Zwei-Faktor-Authentifizierung

Läuft dein Admin-Zugang noch mit Passwort allein?

Wir richten Zwei-Faktor-Authentifizierung so ein, dass sie im Alltag nicht stört — inklusive Ersatzcodes und einem dokumentierten Weg zurück.

Die Zwei-Faktor-Authentifizierung (2FA) sichert einen Zugang durch zwei voneinander unabhängige Nachweise ab — typischerweise etwas, das man weiß (Passwort), und etwas, das man besitzt (Smartphone oder Sicherheitsschlüssel). Ein gestohlenes Passwort allein genügt dann nicht mehr. Für WordPress-Administratorkonten ist sie die wirksamste Einzelmaßnahme überhaupt.

Kurz zusammengefasst:

• Zwei unabhängige Faktoren aus verschiedenen Kategorien — nicht zweimal dasselbe.
• Wehrt Brute-Force-Angriffe und die Folgen von Datenlecks weitgehend ab.
• App schlägt SMS, Sicherheitsschlüssel schlägt App.
• Ersatzcodes vorher sichern — sonst sperrt man sich aus.
• Mindestens für alle Konten mit Administratorrechten.

Die drei Kategorien

Entscheidend ist, dass die beiden Faktoren aus verschiedenen Kategorien stammen. Passwort plus Sicherheitsfrage sind zweimal Wissen — und damit keine echte Zwei-Faktor-Absicherung.

Die Verfahren im Vergleich

• Authenticator-App (TOTP). Erzeugt alle 30 Sekunden einen Code, funktioniert ohne Netz. Guter Kompromiss aus Sicherheit und Aufwand — für die meisten die richtige Wahl.
• Sicherheitsschlüssel (FIDO2/WebAuthn). Ein Gerät zum Anstecken oder Auflegen. Das sicherste Verfahren, weil es an die Domain gebunden ist und deshalb auch gegen Phishing schützt — ein nachgebauter Anmeldebildschirm kann den Schlüssel nicht überlisten.
• E-Mail-Code. Besser als nichts, aber nur so sicher wie das Postfach. Wer dasselbe Passwort dort nutzt, gewinnt wenig.
• SMS. Weit verbreitet, aber die schwächste Variante — anfällig für den Missbrauch von Rufnummernübernahmen. Als Notlösung akzeptabel, nicht als erste Wahl.
• Push-Bestätigung. Bequem, aber anfällig dafür, dass Nutzer entnervt zustimmen, wenn Anfragen wiederholt eintreffen.

In WordPress

Der Kern liefert keine 2FA mit; sie kommt über ein Plugin. Bei der Auswahl lohnt der Blick auf drei Punkte: Unterstützt es Authenticator-Apps und idealerweise Sicherheitsschlüssel? Lässt sich die Pflicht auf Rollen beschränken? Und gibt es einen dokumentierten Weg zurück, wenn jemand sein Gerät verliert?

Sinnvolle Einführung in dieser Reihenfolge: erst die eigenen Administratorkonten, dann alle weiteren mit erhöhten Rechten, dann Redakteure. Für Abonnenten ist die Hürde meist unverhältnismäßig.

Wichtig: Ersatzcodes erzeugen und sicher ablegen, bevor jemand ausgesperrt ist. Ohne sie bleibt nur der Weg über Datenbank oder Hoster — unangenehm, wenn es eilt.

Was 2FA nicht leistet

Sie sichert die Anmeldung. Sie hilft nicht gegen Lücken in Plugins, gegen bereits vorhandene Malware oder gegen eine Backdoor, die am Login vorbei arbeitet. Wer nach einem Befall 2FA aktiviert, ohne das System zu bereinigen, hat die Tür verriegelt, während das Fenster offen steht.

Sie ist deshalb Teil eines Ganzen: aktuelle Software, wenige gepflegte Erweiterungen, getrennte Zugänge, geprüfte Sicherungen.

Häufige Fragen

Ist SMS als zweiter Faktor sicher genug?

Es ist deutlich besser als kein zweiter Faktor, aber die schwächste Variante — Rufnummern lassen sich unter Umständen übernehmen. Eine Authenticator-App ist ähnlich bequem und spürbar sicherer.

Was passiert, wenn ich mein Handy verliere?

Dafür gibt es Ersatzcodes, die bei der Einrichtung erzeugt werden — sie gehören an einen sicheren Ort außerhalb des Geräts. Ohne sie hilft nur noch ein Eingriff über Datenbank oder Hoster.

Brauchen alle Benutzer 2FA?

Verpflichtend sollte sie für alle Konten mit Administrator- oder Redaktionsrechten sein. Für reine Abonnentenkonten ohne Zugriff auf Inhalte steht der Aufwand meist nicht im Verhältnis.

Schützt 2FA vor Phishing?

Nur bedingt. Codes aus App oder SMS lassen sich auf einer nachgebauten Seite abfragen und sofort weiterverwenden. Sicherheitsschlüssel nach FIDO2 sind an die Domain gebunden und schützen deshalb auch davor.

Macht 2FA das Anmelden umständlich?

Kaum. Die meisten Lösungen erlauben es, ein Gerät für eine gewisse Zeit als vertrauenswürdig zu merken. Der zusätzliche Schritt fällt dann nur selten an.

Reicht ein starkes Passwort nicht aus?

Ein starkes, einzigartiges Passwort ist die Grundlage, hilft aber nicht, wenn es bei einem fremden Dienst abfließt oder abgephisht wird. Genau diese Lücke schließt der zweite Faktor.