WP Security! – Zwei-Faktor-Authentifizierung (2FA)

Der Classic-Editor: Vertraut und zuverlässig –
Ihr bewährter Begleiter.

Erleben Sie den Classic Editor neu!
(Bilder von pixelcreatures)

Viele Nutzer schätzen die vertraute Umgebung des Classic-Editors, die eine einfache und schnelle Bearbeitung ermöglicht.

Mit dem Advanced Editor Tools auf das nächste Level –
Mehr Funktionen, mehr Möglichkeiten.

Classic Editor + Advanced Editor Tools
= Ihr Erfolgsrezept

Der Advanced Editor erweitert den Funktionsumfang des Classic-Editors und ermöglicht es, Inhalte noch effektiver zu bearbeiten.

Einfach und intuitiv –
Der Classic-Editor für alle.

Classic Editor & Advanced Editor Tools
Erleben Sie es.

Der Classic-Editor zeichnet sich durch Stabilität und Zuverlässigkeit aus, was für professionellen Anwender von Bedeutung ist.

Mehr schaffen in weniger Zeit –
Der Advanced Editor für kreative Köpfe.

Optimieren Sie Ihre Bearbeitung:
Advanced Editor Tools

Mit dem Advanced Editor können Designer und
Content Creatoren kreative Ideen umsetzten.

Die Zwei-Faktor-Authentifizierung (2FA) ist eine äußerst wirksame Methode zur Steigerung der Sicherheit von Websites. Sie stellt sicher, dass der Zugriff auf das Benutzerkonto nicht nur durch die Kenntnisnahme eines Passworts erfolgt, sondern auch durch eine zusätzliche Bestätigungsmethode. Dadurch wird das Risiko von unbefugtem Zugriff, Datenverlust und Identitätsdiebstahl erheblich reduziert.

Dieser Beitrag ist eine äquivalent von WP Security! – NinjaFirewall.

Inhaltsverzeichnis

Zwei-Faktor-Authentifizierung (2FA)

Bei der 2FA werden zwei verschiedene Authentifizierungsfaktoren verwendet, um die Identität eines Benutzers zu überprüfen. Dies kann in der Regel etwas sein, das der Benutzer weiß (wie ein Passwort oder PIN) und etwas, das der Benutzer besitzt (wie ein Smartphone oder Sicherheitsschlüssel). Dadurch wird eine zusätzliche Sicherheitsebene geschaffen, da, selbst wenn ein Angreifer das Benutzerpasswort kennt, er zusätzlich Zugriff auf das zweite Authentifizierungselement benötigt, um sich erfolgreich anzumelden.

Durch die Einrichtung der Zwei-Faktor-Authentifizierung erhöht sich die Sicherheit der WordPress-Website erheblich, da, selbst wenn ein Angreifer das Passwort eines Benutzers kennt, er zusätzlich einen zweiten Faktor überwinden muss, um Zugriff zu erhalten.

Das Einrichten der Zwei-Faktor-Authentifizierung (2FA) in WordPress erfordert die Verwendung eines Plug-ins, da diese Funktion nicht standardmäßig in WordPress integriert ist. Hier sind die Schritte, um 2FA auf der WordPress-Website einzurichten:

Hier stellen wir das Plug-in Two-Factor vor und die Antworten auf die Fragen, die sich daraus ergeben.

Two-Factor

Nach der Aktivierung des Plug-ins muss es konfiguriert werden. Gehe dazu zu "Dashboard" > "Benutzer" unterhalb "Two Factor Authentication". Dort können die 2FA-Methoden auswählt werden. Jeder Benutzer eines WordPress-Systems kann seine eigenen 2FA-Einstellungen vornehmen. Um 2FA zu aktivieren, muss sich der Benutzer in sein Konto einloggen, zu seinem Profil gehen und die 2FA-Optionen auswählen.

Zwei-Faktor-Authentifizierungsmethoden

In der Regel kann man die Sicherheit der verschiedenen Zwei-Faktor-Authentifizierungsmethoden wie folgt einordnen:

