OTP Pink – Offline-2FA-Authenticator für den Browser

Ihre Codes für die Zwei-Faktor-Authentifizierung in der Seitenleiste des Browsers, direkt neben der Website, die danach fragt. OTP Pink bewahrt die Schlüssel verschlüsselt auf Ihrem Computer auf, stellt keine Netzwerkanfragen und liest den Schlüssel direkt von der Einrichtungsseite der Website. Es ist kostenlos.

Erste Schritte · Wie es geschützt ist

Keine Netzwerkanfragen – prüfen Sie es in zwei Minuten

Hinter der Erweiterung steht kein Server: kein Konto, keine Synchronisierung, keine Nutzungsanalyse, nichts wird nachgeladen. Sie müssen das nicht einfach glauben:

1. Öffnen Sie die Seitenleiste, klicken Sie mit der rechten Maustaste hinein und wählen Sie Untersuchen, dann den Tab Netzwerk.
2. Für den Hintergrundprozess: chrome://extensions (oder edge://extensions) → Entwicklermodus → OTP Pink → Service Worker → Netzwerk.
3. Entsperren Sie, fügen Sie ein Konto hinzu, lassen Sie einen Schlüssel auf einer Seite finden, kopieren Sie einen Code, exportieren Sie. Der Netzwerk-Tab zeigt nur die eigenen Dateien der Erweiterung.

Das Manifest sagt dasselbe: keine Host-Berechtigungen, kein webRequest, keine Content-Scripts, die auf jeder Website laufen, und eine Content Security Policy mit connect-src 'none'. Die Schritte für Firefox und die vollständige Liste dessen, was die Erweiterung darf, stehen auf der Sicherheitsseite.

Dieses Versprechen gilt der Erweiterung. Die Website, die Sie gerade lesen, zählt ihre Besuche ohne Cookies – was sie erfasst, steht auf der Datenschutzseite.

Standardmäßig verschlüsselt

Der Tresor ist mit einem Schlüssel aus Ihrem Passwort verschlüsselt, ebenso die automatischen Backups und die .pinkotp-Datei, die Sie exportieren. Nichts verlässt den Tresor unverschlüsselt ohne eine gesonderte Bestätigung: Ein unverschlüsselter Export, ein QR-Code auf dem Bildschirm und das Drucken eines Notfallblatts fragen jeweils vorher nach. Der Tresor sperrt sich von selbst nach der von Ihnen gewählten Zeit ohne Nutzung und wenn der Browser geschlossen wird.

Der Schlüssel direkt von der Einrichtungsseite

Öffnen Sie die Seitenleiste auf der 2FA-Einrichtungsseite einer Website: OTP Pink sucht den QR-Code, den otpauth://-Link oder den für die manuelle Eingabe ausgeschriebenen Schlüssel. Versteckt die Seite ihn – in einem Dialog, einem Frame, einem geschützten Bild –, ziehen Sie auf einem Bildschirmfoto der Seite einen Rahmen um den QR-Code. Ein QR-Code in einem Bild, ein eingefügter Link und ein von Hand eingegebener Schlüssel funktionieren ebenfalls. Alle Wege der Reihe nach: Konten hinzufügen.

Sie kommen von einer Handy-App, die QR-Codes exportiert? Siehe Umzug von Google Authenticator.

TOTP-Codes (SHA-1, SHA-256, SHA-512), HOTP und Steam Guard. Getestet mit 5.000 Konten in einem Tresor in Chromium, der Engine von Chrome und Edge; in Firefox wurde das noch nicht gemessen.

Wenn Sie das Passwort verlieren – oder den Browser

Das Passwort wird nirgends gespeichert: Verlieren Sie es, lässt sich der Tresor nicht öffnen, und eine Zurücksetzung per E-Mail gibt es nicht, weil es keinen Server gibt. Sorgen Sie für einen Weg zurück, bevor Sie ihn brauchen: einen .pinkotp-Export samt seinem Passwort oder ein gedrucktes Notfallblatt.

Wer die Erweiterung entfernt, entfernt den Tresor und seine automatischen Backups; nur eine exportierte Datei bringt sie zurück. Was in welchem Fall hilft, steht unter Backups.

Was es nicht tut

• Keine Synchronisierung zwischen Geräten in dieser Version: Es gibt keinen Server, über den synchronisiert werden könnte.
• Kein automatisches Ausfüllen. Codes werden kopiert, nicht in Seiten eingetippt – das Eintippen bräuchte Zugriff auf jede Website.
• Kein Passkey-Anbieter. Auch dafür bräuchte es ein Skript auf jeder Website, und OTP Pink hat auf keine Website dauerhaften Zugriff.
• Keine Handy-App. Es ist eine Browsererweiterung für Chrome, Edge und Firefox.

Vor der Installation

Chrome zeigt eine einzige Warnung: „Daten ändern, die du kopierst und einfügst“ (Edge und Firefox sind noch zu prüfen). Sie dient dazu, einen kopierten Code nach der von Ihnen gewählten Zeit aus der Zwischenablage zu löschen; OTP Pink liest die Zwischenablage nie. Die Warnung „Alle deine Daten auf allen Websites lesen und ändern“ erscheint nicht – die Erweiterung hat auf keine Website dauerhaften Zugriff. Eine optionale Einstellung bittet den Browser beim Einschalten um mehr und sagt vorher, worum. Wofür jede Berechtigung da ist, steht auf der Sicherheitsseite.

Chrome und Edge ab Version 116, Firefox ab Version 142. Das Leeren der Zwischenablage wurde nur in Chrome geprüft. In Firefox sind das Finden des Schlüssels aus der Seitenleiste, die automatischen Backups und das Tastenkürzel zum Sperren noch in einem echten Browser zu prüfen. Die Oberfläche folgt der Sprache des Browsers: Englisch, Deutsch, Spanisch, Französisch, Indonesisch, Japanisch, Portugiesisch (Brasilien), Russisch und Ukrainisch.

Entwickelt von 301.st.