Ein starkes Passwort reicht allein nicht mehr aus, um den Admin-Zugang einer Website zu schützen. Zwei-Faktor-Authentifizierung fügt eine zweite Schicht hinzu: Ein gestohlenes Passwort allein genügt dann nicht mehr, um hineinzukommen. Das verändert die Risikorechnung für jeden, der es auf Admin-Zugangsdaten abgesehen hat. Ein Faktor lässt sich knacken. Zwei sind deutlich schwerer. Dieser Artikel erklärt, wie Zwei-Faktor-Authentifizierung funktioniert, welche Arten von zweiten Faktoren es gibt und wie du sie auf deiner Website aktivierst.
Angriffe auf Zugangsdaten laufen automatisiert. Tools, die Passwörter per Brute Force knacken oder gestohlene Zugangsdaten an Login-Seiten testen, laufen ununterbrochen auf Millionen von Websites. Das Passwort selbst ist nicht mehr die letzte Verteidigungslinie, die es früher war: Zu viele sind schwach, mehrfach verwendet oder durch Datenlecks bei anderen Diensten offengelegt. Zwei-Faktor-Authentifizierung repariert das Passwort nicht. Sie sorgt dafür, dass das Passwort allein nicht ausreicht. Das grössere Bild zum Schutz des Admin-Zugangs als Teil einer vollständigen Sicherheitsstrategie findest du im Artikel So schützt du deine Website vor Hackern.
Was ist Zwei-Faktor-Authentifizierung?
Zwei-Faktor-Authentifizierung, oft mit 2FA abgekürzt, ist ein Anmeldeverfahren, das zwei getrennte Nachweise verlangt, bevor es Zugang gewährt. Der erste Faktor ist meist ein Passwort. Der zweite Faktor ist etwas Getrenntes, auf das im Moment der Anmeldung nur der Kontoinhaber Zugriff hat.
Das Prinzip ist einfach: Selbst wenn ein Angreifer dein Passwort durch ein Datenleck, einen Phishing-Angriff oder Brute Force erbeutet, kann er die Anmeldung nicht abschliessen, ohne auch den zweiten Faktor zu kontrollieren. In den meisten Fällen liegt der zweite Faktor auf einem Gerät, das der Kontoinhaber physisch besitzt. Für den Zugriff braucht es also mehr als ein gestohlenes Passwort.
Wie funktioniert Zwei-Faktor-Authentifizierung?
Der Anmeldeablauf
- Der Nutzer gibt wie gewohnt Benutzernamen und Passwort auf der Login-Seite ein
- Statt sofort Zugang zu erhalten, wird er zu einem zweiten Bestätigungsschritt aufgefordert
- Der Nutzer liefert den zweiten Faktor, den das System prüft, bevor es Zugang erlaubt
- Ist einer der Faktoren falsch, wird der Zugang verweigert
Was das verhindert
- Ein Angreifer, der das richtige Passwort erbeutet hat, wird im zweiten Schritt gestoppt, weil er keinen Zugriff auf den zweiten Faktor hat
- Brute-Force-Angriffe, die ein Passwort erfolgreich herausfinden, können die Anmeldung trotzdem nicht ohne den zweiten Faktor abschliessen
- Zugangsdaten, die durch Phishing oder Datenlecks bei anderen Diensten gestohlen wurden, reichen allein nicht aus
Welche Arten von zweiten Faktoren gibt es?
Authenticator-Apps
- Eine Authenticator-App erzeugt einen zeitbasierten Code, der sich alle 30 Sekunden erneuert. Der Nutzer öffnet die App, liest den aktuellen Code ab und gibt ihn bei der Anmeldung ein
- Der Code entsteht auf dem Gerät und wird nicht über das Netzwerk übertragen. Das macht ihn widerstandsfähig gegen Abfangen
- Das gilt weithin als die praktischste und sicherste Option für die meisten Website-Betreiber
SMS-Codes
- Bei der Anmeldung wird ein Einmalcode als Textnachricht an die registrierte Telefonnummer des Nutzers gesendet
- SMS-Codes sind bequemer einzurichten als eine Authenticator-App, gelten aber als weniger sicher, weil Telefonnummern durch SIM-Swapping übernommen und SMS abgefangen werden können
- Sie sind deutlich besser als gar kein zweiter Faktor
Hardware-Sicherheitsschlüssel
- Ein Hardware-Sicherheitsschlüssel ist ein physisches Gerät, meist ein kleiner USB- oder NFC-Stick, den der Nutzer bei der Anmeldung einsteckt oder antippt, um seine Identität zu bestätigen
- Hardware-Schlüssel bieten die stärkste Form der Zwei-Faktor-Authentifizierung und sind immun gegen Phishing, weil die Bestätigung an die jeweilige Website gebunden ist
- Sie sind in Umgebungen mit hohen Sicherheitsanforderungen verbreiteter und für den normalen Admin-Zugang zu Websites seltener im Einsatz
E-Mail-Codes
- Ein Einmalcode wird an die registrierte E-Mail-Adresse des Nutzers gesendet und muss bei der Anmeldung eingegeben werden
- E-Mail-Codes sind der schwächste zweite Faktor, weil sie von der Sicherheit des E-Mail-Kontos abhängen. Ist das E-Mail-Konto kompromittiert, bietet der zweite Faktor keinen Schutz
- Sie sind besser als kein zweiter Faktor, aber Authenticator-Apps sind die zuverlässigere Wahl
Warum braucht deine Website Zwei-Faktor-Authentifizierung?
