Bei der Zwei-Faktor-Authentifizierung, kurz 2FA, verlangt die Anmeldung mehr als das Passwort allein. Hinzu kommt ein zweiter Nachweis aus einer anderen Kategorie: etwas, das nur die berechtigte Person besitzt. In der Praxis ist das meist ein zeitlich begrenzter Code aus einer Authenticator-App auf dem Smartphone.
Der Sicherheitsgewinn
Gerät ein Passwort in falsche Hände – durch ein Datenleck, eine täuschend echte Phishing-Mail oder eine Mehrfachverwendung – bleibt der Zugang trotzdem verschlossen, solange der zweite Faktor fehlt. Für das Backend einer Website ist das besonders wertvoll, weil dort Inhalte, Kundendaten und Erweiterungen zusammenlaufen.
Umsetzung auf der eigenen Website
In WordPress und den meisten anderen Systemen lässt sich 2FA über eine Erweiterung nachrüsten und für alle Redaktionskonten verbindlich machen. Empfehlenswert sind App-basierte Codes; der Versand per SMS gilt als schwächer. Hinterlegen Sie zusätzlich Wiederherstellungscodes an einem sicheren Ort.
Weitere Zugänge mit Gewicht
Genauso wichtig sind die Konten rundherum: der Zugang zum Hosting, die Verwaltung der Domain und das E-Mail-Postfach, über das sich Passwörter zurücksetzen lassen. Gerade dieses Postfach ist der Generalschlüssel und verdient den zweiten Faktor zuerst. Ergänzend empfiehlt sich, den Kreis der Konten mit Vollzugriff klein zu halten und ausgeschiedenen Mitarbeitenden die Rechte zügig zu entziehen.
Als nächste Stufe etablieren sich Passkeys. Dabei ersetzt ein auf dem Gerät gespeicherter Schlüssel das Passwort vollständig, freigegeben per Fingerabdruck oder Gesichtserkennung. Der Vorteil liegt in der Bauart: Ein Passkey lässt sich über eine gefälschte Anmeldeseite kaum abgreifen, weil er an die echte Adresse des Dienstes gebunden bleibt. Immer mehr Systeme bieten ihn inzwischen an.
Wie sich ein Auftritt darüber hinaus absichern lässt, zeigt unsere Checkliste zur Absicherung sowie der Beitrag zu Passwort-Managern.