 Bit Entropie – für kryptografische Verhältnisse vernachlässigbar wenig. Was ihn tatsächlich sicher macht, ist nicht der Code selbst, sondern die ihn umgebenden Sicherheitsvorkehrungen: eine strikte Begrenzung der Versuche vor der Sperrung und ein kurzes Ablauffenster. Bei einer Sperrung nach fünf Versuchen liegt die Wahrscheinlichkeit, einen sechsstelligen Code zu erraten, bei 5 zu 1.000.000 – also etwa 1 zu 200.000. Ohne diese Sperrung ist derselbe Code innerhalb von Sekunden geknackt. Dieses Tool berechnet sowohl die mathematischen Grundlagen als auch die praktischen, durch die Sperrung begrenzten Wahrscheinlichkeiten, sodass Sie genau sehen können, worauf die Sicherheit Ihres Systems beruht. ### Die Mathematik hinter der Stärke von OTPs Die Gesamtzahl der Kombinationen entspricht dem Produkt aus Alphabet und Länge. Die Berechnung erfolgt exakt mit Ganzzahlarithmetik, sodass auch große Leerzeichen bis auf die Ziffer genau dargestellt werden. Die Entropie in Bits berechnet sich aus Länge × log₂(Alphabet); jedes zusätzliche Zeichen erhöht die Anzahl der Bits um log₂(Alphabet). Die Wahrscheinlichkeit für einen einzelnen Zufallstreffer beträgt 1 ÷ Kombinationen. Bei einem Versuchslimit von N beträgt die Wahrscheinlichkeit für mindestens einen Treffer ungefähr N ÷ Kombinationen, was wir als eindeutige „1 in X“ und einen Prozentsatz ausdrücken. Bei einer angenommenen Angriffsrate beträgt die Zeit zum Ausprobieren jedes Codes Kombinationen ÷ Rate, und die durchschnittliche Zeit bis zu einem Treffer ist halb so lang – ein echter Angreifer wird jedoch zuerst gestoppt, je nachdem, welches Ereignis zuerst eintritt: die Versuchssperre oder der Ablauf des Codes. ### Was sagt NIST 800-63B? Die NIST-Sonderveröffentlichung 800-63B behandelt ein kurzes OTP als Geheimnis mit geringer Entropie, dessen Sicherheit von der Drosselung und nicht von der Länge abhängt. Sie weist Prüfer an, die Anzahl fehlgeschlagener Authentifizierungsversuche zu begrenzen und verweist darauf, die Wahrscheinlichkeit eines erfolgreichen Online-Ratens während der gesamten Lebensdauer des Authentifikators unter etwa 1 zu 1.000.000 zu halten. Anders ausgedrückt: Ein 6-stelliger Code ist nur deshalb akzeptabel, weil der Prüfer die Versuche begrenzt und den Code schnell ablaufen lässt – die Länge allein ist nicht ausschlaggebend für die Sicherheit. Die Stufe „sehr stark“ in diesem Tool orientiert sich an diesem Zielwert von 1 zu 1.000.000; die Stufenbezeichnungen selbst basieren auf unserer eigenen Heuristik und nicht auf einer NIST-Klassifizierung. ### Vergleich gängiger OTP-Systeme Genaue Werte für typische Konfigurationen, unter der Annahme einer Sperre von 5 Versuchen. Längere Codes oder Codes mit größerem Alphabet bieten zusätzlichen Spielraum, die Versuchsbegrenzung ist jedoch der entscheidende Faktor. | Schema | Kombinationen | Entropie | Chance in 5 Versuchen | |---|---|---|---| | 4-stellig numerisch | 10,000 | 13.3 Bits | 1 Zoll 2,000 | | 6-stellig numerisch | 1,000,000 | 19.9 Bits | 1 Zoll 200,000 | | 8-stellig numerisch | 100,000,000 | 26.6 Bits | 1 Zoll 20,000,000 | | 6-stellig alphanumerisch | 2,176,782,336 | 31.0 Bits | 1 Zoll 435,356,467 | | 8-stellig, Groß-/Kleinschreibung | 218,340,105,584,896 | 47.6 Bits | 1 Zoll 43,668,021,116,979 | ## Häufig gestellte Fragen **Ist ein 6-stelliger Einmalcode sicher?