Passwörter werden regelmässig kompromittiert
- Datenlecks bei anderen Diensten legen Zugangsdaten offen, die dann an Admin-Bereichen von Websites getestet werden. Ein Passwort, das du von einem anderen Konto wiederverwendest, kann Zugang zu deiner Website geben, auch wenn deine Website nie direkt angegriffen wurde
- Phishing-Angriffe, die Passwörter abgreifen, lassen sich schwer vollständig verhindern. Zwei-Faktor-Authentifizierung begrenzt den Schaden, wenn ein Passwort erbeutet wird
Automatisierte Angriffe auf Zugangsdaten gibt es ständig
- Brute-Force-Tools laufen ununterbrochen auf Websites und testen gängige Passwörter, Wörterbuchbegriffe und Listen geleakter Zugangsdaten
- Mit Zwei-Faktor-Authentifizierung reicht selbst ein per Brute Force gefundenes Passwort nicht aus, um eine Anmeldung abzuschliessen
Der Admin-Zugang ist das wertvollste Ziel
- Ein Angreifer, der Zugang zum Admin-Bereich einer Website erlangt, kann Schadsoftware installieren, Daten stehlen, Hintertüren anlegen oder den Besitzer komplett aussperren
- Den Admin-Zugang mit Zwei-Faktor-Authentifizierung zu schützen, verringert direkt die Folgen eines kompromittierten Passworts, des häufigsten Ziels bei Angriffen auf Zugangsdaten
Was Angreifer tun können, wenn sie Admin-Zugang erhalten, erfährst du im Artikel Was ist Website-Malware und wie wirkt sie sich auf deine Seite aus? Warum Website-Sicherheit über den Admin-Zugang hinaus wichtig ist, erklärt der Artikel Warum ist Website-Sicherheit wichtig?
Wie aktivierst du Zwei-Faktor-Authentifizierung auf deiner Website?
Für den Admin-Zugang zur Website
- Viele Website-Plattformen bieten Zwei-Faktor-Authentifizierung als eingebaute Option in den Kontoeinstellungen. Schau zuerst im Bereich Sicherheit oder Konto deiner Plattform nach
- Für Plattformen, die sie nicht von Haus aus enthalten, gibt es Sicherheitserweiterungen oder Plugins, die 2FA zur Anmeldung hinzufügen
- Aktiviere sie für jedes Admin-Konto, nicht nur für das Hauptkonto. Jedes Admin-Konto ohne Zwei-Faktor-Authentifizierung ist ein möglicher Einstiegspunkt
Für Hosting- und Domain-Konten
- Das Hosting-Kontrollpanel und das Konto beim Domain-Registrar sind genauso wichtig abzusichern wie die Website selbst. Ein Angreifer mit Zugang zum Hosting-Konto kann DNS-Einträge ändern, auf Backups zugreifen oder die Website offline nehmen
- Aktiviere Zwei-Faktor-Authentifizierung für das Hosting-Panel und das Konto beim Domain-Registrar, nicht nur für den eigenen Login der Website
Für E-Mail-Konten, die zur Kontowiederherstellung dienen
- Beim Zurücksetzen von Passwörtern wird meist ein Link an die registrierte E-Mail-Adresse gesendet. Ist dieses E-Mail-Konto kompromittiert, lässt sich damit das Website-Konto übernehmen
- Sicherst du die E-Mail-Konten, die mit dem Admin-Zugang zur Website verbunden sind, mit Zwei-Faktor-Authentifizierung ab, schliesst du diesen Wiederherstellungsweg als Angriffsweg
Wie Backups zusammen mit Zwei-Faktor-Authentifizierung zu einem vollständigen Sicherheitskonzept gehören, zeigt der Artikel So sicherst du deine Website per Backup.
So handhabt WEMASY die Sicherheit bei der Anmeldung
Zwei-Faktor-Authentifizierung ist für den Zugang zu WEMASY-Konten verfügbar. Website-Betreiber können sie in den Sicherheitseinstellungen ihres Kontos aktivieren, um den Zugang zu Dashboard, Website-Konfiguration und Abrechnungsdaten zu schützen. Ist sie aktiviert, kann ein gestohlenes Passwort allein nicht für den Zugriff auf das Konto genutzt werden.