Authentifizierung per E-Mail: Diese Methode bietet die geringste Sicherheit im Vergleich zu den anderen beiden. Sie ist anfälliger für Phishing-Angriffe, da E-Mails relativ einfach abgefangen oder gefälscht werden können. Außerdem sind E-Mail-Konten oft das primäre Ziel von Angreifern, da sie Zugang zu anderen Online-Konten ermöglichen können, die mit der E-Mail-Adresse verknüpft sind.
TOTP (zeitbasierte Einmal-Passwörter): TOTP bietet eine solide Sicherheit und ist eine beliebte Wahl für die Zwei-Faktor-Authentifizierung. Die generierten Einmal-Passwörter basieren auf einem geheimen Schlüssel und der aktuellen Zeit, was sie schwer zu erraten macht. Obwohl TOTP weniger widerstandsfähig gegen Phishing-Angriffe ist als FIDO U2F, bietet es dennoch eine gute Sicherheit für die meisten Benutzer.
FIDO U2F-Sicherheitsschlüssel: Diese Methode bietet die höchste Sicherheit, da sie eine physische Hardware verwendet, um die Authentifizierung durchzuführen. Die Authentifizierung findet direkt auf dem Sicherheitsschlüssel statt und ist daher äußerst sicher und resistent gegen Phishing-Angriffe oder andere Formen von Angriffen auf Benutzerdaten.

Es ist zu beachten, dass die Wahl der Zwei-Faktor-Authentifizierungsmethode von verschiedenen Faktoren abhängt, darunter persönliche Präferenzen, Benutzerkomfort und verfügbare Ressourcen. Trotzdem bietet die Verwendung einer der oben genannten Methoden immer eine zusätzliche Sicherheitsschicht für Ihre Online-Konten, einschließlich Ihrer WordPress-Website.

Der Backup-Verifizierungs-Codes (einmalige Nutzung) bezieht sich auf eine Funktion, die es Benutzern ermöglicht, zusätzliche Authentifizierungscodes zu generieren und zu speichern, die im Falle von Verlust oder Nichtverfügbarkeit ihres Haupt-Authentifizierungsmittels verwendet werden können.

Two-Factor über E-Mail

Wenn ich Two-Factor-Einstellungen über E-Mail verwende, da kann das ja auch nur SinN haben, wenn sich die Kontaktinfo-E-Mail von der Administrator-E-Mail-Adresse unterscheidet.

Wenn die E-Mail-Methode für die Zwei-Faktor-Authentifizierung (2FA) in WordPress verwendet wird und die Kontakt-E-Mail-Adresse sich von der Administrator-E-Mail-Adresse unterscheidet, ist dies sinnvoll und sicherheitsrelevant.

Hier ist der Grund dafür:

Trennung von Administrator- und Kontakt-E-Mail: Die Administrator-E-Mail-Adresse wird normalerweise verwendet, um wichtige Benachrichtigungen und Sicherheitswarnungen von Ihrer WordPress-Website zu erhalten. Diese E-Mail-Adresse sollte daher streng geschützt und nicht leicht zugänglich sein.
Verwendung der Kontakt-E-Mail für 2FA-Benachrichtigungen: Wenn du die E-Mail-Methode für die Zwei-Faktor-Authentifizierung aktivierst, sendet WordPress einen Code oder einen Link zur Bestätigung an die im Benutzerprofil hinterlegte E-Mail-Adresse. Wenn diese Kontakt-E-Mail-Adresse sich von der Administrator-E-Mail-Adresse unterscheidet, erhöht dies die Sicherheit, da der Zugriff auf die Kontakt-E-Mail-Adresse nicht automatisch den Zugriff auf das Administrator-Konto gewährt.
Schutz vor potenziellen Angriffen: Falls ein Angreifer Zugriff auf die Kontakt-E-Mail-Adresse erhält, würde dies nicht unbedingt bedeuten, dass er auch Zugriff auf das Administrator-Konto erhält. Dies liegt daran, dass für die Zwei-Faktor-Authentifizierung zusätzlich zur Kontakt-E-Mail noch ein weiterer Authentifizierungsschritt erforderlich ist (z. B. Eingabe eines Codes, der per E-Mail gesendet wird).

Indem die Kontakt-E-Mail-Adresse für die Zwei-Faktor-Authentifizierung verwendet und sicherstellt wird, dass sie sich von der Administrator-E-Mail-Adresse unterscheidet, verbessert das die Sicherheit des WordPress-Kontos, indem so potenzielle Angriffsvektoren verringert werden. Es ist ein bewährtes Sicherheitsverfahren, sensible Konteninformationen zu segmentieren und verschiedene Kommunikationskanäle zu verwenden.

Zeitbasiertes Einmal-Passwort (TOTP)

Frage zum "Zeitbasiertes Einmal-Passwort (TOTP)" wie funktioniert das? Hier steht zwar "Bitte scanne den QR-Code oder gib den Key manuell ein. Gib danach den Authentifizierungs-Code aus deiner App ein, um die Einrichtung abzuschließen." Wie läuft das ab?

