Zum Hauptinhalt springen

Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung (2FA) ergänzt die Anmeldung mit lokalem Benutzernamen und Passwort um einen zweiten Prüfschritt. Sie schützt dein Konto, wenn dein Passwort gestohlen wird oder öffentlich wird: Ein Angreifer braucht dann zusätzlich Zugriff auf deine Authenticator-App, um die Anmeldung abzuschließen.

SSO-Nutzer: Wenn deine Organisation Okta, Entra ID oder einen anderen Identity Provider verwendet, authentifizierst du dich über diesen IdP und nicht mit einem lokalen Passwort. Die MFA-Richtlinie deines IdP ist dann die maßgebliche Hürde bei der Anmeldung. 2FA auf deinem lokalen fremforge-Konto legt eine zweite Schicht darüber, ist aber nicht erforderlich, wenn du dich per SSO anmeldest. Siehe OIDC-SSO.

2FA einrichten

  1. Öffne Benutzereinstellungen → Sicherheit → Zwei-Faktor-Authentifizierung (frem.sh/user/settings/security).
  2. Klicke auf Enroll.
  3. fremforge zeigt einen QR-Code an. Scanne ihn mit deiner Authenticator-App.
  4. Gib den sechsstelligen Code ein, den deine App anzeigt, um die Kopplung zu bestätigen.
  5. Klicke auf Enable two-factor authentication.

Jede TOTP-kompatible App funktioniert. Empfehlenswert sind Apps, die über Geräte hinweg synchronisieren oder in ein Konto sichern, damit du nicht ausgesperrt bist, wenn du dein Telefon verlierst:

  • 1Password, Bitwarden: TOTP direkt neben den Passwörtern; plattformübergreifend.
  • Microsoft Authenticator, Google Authenticator: Authenticator-Apps der Hersteller mit Cloud-Backup.
  • Ente Auth, 2FAS: quelloffene Alternativen mit Ende-zu-Ende-Verschlüsselung.

Meide Authenticator-Apps ohne geräteübergreifende Synchronisation oder Exportmöglichkeit; geht das Gerät verloren, sind die Wiederherstellungscodes (nächster Abschnitt) der einzige Weg zurück.

Wiederherstellungscodes sichern

Direkt nach dem Aktivieren von 2FA zeigt fremforge 10 Wiederherstellungscodes zur einmaligen Verwendung an. Jeder Code kann einmal anstelle eines TOTP verwendet werden, wenn deine Authenticator-App nicht verfügbar ist.

Sichere diese Codes, bevor du die Seite schließt. Möglichkeiten:

  • Ausdrucken und an einem sicheren Ort aufbewahren.
  • In einem Passwortmanager speichern (1Password, Bitwarden oder ähnlich).
  • In einer verschlüsselten Datei auf einem anderen Gerät ablegen.

Speichere sie nicht ausschließlich auf dem Gerät, auf dem auch deine Authenticator-App läuft. Verlierst du dieses Gerät, verlierst du sowohl das TOTP als auch die Codes.

Sobald du die Einrichtungsseite verlässt, werden die Codes nicht mehr angezeigt. Wenn du sie nicht gesichert hast, erzeuge einen neuen Satz (siehe unten) und bewahre diesen auf.

Mit einem Wiederherstellungscode anmelden

Wenn deine Authenticator-App nicht verfügbar ist:

  1. Öffne die Anmeldeseite unter https://frem.sh/user/login.
  2. Gib wie gewohnt Benutzernamen und Passwort ein.
  3. Klicke bei der 2FA-Abfrage auf Use recovery code, statt ein TOTP einzugeben.
  4. Gib einen deiner gesicherten Wiederherstellungscodes ein.
  5. Klicke auf Verify.

Der Code wird sofort verbraucht und kann nicht erneut verwendet werden. Du hast insgesamt höchstens 10 Codes. Erzeuge nach der Verwendung eines Codes am besten einen neuen Satz, damit du immer einen vollständigen Vorrat hast.

Wiederherstellungscodes neu erzeugen

So erzeugst du einen neuen Satz Codes:

  1. Öffne Benutzereinstellungen → Sicherheit → Zwei-Faktor-Authentifizierung.
  2. Klicke auf Regenerate recovery codes.
  3. fremforge erzeugt 10 neue Codes und zeigt sie an.
  4. Sichere die neuen Codes sofort.

Die alten Codes werden in dem Moment ungültig, in dem du neue erzeugst. Hast du irgendwo noch unbenutzte alte Codes aufbewahrt, funktionieren sie nicht mehr. Gültig ist nur der neu erzeugte Satz.

Wenn du Authenticator-App und Wiederherstellungscodes verloren hast

Schreibe an support@frem.sh mit dem Betreff “2FA recovery request”. Gib an:

  • den Slug deiner Organisation
  • die E-Mail-Adresse, die für dein Konto registriert ist
  • eine kurze Beschreibung, wie der Zugriff verloren ging

Der Support prüft deine Identität über einen separaten Kanal und antwortet gemäß Support-SLA innerhalb eines Werktags. Geschäftszeiten und Antwortziele findest du unter Support.

2FA und SSO

Wenn SSO für deine Organisation erzwungen wird, melden sich Mitglieder unter frem.sh/user/login?redirect_to=/<org> über den IdP an. Der lokale 2FA-Schritt von fremforge gilt nur für die Anmeldung mit lokalem Benutzernamen und Passwort unter frem.sh/user/login. Für die meisten per SSO angebundenen Mitglieder ist die lokale Anmeldung ein Ausweichweg und nicht der alltägliche Weg.

Owner einer Organisation behalten ihre lokalen Zugangsdaten auch dann, wenn SSO erzwungen wird (siehe SSO-Break-Glass). Wenn du Owner einer Organisation bist, lass 2FA für dein lokales Konto aktiviert und bewahre die Wiederherstellungscodes sicher auf: Die lokale Anmeldung brauchst du womöglich genau dann, wenn der IdP nicht verfügbar ist.

Querverweise

  • SSO-Break-Glass: Zugriff auf die Organisation wiederherstellen, wenn der IdP nicht verfügbar ist
  • OIDC-SSO: IdP-basierte Anmeldung für deine Organisation einrichten
  • Support: wie du den Support erreichst und welche Antwortzeiten du erwarten kannst