Die Anmeldeaktivität wird auf Plattformebene überwacht, und Sicherheitsereignisse werden protokolliert. Die Plattform begrenzt ausserdem die Zahl der Anmeldeversuche, um das Risiko durch Brute-Force-Angriffe zu verringern.
Was alles enthalten ist, siehst du beim WEMASY Website-Builder. Die Tarifoptionen findest du auf der Preisseite.
Häufig gestellte Fragen
Was ist Zwei-Faktor-Authentifizierung?
Zwei-Faktor-Authentifizierung ist ein Anmeldeverfahren, das zwei getrennte Nachweise verlangt, bevor es Zugang gewährt. Der erste Faktor ist meist ein Passwort. Der zweite ist etwas, auf das im Moment der Anmeldung nur der Kontoinhaber Zugriff hat, etwa ein Code aus einer Authenticator-App oder eine SMS an ein registriertes Telefon. Beides muss richtig angegeben werden, um die Anmeldung abzuschliessen. Ein gestohlenes Passwort allein genügt einem Angreifer also nicht. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Warum sollte ich Zwei-Faktor-Authentifizierung auf meiner Website nutzen?
Passwörter werden regelmässig durch Datenlecks, Phishing-Angriffe und Brute-Force-Tools kompromittiert. Mit Zwei-Faktor-Authentifizierung lässt sich ein erbeutetes Passwort nicht ohne den zweiten Faktor für eine Anmeldung nutzen. Bei Admin-Konten von Websites, wo eine erfolgreiche Anmeldung dazu führen kann, dass Schadsoftware installiert, Daten gestohlen oder die Website gesperrt wird, ist Zwei-Faktor-Authentifizierung eine der wirksamsten verfügbaren Sicherheitsmassnahmen.
Welche Art von zweitem Faktor ist am besten?
Für die meisten Website-Betreiber empfehlen wir eine Authenticator-App als zweiten Faktor. Sie erzeugt einen zeitbasierten Code auf dem Gerät selbst, der nicht über das Netzwerk übertragen wird und deshalb nicht auf dieselbe Weise abgefangen werden kann wie SMS-Codes. Hardware-Sicherheitsschlüssel sind sicherer, aber im Alltag weniger praktisch. SMS-Codes und E-Mail-Codes sind besser als gar kein zweiter Faktor. Eine Authenticator-App trifft aber die richtige Balance zwischen Sicherheit und Bedienkomfort.
Was passiert, wenn ich den Zugriff auf meinen zweiten Faktor verliere?
Die meisten Plattformen mit Zwei-Faktor-Authentifizierung stellen bei der Einrichtung auch Backup-Codes bereit. Diese Einmalcodes lassen sich nutzen, um auf das Konto zuzugreifen, wenn der zweite Faktor nicht verfügbar ist. Bewahre sie sicher und getrennt vom Gerät auf, das du zur Authentifizierung nutzt. Sind die Backup-Codes verloren und der zweite Faktor nicht verfügbar, läuft die Wiederherstellung meist über das Kontowiederherstellungsverfahren der Plattform. Das kann dauern und erfordert einen Eigentumsnachweis.
Schützt Zwei-Faktor-Authentifizierung vor allen Angriffen auf die Anmeldung?
Sie schützt vor der Mehrheit der Angriffe auf Zugangsdaten, darunter Brute Force, Credential Stuffing und Angriffe mit gestohlenen Passwörtern von anderen Diensten. Sie schützt nicht vor Angriffen, die die Anmeldung komplett umgehen, etwa über eine Sicherheitslücke in der Software der Website oder über eine kompromittierte Sitzung. Zwei-Faktor-Authentifizierung ist eine entscheidende Schicht zum Schutz des Admin-Zugangs, wirkt aber am besten als Teil eines breiteren Sicherheitskonzepts mit Software-Updates, starken Passwörtern und regelmässigen Backups.
Sollte ich Zwei-Faktor-Authentifizierung auch für andere Konten als den Website-Login aktivieren?
Ja. Das Hosting-Kontrollpanel und das Konto beim Domain-Registrar sollten beide Zwei-Faktor-Authentifizierung haben. Mit Zugang zu einem von beiden lassen sich Konfiguration, DNS-Einträge oder Backups der Website so ändern, dass der eigene Login der Website komplett umgangen wird. Auch das E-Mail-Konto zur Kontowiederherstellung sollte mit Zwei-Faktor-Authentifizierung gesichert sein, weil beim Zurücksetzen von Passwörtern ein Link an diese Adresse geht und ein kompromittiertes E-Mail-Konto zur Übernahme des Website-Kontos genutzt werden kann.