** Für sich genommen ist ein sechsstelliger Zahlencode nicht sicher – er bietet nur eine Million Kombinationsmöglichkeiten und etwa 19,9 Bit Entropie. Seine Sicherheit wird in der Praxis durch ein striktes Limit für die Versuche und eine kurze Gültigkeitsdauer erreicht: Bei einer Sperre nach fünf Versuchen liegt die Wahrscheinlichkeit, den Code zu erraten, bei etwa 1 zu 200.000. Ohne diese Sperre ist der Code innerhalb von Sekunden per Brute-Force-Angriff zu knacken. Die Sicherheit ergibt sich aus den Kontrollmechanismen, nicht aus den Ziffern selbst. **Wie wird die OTP-Entropie berechnet?** Die Entropie in Bit entspricht der Codelänge multipliziert mit dem Logarithmus zur Basis 2 der Alphabetgröße. Ein 6-stelliger numerischer Code hat eine Größe von 6 × log₂(10) ≈ 19,9 Bit; ein 8-stelliger, zwischen Groß- und Kleinschreibung unterscheidender alphanumerischer Code hat eine Größe von 8 × log₂(62) ≈ 47,6 Bit. Jedes zusätzliche Zeichen erhöht die Bitanzahl um log₂(Alphabet). **Warum ist die Anzahl der Versuche wichtiger als die Länge?** Da Online-OTPs Anfrage für Anfrage erraten und nicht offline berechnet werden, hat ein Angreifer, wenn der Verifizierer das Konto nach fünf Fehlversuchen sperrt, maximal fünf Versuche gegen alle verfügbaren Kombinationen, unabhängig von der Geschwindigkeit seiner Anfragen. Diese einzelne Kontrollmaßnahme reduziert die Wahrscheinlichkeit, einen Code mit einer Million Kombinationen zu knacken, auf etwa 1 zu 200.000. Ohne sie bietet derselbe Code nahezu keinen Schutz. **Hilft ein längerer oder alphanumerischer Code?** Dies erhöht die Entropie und verringert die Wahrscheinlichkeit, den richtigen Code zu erraten. Das ist hilfreich bei Datenströmen mit hohem Wert oder wenn die Ratenbegrenzung schwach ist. Allerdings leidet die Benutzerfreundlichkeit darunter: Längere Codes mit Groß- und Kleinbuchstaben sind schwieriger einzugeben und fehleranfälliger bei SMS oder Sprachanrufen. Für die meisten Datenströme ist ein sechsstelliger numerischer Code mit kurzer Sperrfrist und kurzer Gültigkeitsdauer der pragmatische Kompromiss; längere Codes sollten für risikoreiche Aktionen reserviert werden. **Was bedeutet die Festigkeitsangabe?** Es handelt sich um eine eigene Heuristik dieses Tools, nicht um einen externen Standard. Es bewertet die Wahrscheinlichkeit eines erfolgreichen Tippvorgangs innerhalb des konfigurierten Versuchslimits: 1 zu 1.000.000 oder besser gilt als „sehr hoch“ (entsprechend dem NIST-Referenzwert), besser als 1 zu 100.000 als „hoch“, besser als 1 zu 10.000 als „mittelmäßig“ und alles darunter als „niedrig“. Der zugrunde liegende Kombinationsraum, die Entropie und die Wahrscheinlichkeiten basieren auf exakter Mathematik. **Sendet dieses Tool meine Konfiguration irgendwohin?** Nein. Jede Berechnung wird in Ihrem Browser mit Hilfe von Ganzzahlarithmetik für den Kombinationsraum durchgeführt. Es werden keine Daten übertragen, protokolliert oder gespeichert. Sie können die Netzwerkverbindung trennen, und es funktioniert trotzdem. [OTP Einmalige Passwörter via SMS und Voice, inklusive integrierter Drosselung und Ablaufzeit.](https://www.broadnet.me/de/products/otp) [MyOTP Schlüsselfertige Verifizierung: Zustellung, Wiederholungsversuche und Rate-Limiting werden für Sie übernommen.](https://www.broadnet.me/de/products/myotp) [Antworten Direkte Antworten zu OTP, 2FA und Messaging-Sicherheit.](https://www.broadnet.me/de/answers) [Entwicklerbereich Schnellstart, TypeScript SDK, Referenzen und Tools.](https://www.broadnet.me/de/developers) ## Einmalpasswort in Ihr Produkt integrieren? BroadNet versendet Einmalpasswörter per SMS und Sprachanruf und bietet Drosselungs-, Ablauf- und Zustellungskontrollen für sichere Kurzcodes. Sprechen Sie mit unserem Team über Ihren Verifizierungsprozess. [Testzugang anfordern](https://www.broadnet.me/de/signup) [Vertrieb kontaktieren](https://www.broadnet.me/de/contact)