Wie richte ich die Zwei-Faktor-Authentifizierung (2FA) in WordPress ein?

Warum das wichtig ist

Passwörter gelangen nach außen. Sie werden auf einer anderen Website wiederverwendet, die gehackt wird, auf einer gefälschten Login-Seite eingetippt oder erraten. Hat jemand dein Passwort, kann WordPress ihn nicht von dir unterscheiden. Die Zwei-Faktor-Authentifizierung schließt genau diese Lücke.

Die Zwei-Faktor-Authentifizierung (2FA) ergänzt etwas, das nur du hast: einen sechsstelligen Code aus einer App auf deinem Handy, der alle 30 Sekunden wechselt. Um hineinzukommen, braucht ein Angreifer im selben Moment dein Passwort und dein Handy. Bei einem Administratorkonto beseitigt diese eine Änderung den häufigsten Weg, auf dem Websites übernommen werden.

Der Standard hinter diesen Codes ist TOTP (zeitbasierte Einmalpasswörter). Er ist offen, funktioniert offline und wird von jeder großen Authenticator-App unterstützt – du bist also an keinen Anbieter gebunden.

Häufige Fehler

• Wiederherstellungscodes nicht sichern. Ein verlorenes Handy ohne Wiederherstellungscodes ist der häufigste Grund, warum sich Leute nach dem Einschalten von 2FA aussperren. Druck sie aus oder bewahre sie in einem Passwortmanager auf, der nicht auf demselben Handy liegt.
• Ein Handy für alles. Liegen die Codes und die Wiederherstellungscodes auf demselben Gerät, verlierst du mit ihm beides.
• Annehmen, dass 2FA jede Tür abdeckt. Akzeptiert xmlrpc.php noch Passwörter oder werden falsche Codes nicht gezählt, können Angreifer weiterraten. Schließe den XML-RPC-Login und stelle sicher, dass 2FA-Fehlversuche zu deinem Login-Limit zählen.
• QR-Codes von einem Drittanbieterdienst. Manche Lösungen erzeugen den QR-Code über einen externen Bilddienst – dein Geheimnis wird dann über das Internet geschickt. Bevorzuge einen QR-Code, der auf deinem eigenen Server erzeugt wird.
• Sicherheits-Salts ohne Plan ändern. Bei manchen Lösungen hängen die 2FA-Geheimnisse an deinen WordPress-Salts. Wisse, was dein Plugin tut, wenn sich die Salts ändern.

Ohne Plugin

Ehrlich gesagt gibt es keinen Weg, TOTP-2FA ohne Code zu WordPress hinzuzufügen. Die Optionen außerhalb eines WordPress-Plugins sind:

• Der Login-Schutz deines Hosters. Manche Managed-Hoster schalten eine 2FA-Ebene vor wp-admin. Wo verfügbar, ist das bequem, lässt sich bei einem Hosterwechsel aber nicht mitnehmen.
• Single Sign-on. Größere Teams können WordPress-Logins über einen Identitätsanbieter leiten, der 2FA erzwingt. Stark, aber mehr Einrichtungsaufwand, als die meisten kleinen Websites brauchen.
• HTTP-Basic-Auth für wp-admin. Das ergänzt ein zweites Passwort, keinen zweiten Faktor. Es bremst Bots, aber eine geleakte Passwortliste kann beide enthalten.

Wenn du selbst etwas schreibst, musst du das Geheimnis jedes Benutzers verschlüsselt speichern, Codes mit einer kleinen Zeitabweichung prüfen, den Code-Schritt begrenzen, Wiederherstellungscodes erzeugen und Admins ein Zurücksetzen ermöglichen. Das ist viel sicherheitskritischer Code, den du allein pflegen müsstest.

Wenn etwas schiefgeht

• Der Code ist immer „ungültig“. Prüfe die Uhrzeit auf deinem Handy. TOTP hängt von der Uhr ab; aktiviere die automatische Uhrzeit in den Einstellungen deines Handys.

• Du hast dein Handy verloren. Nutze einen Wiederherstellungscode auf der Code-Seite. Jeder Code funktioniert einmal.

• Keine Wiederherstellungscodes mehr. Füge diese Zeile in die wp-config.php ein:

  define( 'GATEKEEPER_2FA_DISABLE', true );
  

  Melde dich an, richte 2FA auf deinem neuen Handy neu ein, sichere die neuen Codes und entferne die Zeile dann wieder.

• Ein anderer Admin kann helfen. Ein Administrator kann 2FA für dein Konto in deinem Benutzerprofil zurücksetzen.

Die vollständige Anleitung findest du unter Ausgesperrt nach dem Ändern der Login-URL.

Mit Hushfort

Zwei-Faktor gehört zu Hushfort Pro, dem kostenpflichtigen Add-on zu Hushfort Security, dem kostenlosen WordPress-Sicherheitsplugin.

Die Zwei-Faktor-Ebene von Hushfort nutzt TOTP und funktioniert daher mit jeder Authenticator-App.

• Der QR-Code wird lokal erzeugt. Dein Geheimnis verlässt nie deinen Server.
• Jeder Benutzer richtet 2FA in seinem eigenen Profil ein; Administratoren können es zurücksetzen.
• Wiederherstellungscodes lassen sich herunterladen oder ausdrucken.
• Geheimnisse werden verschlüsselt gespeichert (AES-256 mit HMAC-Prüfung).
• Ändern sich deine WordPress-Sicherheits-Salts, schaltet sich 2FA nicht stillschweigend ab. Betroffene Benutzer melden sich mit einem Wiederherstellungscode an und werden gebeten, 2FA neu einzurichten. Du kannst in der wp-config.php auch einen separaten Schlüssel festlegen, GATEKEEPER_2FA_KEY (32 Zeichen oder mehr), damit die Salts keine Rolle spielen.
• Falsche Codes zählen zu den Login-Limits.