OK, dann habe ich Dich da falsch verstanden. Aber dann war der zweite Benutzer gut im Raten. Oder die Tokenverwaltung zu schlecht, weil die Tokens zu kurz sind, und/oder nicht ausreichend zufällig sind.

Das (Erraten von Tokens) ist in der Tat ein Problem, dem man mit einem ausreichend großen Pool an möglichen Tokens zu begegnen versucht.