Gelöst: Synology DSM – „OTP stimmt nicht" bei NAS ohne Internetverbindung

Problem:

Ein Benutzer kann sich nicht an der DSM-Weboberfläche einer Synology DiskStation anmelden. Nach Benutzername und Kennwort erscheint die Meldung, dass der OTP (Verifizierungscode) nicht stimmt. Der Code stammt aus einer Authenticator-App auf dem Smartphone und wurde korrekt abgelesen. Das betroffene Konto ist der einzige Administrator. Die NAS hat kein Standardgateway und damit keinen Internetzugang. Sie kann also keine Zeit von einem NTP-Server holen.

Ursache:

Der OTP ist ein zeitbasierter Code (TOTP). Er wird aus einem geheimen Schlüssel und der aktuellen Uhrzeit berechnet. NAS und Smartphone müssen deshalb fast dieselbe Zeit haben. Läuft die Uhr der NAS ohne NTP-Abgleich über längere Zeit, wandert sie ab. Dann berechnen beide Seiten unterschiedliche Codes, obwohl der Schlüssel stimmt.

Lösung:

Das Prinzip: Das Smartphone wird kurz auf die Uhrzeit der NAS gestellt, damit der Code passt.

1. Die Uhrzeit der NAS ermitteln, auch ohne Anmeldung an DSM. Dafür auf eine Freigabe der NAS zugreifen, etwa per Windows-Explorer über \NAS-Name\Freigabe. Dort einen neuen Ordner anlegen. Als Erstellungsdatum und Uhrzeit zeigt der Explorer die Zeit der NAS. Das funktioniert, weil die NAS den Zeitstempel selbst setzt. Der Abstand zum Smartphone lag bei uns unter einer Minute.

2. Am Smartphone die automatische Datums- und Uhrzeitfunktion abschalten. Dann die Uhrzeit manuell auf die Zeit des neuen Ordners stellen.

3. In der Authenticator-App den aktuellen Code ablesen und in DSM eingeben. Am besten direkt nach dem Wechsel zum nächsten Code, damit er nicht während der Eingabe abläuft.

4. Nach erfolgreicher Anmeldung das Smartphone wieder auf automatische Zeit zurückstellen und den Testordner löschen.

Dauerhaft beheben

• In DSM unter Systemsteuerung > Regional > Zeit die Uhrzeit der NAS korrigieren. Das Smartphone ist in der Regel genauer, weil es sich per Mobilfunk synchronisiert.

• Alternativ einen NTP-Server im lokalen Netz einrichten. Das kann ein Windows-Domänencontroller, ein Router oder ein Linux-Server sein. Diesen trägt man in DSM als Zeitserver ein. Ein Internetzugang der NAS ist dafür nicht nötig.

• Bei einer NAS, die dauerhaft ohne Zeitquelle läuft, muss man die Zeit regelmäßig von Hand prüfen. Die Abweichung wächst mit der Zeit wieder.

Hinweise

• Das Verfahren braucht nur Zugriff auf eine Freigabe und keine Anmeldung an DSM. Es funktioniert daher auch, wenn der einzige Administrator ausgesperrt ist.

• Der Code-Versand per E-Mail setzt voraus, dass die NAS eine Mail-Verbindung hat. Ohne Gateway fällt diese Möglichkeit meist weg.

• Der Abstand sollte klein sein. Bei uns lag er unter einer Minute. Ein Versatz von mehreren Minuten wäre ebenfalls ein Fehlerbild, das so zu beheben ist.

Quellen s. weiter unten

 Stand: 07/2026

Diese Tipps dienen als knowledgebase zur internen Nutzung. Es steht natürlich jedem frei, dieses Wissen auf eigene Gefahr anzuwenden. Wir empfehlen, den Rat Ihres Netzwerk-Administrators einzuholen, oder uns mit der Lösung Ihres Problems zu beauftragen. Verwendete Markennamen und Warenzeichen sind Namen/Eigentum der jeweiligen Firmen/Hersteller.

Über ein paar liebe Worte und ⭐️⭐️⭐️⭐️⭐️ in unserer Google-Bewertung freuen wir uns, wenn Dir dieser Beitrag gefällt und vielleicht sogar weiterhilft. Einfach hier klicken.