Zwei-Faktor-Authentifizierung (2FA)
Definition
Zwei-Faktor-Authentifizierung (2FA) verlangt nach dem Passwort einen zweiten Identitätsnachweis, etwa einen App-Code.
Auch genannt: 2FA, two-factor authentication, two factor authentication, MFA, multi-factor authentication, Zwei-Faktor-Authentifizierung, Mehrfaktor-Authentifizierung
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
Passwörter leaken von anderen Websites, durch Phishing und geteilte Agentur-Logins. 2FA heißt: das Passwort allein sollte wp-admin nicht öffnen. Für Betreiber und Agenturen ist es eine der Kontrollen mit dem höchsten Nutzen, die Sie an einem Nachmittag einschalten können.
So zeigt es sich in der Praxis
- Eine Authenticator-Abfrage nach dem Passwort für den Administrator (und idealerweise den Redakteur)
- Wiederherstellungscodes offline für ein verlorenes Telefon
- Stuffing-Versuche, die beim Passwortschritt klappen und ohne den Code scheitern
- Support-Tickets von Mitarbeitenden, die nach einem Gerätewechsel einen Wiederherstellungsweg brauchen
Was Sie tun sollten
- Verlangen Sie 2FA für alle privilegierten Rollen, nicht nur für Ihren persönlichen Admin.
- Bevorzugen Sie App-basiertes TOTP vor SMS, wenn Sie die Wahl haben.
- Lassen Sie Anmelde-Limits an, damit Stuffing den Angreifer weiter Zeit kostet.
- Haben Sie einen Wiederherstellungsweg: einen Admin, der 2FA zurücksetzen kann, oder eine zweite Methode wie E-Mail-Codes.
In WP Security Ninja
Die Zwei-Faktor-Authentifizierung ergänzt App- oder E-Mail-Codes für wichtige Rollen. Schritte zur Einführung: 2FA in WordPress einschalten. Nutzen Sie sie mit dem Anmeldeschutz, damit Bots nicht endlos sprühen, während jemand ohne 2FA noch Administrator ist. Breitere Anmeldungshärtung: WordPress-Anmeldesicherheit.
Weiterlesen
Brauchen Sie den ganzen Ablauf?
Diese Seite bleibt absichtlich kurz. Die Anleitung (EN) beschreibt Schritte, Beispiele und was Sie auf einer laufenden WordPress-Website prüfen.
Anleitung öffnen (EN)Verwandte Begriffe
Ideas cercanas en el diccionario
- Brute Force Ein Brute-Force-Angriff probiert viele Passwörter oder Tokens, bis eines funktioniert, meist gegen das Anmeldeformular.
- Credential Stuffing Credential Stuffing spielt Benutzernamen und Passwörter aus anderen Leaks gegen Ihre Anmeldung ab.
- Phishing Phishing bringt Menschen dazu, Zugangsdaten herauszugeben oder Malware zu installieren, indem ein vertrauenswürdiger Absender vorgetäuscht wird.
- Anmeldeschutz Anmeldeschutz ist die Menge an Kontrollen, die die WordPress-Anmeldung gegen Bots und Angriffe auf Zugangsdaten härten.
- Account-Übernahme Account-Übernahme heißt: ein Angreifer kontrolliert ein echtes Benutzerkonto und kann als dieser Benutzer handeln.
- Anwendungspasswörter Anwendungspasswörter sind Zugangsdaten pro App, die WordPress ausstellt, damit Integrationen sich ohne Ihr Hauptpasswort anmelden.
