Zwei-Faktor-Authentifizierung (2FA): So funktioniert sie

Methoden der 2FA

SMS ist viel besser als gar keine 2FA, Ihre Telefonnummer kann aber per SIM-Swapping auf jemand anderen übertragen werden. Authenticator-Apps brauchen keine Internetverbindung und sind für die meisten Menschen ein guter Kompromiss. Sicherheitsschlüssel und Passkeys antworten nur der echten Website und schützen daher auch vor Phishing-Seiten.

Wie funktionieren Authenticator-Apps?

Authenticator-Apps verwenden den Standard TOTP (Time-based One-Time Password):

1. Wenn Sie 2FA aktivieren, zeigt Ihnen die Website einen QR-Code. Er enthält einen geheimen Schlüssel, den sich die Website und Ihre App teilen.
2. Aus diesem Schlüssel und der aktuellen Uhrzeit erzeugt die App alle 30 Sekunden einen neuen Code.
3. Bei der Anmeldung führt die Website dieselbe Berechnung auf ihrer Seite durch und vergleicht die Codes.

Da die Codes auf der Uhrzeit beruhen, muss die Uhr Ihres Handys stimmen; lassen Sie die automatische Uhrzeit aus dem Netzwerk auf Ihrem Handy aktiviert. Warum die Uhrzeit auf Servern wichtig ist, erklären wir in unserer Anleitung Linux Zeitzone und NTP.

Google Authenticator, Microsoft Authenticator, 1Password, Authy und ähnliche Apps arbeiten alle mit demselben Standard.

Bewahren Sie die Backup-Codes auf

Beim Aktivieren von 2FA geben Ihnen die meisten Websites eine Reihe von Backup-Codes (Wiederherstellungscodes). Verlieren Sie Ihr Handy oder löschen Sie die App, melden Sie sich mit diesen Codes an.

• Bewahren Sie die Backup-Codes in einem Passwortmanager oder ausgedruckt an einem sicheren Ort auf.
• Jeder Code ist meist nur einmal verwendbar; erzeugen Sie neue, wenn sie zur Neige gehen.
• Bietet Ihre Authenticator-App eine Sicherung oder eine Übertragung zwischen Geräten, aktivieren Sie sie. Setzen Sie beim Wechsel auf ein neues Handy das alte nicht zurück, bevor Sie Ihre Konten übertragen haben.

Bei welchen Konten sollten Sie 2FA aktivieren?

Nach Priorität:

1. Ihr E-Mail-Konto: Hier landen die Links zum Zurücksetzen der Passwörter aller anderen Konten.
2. Ihr Domain- und Hosting-Anbieter: Mit einem übernommenen Konto lassen sich Ihre DNS-Einträge, Ihre Website und Ihre E-Mails ändern.
3. Ihre Server- und Gameserver-Panel-Konten.
4. Code-Repositorys wie GitHub und GitLab: Bei Projekten, die automatisch auf den Server deployen, bedeutet Zugriff auf das Repository Zugriff auf den Server; Details finden Sie in unserer Anleitung Deployment mit Git.
5. Discord und Konten zur Community-Verwaltung.
6. Bank- und Zahlungskonten.

Nutzen Sie auch für die Administratorkonten von Websites wie WordPress ein 2FA-Plugin; Details finden Sie in unserer Anleitung WordPress installieren.

2FA für SSH auf Ihrem Server

Den stärksten Schutz auf Ihrem eigenen Server erreichen Sie, indem Sie die Anmeldung per Passwort deaktivieren und nur die Anmeldung per SSH-Schlüssel erlauben; das erklären wir in unserem Artikel Was ist SSH?. Möchten Sie eine zusätzliche Schicht, können Sie neben dem SSH-Schlüssel auch einen TOTP-Code verlangen. Unter Ubuntu und Debian:

sudo apt install libpam-google-authenticator
google-authenticator

Führen Sie den zweiten Befehl mit dem Benutzer aus, mit dem Sie sich anmelden werden (ohne sudo). Der Befehl zeigt einen QR-Code und Backup-Codes an; scannen Sie den QR-Code mit Ihrer Authenticator-App und bewahren Sie die Backup-Codes auf. Fügen Sie anschließend am Ende der Datei /etc/pam.d/sshd die folgende Zeile hinzu und setzen Sie ein # vor die Zeile @include common-auth, damit kein Passwort abgefragt wird:

auth required pam_google_authenticator.so

Nehmen Sie in der Datei /etc/ssh/sshd_config folgende Einstellungen vor:

KbdInteractiveAuthentication yes
UsePAM yes
AuthenticationMethods publickey,keyboard-interactive

In älteren Versionen wie Debian 11 heißt die erste Einstellung ChallengeResponseAuthentication. Starten Sie den SSH-Dienst neu:

sudo systemctl restart ssh

Schließen Sie Ihre bestehende SSH-Sitzung nicht und testen Sie die Anmeldung in einem neuen Terminal. Zuerst wird Ihr Schlüssel verwendet, danach wird der Bestätigungscode abgefragt. Geht etwas schief, können Sie die Einstellungen in der offenen Sitzung rückgängig machen. Kommen Sie gar nicht mehr auf den Server, ist die Webkonsole im Panel Ihres Anbieters der letzte Ausweg. Weitere Schritte zur Serversicherheit haben wir in unserer Checkliste Linux Server absichern zusammengestellt.

Vorsicht vor Versuchen, 2FA auszuhebeln

2FA ist stark, aber Angreifer versuchen, Ihnen den Code zu entlocken:

• Geben Sie Ihren Code an niemanden weiter. Ein echtes Support-Team fragt nie nach Ihrem Anmeldecode.
• Lehnen Sie unerwartete Bestätigungsanfragen ab. Erhalten Sie eine Benachrichtigung, obwohl Sie sich gerade nicht anmelden, ist Ihr Passwort in fremden Händen; ändern Sie es sofort.
• Prüfen Sie die Adresse der Anmeldeseite. Phishing-Seiten können neben Ihrem Passwort auch den Bestätigungscode abfragen und sofort verwenden.

2FA in Ihrem Nodesty-Konto

Im Nodesty-Kundenpanel können Sie auf der Sicherheitsseite Ihres Kontos die Zwei-Faktor-Authentifizierung aktivieren und einen Passkey hinzufügen; 2FA funktioniert mit Google Authenticator, 1Password, Authy und ähnlichen Authenticator-Apps. Im Panel erhalten Sie außerdem Sicherheitsbenachrichtigungen zu neuen Anmeldungen sowie zu Änderungen an Passwort, Zwei-Faktor-Authentifizierung und Zugriffsrechten.

Bei den Paketen AMD Ryzen 9 9950X vServer und AMD EPYC 7763 vServer richten Sie 2FA für SSH dank vollem Root-Zugriff wie in dieser Anleitung beschrieben ein und verbinden sich über die Webkonsole im Panel mit Ihrem Server, falls Sie den Zugang verlieren. Schützen Sie auch in den Webhosting-Paketen die Administratorkonten Ihrer Website mit 2FA.