Bei Uptime reicht ein Code per E-Mail zur Anmeldung. Wer sein Konto zusätzlich schützen will, schaltet in den Einstellungen die Authenticator-App ein. Dieser Beitrag erklärt, wie das zusammenspielt und warum die Funktion „Diesen Browser merken“ so eng gefasst ist.
Wie die Anmeldung dann abläuft
- Du gibst den Code aus der E-Mail ein.
- Statt der Anmeldung folgt eine zweite Abfrage: der Code aus deiner Authenticator-App. Sie gilt fünf Minuten, bei höchstens fünf Versuchen.
- Ein bereits verwendeter App-Code lässt sich nicht noch einmal verwenden, auch nicht in einer anderen Anmeldung. Nach fünf Fehlversuchen pro Konto innerhalb von fünf Minuten wird gewartet.
Die zweite Prüfung wird pro Konto eingeschaltet, nicht automatisch für alle. Bei der Einrichtung scannst du einen QR-Code und erhältst zehn Wiederherstellungscodes, mit denen du dich anmelden kannst, falls das Telefon fehlt.
Warum ein zweiter Faktor überhaupt
Wer dein Postfach kontrolliert, kann sich mit dem E-Mail-Code anmelden. Der zweite Faktor kommt aus einem anderen Gerät und einer anderen Quelle. OWASP nennt Mehrfaktor-Anmeldung in seinem Merkblatt als wirksamste Verteidigung gegen die Mehrzahl der Angriffe auf Passwörter, darunter Credential Stuffing und Password Spraying.
Bequemlichkeit mit Grenzen: Diesen Browser merken
Jedes Mal einen App-Code einzutippen, ist auf dem eigenen Rechner lästig. Deshalb gibt es beim App-Code ein Häkchen „Diesen Browser 30 Tage merken“. Es ist standardmäßig nicht gesetzt. Folgendes gilt, wenn du es setzt:
- Der Browser bekommt ein Cookie, das für Skripte unlesbar ist (HttpOnly), nur bei Anfragen von derselben Website mitgeschickt wird (SameSite=Strict) und bei HTTPS zusätzlich als Secure markiert ist.
- Es gilt genau 30 Tage und wird nicht verlängert, auch nicht bei jeder Anmeldung.
- Es ersetzt nur die App-Abfrage. Den E-Mail-Code brauchst du weiterhin.
- Es entsteht nur, wenn du dich mit dem App-Code angemeldet hast, nicht mit einem Wiederherstellungscode. Ein Notfallweg soll keine dauerhafte Abkürzung hinterlassen.
- Abmelden hebt das Vertrauen nicht auf. Das ist gewollt, denn sonst wäre das Häkchen sinnlos.
Überblick und Widerruf
Unter Einstellungen → Sicherheit siehst du alle gemerkten Browser mit Bezeichnung, Datum des Merkens und Ablaufdatum; dein aktueller Browser ist markiert. Du kannst einzelne Browser oder alle vergessen. Bereits angemeldete Sitzungen bleiben dabei bestehen, aber jede weitere Anmeldung verlangt wieder den App-Code. Die Bezeichnung wird nur als Text angezeigt.
Sicherheitsänderungen wie das Abschalten der App oder neue Wiederherstellungscodes verlangen immer einen frischen App-Code oder einen unbenutzten Wiederherstellungscode. Ein gemerkter Browser genügt dafür nicht.
Stand
Die Zwei-Faktor-Anmeldung steht in jedem Konto bereit: Du schaltest sie in den Einstellungen unter Sicherheit ein.
