Anmeldung und Zwei-Faktor-Anmeldung
Worum geht es?
Kurz gesagt: Dein Konto wird durch dein Passwort, auf Wunsch durch einen zweiten Faktor und durch Schutz der Sitzungen gesichert. Für den Fall, dass du Zugang verlierst, gibt es einen Recovery-Schlüssel und als Ausweg eine Identitätsprüfung. Sicher bleibt das nur, solange dein Gerät und dein E-Mail-Konto es auch sind.
Schutzziel
Niemand außer dir soll dein Konto übernehmen können. Sollte es doch jemand versuchen, soll das auffallen und begrenzt bleiben.
Funktionsprinzip
- Du meldest dich mit E-Mail-Adresse und Passwort an. Das Passwort liegt nur als Hash auf dem Server, nicht im Klartext.
- Hast du die Zwei-Faktor-Anmeldung eingerichtet, fragt die App danach einen Code aus deiner Authenticator-App ab.
- Nach dem Anmelden gehört die Sitzung zu deinem Gerät. Du siehst alle aktiven Sitzungen in einer Geräteliste und kannst sie beenden.
- Verlierst du Passwort und zweiten Faktor, hilft dir der Recovery-Schlüssel oder, wenn auch der fehlt, eine Identitätsprüfung durch einen Admin.
Maßnahmen
- Wir speichern Passwörter nur als Hash und setzen dabei einen festgelegten Mindest-Kostenfaktor ein, um Raten gegen gestohlene Datenbestände zu erschweren.
- Wir bremsen wiederholte Anmeldeversuche, um Durchprobieren zu verringern. Wir gleichen Antworten und Antwortzeiten an, damit sie möglichst wenig verraten, ob ein Konto existiert.
- Wir bieten die Zwei-Faktor-Anmeldung mit Authenticator-App an. Backup-Codes werden wie Passwörter gehasht und nur einmal angezeigt. Für Admin-Konten der Nutzerverwaltung ist sie Pflicht, für Autoren-Konten freiwillig.
- Sensible Aktionen wie Passwort ändern oder Zwei-Faktor abschalten verlangen eine erneute Bestätigung.
- Der Recovery-Schlüssel besteht aus zwei Teilen, dem Schlüssel und einem Recovery-Passwort, das nur du kennst. Beide sind für die Wiederherstellung nötig.
- Wird eine Sitzung plötzlich von einem anderen Browser genutzt, beenden wir sie und benachrichtigen dich. Nach einer Passwortänderung werden alle anderen Geräte abgemeldet.
- Hast du keinen Recovery-Schlüssel, prüft ein Admin deine Identität. Jeder solche Reset wird unveränderlich protokolliert, du wirst benachrichtigt, und ein Admin kann ihn nicht für das eigene Konto nutzen.
- Die E-Mail-Adresse änderst nur du selbst, mit Bestätigung an der alten und an der neuen Adresse. Es gibt dafür keinen Admin-Weg.
Was wir nicht versprechen
- Wer dein Passwort auf einer gefälschten Seite abgreift, umgeht den Schutz. Dagegen hilft der zweite Faktor nur teilweise.
- Ist dein Gerät oder dein E-Mail-Konto übernommen, kann das Konto trotzdem betroffen sein.
- Die Zwei-Faktor-Anmeldung ist für Autoren-Konten freiwillig. Wir empfehlen sie.
- Gehen Passwort, zweiter Faktor und Recovery-Schlüssel verloren, gibt es keinen automatischen Weg. Dann braucht es die Identitätsprüfung durch einen Admin, und die kann abgelehnt werden.
- Die Erkennung fremder Sitzungen hat Grenzen und erkennt nicht jede Übernahme.
Wie wir das prüfen
Zu den Schutzmaßnahmen gibt es automatisierte Tests, die die Tabelle unten nennt. Konkrete Grenzwerte, Zeiten und Algorithmen-Parameter nennen wir bewusst nicht. Die Anmelde-Szenarien („Compromised User“, „Session Hijacking“) gehören zu den 14 Angriffsszenarien im Monatsbericht.
Nachweis-Tests
| Test | Das belegt der Test |
|---|---|
LoginRateLimitTest |
Nach zu vielen falschen Anmeldeversuchen bremst die Anmeldung ab. |
LoginTimingEnumerationTest |
Die Antwortzeit wird angeglichen, damit sie möglichst wenig verrät, ob ein Konto existiert. |
PasswordHashingCostFactorTest |
Der Kostenfaktor des Passwort-Hashings liegt nicht unter dem festgelegten Minimum. |
TwoFactorLoginFlowTest |
Mit aktivem zweiten Faktor führt das Passwort allein nicht zur Anmeldung. |
TwoFactorBackupCodeTest |
Backup-Codes sind gehasht und lassen sich nur einmal verwenden. |
TwoFactorMandatoryForUserManagementTest |
Für Admin-Konten der Nutzerverwaltung ist die Zwei-Faktor-Anmeldung Pflicht. |
AccountRecoveryRequiresBothFactorsTest |
Die Wiederherstellung mit Recovery-Schlüssel braucht beide Teile. |
SessionRevocationTest |
Ein abgemeldetes oder widerrufenes Gerät verliert den Zugriff. |
SessionHijackDetectionTest |
Eine Sitzung, die plötzlich mit einem anderen Browser genutzt wird, wird beendet. |
EmailChangeIsSelfServiceOnlyTest |
Die E-Mail-Adresse ändert nur das Konto selbst, kein Admin. |
TwoFactorAdminResetTest |
Ein Admin-Reset der Zwei-Faktor-Anmeldung wird protokolliert und das Konto benachrichtigt. |
Änderungsverlauf
- : Erste Fassung.