Das zeitbasierte Einmal-Passwort (TOTP) ist eine Methode für die Zwei-Faktor-Authentifizierung (2FA), bei der ein einmaliger Code basierend auf der aktuellen Zeit und einem geheimen Schlüssel generiert wird. Dieser Code wird typischerweise von einer Authentifizierungs-App wie Google Authenticator, Authy oder Microsoft Authenticator generiert.

Hier ist, wie der Prozess normalerweise abläuft:

QR-Code scannen oder Key manuell eingeben: Wenn du die TOTP-Methode für die Zwei-Faktor-Authentifizierung in WordPress aktivierst, erhält man normalerweise einen QR-Code oder einen geheimen Schlüssel (Key). Diesen kannst du entweder mit einer Authentifizierungs-App scannen oder manuell in die App eingeben.
Authentifizierungs-App einrichten: Öffne die Authentifizierungs-App auf deinem Smartphone oder einem anderen Gerät und füge ein neues Konto hinzu. Dazu wählst du in der App normalerweise die Option "Konto hinzufügen" oder "QR-Code scannen" aus und scannst den QR-Code oder geben den geheimen Schlüssel manuell ein.
Generierung des Authentifizierungs-Codes: Nachdem du das Konto in der Authentifizierungs-App eingerichtet hast, wird die App einen einmaligen Authentifizierungs-Code generieren, der alle 30 Sekunden aktualisiert wird.
Einrichtung in WordPress abschließen: Gebe den generierten Authentifizierungs-Code in das entsprechende Feld auf der WordPress-Website ein, um die Einrichtung der TOTP-Methode abzuschließen.
Verwendung des Authentifizierungs-Codes: Beim Anmelden auf der WordPress-Website wirst du nach Benutzernamen und Passwort gefragt. Nach der Eingabe dieser Informationen fordert die Website möglicherweise auf, den aktuellen Authentifizierungs-Code aus deiner Authentifizierungs-App einzugeben. Gebe diesen Code ein, um sich erfolgreich anzumelden.

Durch die Verwendung von TOTP für die Zwei-Faktor-Authentifizierung erhöht sich die Sicherheit des WordPress-Kontos, da der Authentifizierungs-Code alle 30 Sekunden aktualisiert wird und daher schwieriger zu erraten ist. Außerdem benötigt ein potenzieller Angreifer neben dem Benutzernamen und Passwort auch physischen Zugriff auf Ihr Authentifizierungsgerät, um sich erfolgreich anzumelden.

FIDO U2F Sicherheitsschlüssel

Wie läuft das mit dem "FIDO U2F Sicherheitsschlüssel"? 'Erfordert eine HTTPS-Verbindung. Konfiguriere deine Security-Keys im Abschnitt "Security-Keys" unten.'

Die Verwendung von FIDO U2F-Sicherheitsschlüsseln bietet eine zusätzliche Sicherheitsebene für die Zwei-Faktor-Authentifizierung (2FA) in WordPress. Hier ist ein Überblick darüber, wie der Prozess funktioniert:

HTTPS-Verbindung erforderlich: Um FIDO U2F-Sicherheitsschlüssel in WordPress verwenden zu können, ist eine sichere HTTPS-Verbindung erforderlich. Dies gewährleistet die Verschlüsselung der Datenübertragung zwischen dem Webbrowser des Benutzers und dem WordPress-Server, wodurch die Sicherheit der Übertragung sensibler Informationen, wie z.B. Authentifizierungsdaten, gewährleistet wird.
Konfiguration der Security-Keys: Um FIDO U2F-Sicherheitsschlüssel in WordPress zu konfigurieren ist unterhalb des Abschnitt "Security-Keys". Dort kannst du deine FIDO U2F-Sicherheitsschlüssel hinzufügen und verwalten.
Hinzufügen von Sicherheitsschlüsseln: Um einen Sicherheitsschlüssel hinzuzufügen, klicke auf "Hinzufügen", und folgen den Anweisungen auf dem Bildschirm. Normalerweise müssen du Ihren Sicherheitsschlüssel in den USB-Anschluss deines Computers einstecken und den Anweisungen auf dem Bildschirm folgen, um ihn mit Ihrem WordPress-Konto zu verknüpfen.
Authentifizierung mit Sicherheitsschlüsseln: Nachdem du deine Sicherheitsschlüssel hinzugefügt hast, wird er als eine der verfügbaren 2FA-Optionen für Ihr WordPress-Konto angezeigt. Wenn du dich das nächste Mal anmeldest, wirst du nach deinem Benutzernamen und Passwort gefragt, und dann wirst du aufgefordert, deinen Sicherheitsschlüssel einzustecken und ihn zu verwenden, um sich zu authentifizieren.

