Zwei-Faktor-Authentifizierung

Was ist 2FA und TOTP?

2FA (Zwei-Faktor-Authentifizierung) ist eine zusätzliche Sicherheitsstufe bei der Anmeldung. Neben dem normalen Passwort wird ein zweiter Faktor benötigt, um Zugriff auf ein Konto zu erhalten. Dadurch reicht es nicht mehr aus, nur das Passwort zu kennen, um sich anzumelden.

Der zweite Faktor kann beispielsweise ein Einmalcode, ein Sicherheits-Schlüssel oder eine Bestätigung über ein anderes Gerät sein. Selbst wenn ein Angreifer das Passwort kennt, kann er sich ohne den zweiten Faktor nicht anmelden.

Eine häufig verwendete Methode ist TOTP (Time-based One-Time Password). Dabei wird in einer Authenticator-App ein zeitlich begrenzter sechsstelliger Code erzeugt, der sich regelmäßig ändert (meist alle 30 Sekunden). Dieser Code wird zusätzlich zum Passwort bei der Anmeldung eingegeben.

Zur Einrichtung von TOTP wird beim jeweiligen Dienst ein QR-Code angezeigt, der mit einer Authenticator-App oder einem unterstützten Passwortmanager eingescannt wird. Danach erzeugt die App automatisch die benötigten Einmalcodes.

Wir empfehlen, 2FA überall zu aktivieren, wo diese Funktion angeboten wird, besonders bei wichtigen Konten wie E-Mail, Passwortmanager, Bankkonten und sozialen Netzwerken.

Wichtig: Die Wiederherstellungscodes (Backup-Codes) sollten sicher gespeichert werden. Falls das Smartphone verloren geht oder die Authenticator-App nicht mehr verfügbar ist, ermöglichen diese Codes weiterhin den Zugriff auf das Konto.

Welche Authenticator-App verwenden wir?

Wir verwenden die Authenticator-Funktion von Bitwarden, da sie direkt in den Passwortmanager integriert ist und dadurch eine komfortable Verwaltung ermöglicht. Die TOTP-Codes können gemeinsam mit den Zugangsdaten gespeichert und zwischen den eigenen Geräten synchronisiert werden.

Der Vorteil besteht darin, dass man nicht mehrere Apps für Passwörter und Authenticator-Codes benötigt. Alle wichtigen Anmeldedaten befinden sich zentral an einem sicheren Ort und können bei einem Gerätewechsel einfacher wiederhergestellt werden.

Wichtig ist jedoch: Der Passwortmanager sollte besonders gut geschützt sein, da sich dort sowohl die Passwörter als auch die 2FA-Codes befinden können. Deshalb empfehlen wir ein starkes Master-Passwort und zusätzliche Sicherheitsmaßnahmen wie eine Hardware-Sicherheitsschlüssel oder eine weitere Absicherung des Bitwarden-Kontos.

Welche Authenticator-App empfehlen wir für den lokalen Einsatz?

Wer seine 2FA-Codes lieber lokal speichern möchte, kann auf unabhängige Authenticator-Apps zurückgreifen.

Empfehlenswerte Lösungen sind:

Aegis Authenticator (Android): Eine sehr beliebte Open-Source-App, die TOTP-Codes lokal auf dem Gerät speichert. Die Datenbank kann verschlüsselt gesichert und bei Bedarf manuell exportiert werden. 2FAS Authenticator (Android/iOS): Eine benutzerfreundliche Open-Source-Lösung mit Fokus auf Sicherheit. Sie ermöglicht verschlüsselte Backups und eine einfache Wiederherstellung. ente Auth (Android/iOS): Eine moderne Lösung mit verschlüsselter Synchronisation und der Möglichkeit, die Daten selbst zu verwalten. KeePassXC (Windows/Linux/macOS): Wer bereits KeePass nutzt, kann TOTP-Codes direkt in der verschlüsselten Passwortdatenbank speichern.

Für eine rein lokale Lösung empfehlen wir besonders Aegis Authenticator, da die App Open Source ist, eine verschlüsselte lokale Speicherung ermöglicht und keine Cloud benötigt.

Wichtig: Auch bei einer lokalen Lösung sollten regelmäßig verschlüsselte Backups der TOTP-Daten erstellt und sicher

Was sind Backup-Codes?

Backup-Codes sind einmalig verwendbare Wiederherstellungscodes, die bei der Einrichtung der Zwei-Faktor-Authentifizierung (2FA) von vielen Diensten bereitgestellt werden.

Sie dienen als Notfalllösung, falls der normale zweite Faktor nicht mehr verfügbar ist – zum Beispiel, wenn das Smartphone verloren geht, die Authenticator-App gelöscht wurde oder kein Zugriff mehr auf die gespeicherten TOTP-Codes besteht.

Jeder Backup-Code kann in der Regel nur einmal verwendet werden. Deshalb sollten die Codes sicher aufbewahrt werden, beispielsweise verschlüsselt im Passwortmanager oder an einem geschützten Offline-Ort.

Wir empfehlen, Backup-Codes niemals öffentlich zu speichern oder ungeschützt auf dem Computer abzulegen, da sie einen direkten Zugang zum Konto ermöglichen können.