Durch die Verwendung von FIDO U2F-Sicherheitsschlüsseln kann die Sicherheit des WordPress-Kontos weiter verbessert werden, indem du eine physische Authentifizierungsmethode verwendest, die schwer zu fälschen ist und zusätzlichen Schutz vor Phishing-Angriffen bietet.

Muss ich da einen normalen USB-Sticker verwenden, mit dem man sonst auch Daten speichert?

Für die Verwendung von FIDO U2F-Sicherheitsschlüsseln benötigen du tatsächlich spezielle Hardwaregeräte, die als Sicherheitsschlüssel fungieren. Diese Geräte sind normalerweise USB-basiert und ähneln USB-Sticks, werden jedoch ausschließlich für die Authentifizierungszwecke verwendet und können nicht zum Speichern von Daten verwendet werden.

Es gibt verschiedene Hersteller von FIDO U2F-Sicherheitsschlüsseln, darunter bekannte Marken wie Yubico, Feitian und Solo. Diese Sicherheitsschlüssel sind speziell für die Verwendung mit FIDO U2F-Authentifizierung konzipiert und bieten eine sichere und zuverlässige Möglichkeit, sich bei verschiedenen Online-Diensten, einschließlich WordPress, zu authentifizieren.

Um einen FIDO U2F-Sicherheitsschlüssel zu verwenden, musst die ihn einfach in den USB-Anschluss deines Computers oder Geräts einstecken und den Anweisungen auf dem Bildschirm folgen, um ihn mit Ihrem WordPress-Konto zu verknüpfen. Nachdem der Sicherheitsschlüssel hinzugefügt wurde, wird er als eine der verfügbaren 2FA-Optionen für Ihr WordPress-Konto angezeigt, und du kannst ihn verwenden, um sich bei Bedarf zu authentifizieren.

Es ist wichtig, einen hochwertigen und vertrauenswürdigen FIDO U2F-Sicherheitsschlüssel von einem seriösen Hersteller zu erwerben, um eine optimale Sicherheit und Zuverlässigkeit zu gewährleisten.

Backup-Verifizierungs-Codes (einmalige Nutzung)

Da steht noch "Backup-Verifizierungs-Codes (einmalige Nutzung)", was kann das heißen?

Backup-Verifizierungs-Codes (einmalige Nutzung) bezieht sich auf eine Funktion, die es Benutzern ermöglicht, zusätzliche Authentifizierungscodes zu generieren und zu speichern, die im Falle von Verlust oder Nichtverfügbarkeit ihres Haupt-Authentifizierungsmittels verwendet werden können.

Hier ist, was das bedeutet:

Backup-Codes generieren: Benutzer erhalten die Möglichkeit, Backup-Verifizierungscodes zu generieren, normalerweise während des Einrichtungsprozesses der Zwei-Faktor-Authentifizierung (2FA). Diese Codes werden generiert und dem Benutzer angezeigt, um sicherzustellen, dass du sie sicher speichern kann.
Einmalige Nutzung: Jeder Backup-Verifizierungscode kann nur einmal verwendet werden. Sobald ein Code zur Authentifizierung verwendet wurde, wird er ungültig und kann nicht erneut verwendet werden. Dies stellt sicher, dass die Sicherheit der Backup-Codes gewährleistet ist und dass sie nicht missbräuchlich verwendet werden können.
Verwendung im Notfall: Backup-Verifizierungscodes werden normalerweise verwendet, wenn der Benutzer sein Haupt-Authentifizierungsmittel verloren hat, z.B. sein Smartphone mit der Authentifizierungs-App. In einem solchen Fall kann der Benutzer einen der Backup-Codes eingeben, um sich trotzdem anmelden zu können. Dies stellt sicher, dass der Benutzer auch dann noch auf sein Konto zugreifen kann, wenn sein Haupt-Authentifizierungsmittel nicht verfügbar ist.

Backup-Verifizierungscodes sind eine wichtige Sicherheitsfunktion, die Benutzern zusätzliche Flexibilität und Sicherheit bei der Verwendung der Zwei-Faktor-Authentifizierung bietet. Sie dienen als Backup-Mechanismus, um sicherzustellen, dass Benutzer auch dann noch auf ihre Konten zugreifen können, wenn ihre Haupt-Authentifizierungsmethode nicht verfügbar ist.