Wie man die Zwei-Faktor-Authentifizierung (2FA) in WordPress mit dem WP 2FA Plugin implementiert

Jeder, der versucht, auf sein WordPress-Konto zuzugreifen, muss seinen Benutzernamen und sein Passwort eingeben, um sich anzumelden. Diese Methode der Authentifizierung bietet in der Regel ein gutes Maß an Sicherheit, wenn das Kennwort den bewährten Sicherheitsverfahren entspricht. Sie können jedoch noch mehr Sicherheit erreichen, indem Sie Ihre Benutzer auffordern, sich mit 2FA bei WordPress anzumelden. 

In diesem Tutorial werden wir verschiedene Vorteile von 2FA erörtern und wie Sie 2FA in Ihre eigene Website einbauen können.

Was ist 2FA in WordPress?

Viele Benutzer wählen aus Bequemlichkeit einige leicht zu merkende (und angreifbare) Passwörter. Dies kann ein großes Sicherheitsrisiko darstellen. Benutzerdaten können auch durch einen Exploit oder einen Angriff gestohlen werden. Als Website-Besitzer sollten Sie versuchen, Vorkehrungen zu treffen, die die negativen Auswirkungen dieser Risiken abschwächen können. Eine solche Vorsichtsmaßnahme ist die Zwei-Faktor-Authentifizierung oder 2FA für WordPress.

Die Authentifizierung eines Benutzers, die sich nur auf seinen Benutzernamen und sein Kennwort stützt, ist eine Ein-Faktor-Authentifizierung. Bei der Zwei-Faktor-Authentifizierung müssen die Benutzer ihre Identität mit zwei verschiedenen Authentifizierungsfaktoren überprüfen. Der Begriff 2FA ist die Abkürzung für Zwei-Faktor-Authentifizierung. 

Der erste Faktor ist in der Regel die Kenntnis des Benutzernamens und des Passworts. Der zweite Faktor basiert in der Regel auf dem Besitz eines Geräts oder einer E-Mail-Adresse usw. Dieses Gerät oder diese E-Mail-Adresse erhält einen einmalig gültigen Link oder Code, um die Benutzerauthentifizierung abzuschließen.

Die wichtigsten Vorteile der 2FA-Authentifizierung

Einer der größten Vorteile der Verwendung von 2FA für WordPress ist die zusätzliche Sicherheit, die sie bietet. Diese zusätzliche Sicherheit kommt in Form von Schutz vor angreifbaren Passwörtern, Diebstahl von Anmeldeinformationen und Phishing. Sehen wir uns an, wie 2FA zusätzliche Sicherheit für eine Website bieten kann, bei der die Kombination aus Benutzernamen und Passwort die einzige Authentifizierungsmethode ist.

1. Schutz vor angreifbaren Passwörtern

Nicht jeder verwendet lange Kennwörter, die alle möglichen zufälligen Buchstaben, Zahlen und Sonderzeichen enthalten. Ein Grund für dieses Verhalten ist, dass komplexe Kennwörter schwer zu merken sind und Tools zur Verwaltung von Kennwörtern in der breiten Bevölkerung nicht weit verbreitet sind.

Das bedeutet, dass die Benutzer einer Website wahrscheinlich ein kurzes und leicht zu merkendes Passwort verwenden werden. Einige Beispiele für solche Passwörter sind pa$$word, passw0rd, qwerty usw. Solche Passwörter sind für böswillige Akteure leicht zu knacken. Sie versuchen dies in der Regel mit einem Brute-Force-Angriff.

Bei einem Brute-Force-Angriff versucht der Angreifer, sich Zugang zu verschaffen, indem er Benutzernamen und/oder Kennwörter durch Ausprobieren errät. Es gibt viele Ansätze, die der Angreifer wählen kann. Zwei Beispiele wären das Ausprobieren aller möglichen Kombinationen nacheinander oder das Durchgehen einer Liste häufig verwendeter Passwörter.

Mit 2FA kann sich eine böswillige Person nicht bei einem Ihrer Benutzerkonten anmelden, selbst wenn sie das Passwort richtig erraten konnte. Der Grund dafür ist, dass er die Anmeldeanforderung immer noch authentifizieren muss. Dies geschieht in der Regel entweder durch die Eingabe eines einmaligen Codes, den ein Benutzer mit 2FA auf seinem Gerät oder seiner E-Mail-Adresse erhält, oder durch die Genehmigung der Anmeldung über eine Push-Benachrichtigung von einer bestimmten App wie Authy.

Sie sollten die Nutzer Ihrer Website auch daran erinnern, dass die Einführung von 2FA keine Entschuldigung dafür ist, keine sicheren Passwörter mehr zu verwenden. Idealerweise sollte ihr Passwort immer noch schwer zu erraten oder zu knacken sein. Eine Möglichkeit, die Verwendung sicherer Passwörter zu erzwingen, ist die Installation des Melapress Login Security Plugins. Es bietet noch weitere Vorteile, wie die Möglichkeit, die URL der Anmeldeseite zu ändern, fehlgeschlagene Anmeldeversuche zu begrenzen und vieles mehr.

2. Schutz vor Diebstahl von Zugangsdaten

Eine Datenpanne, die zur Offenlegung von Benutzerdaten führt, kann dazu führen, dass jemand unbefugten Zugang zu den Konten Ihrer Benutzer erhält. Ein sicheres Passwort hilft in diesem Fall nicht weiter.

Es ist auch üblich, dass Menschen dieselben Passwörter auf mehreren Websites verwenden. Das bedeutet, dass böswillige Akteure Zugang zu den Anmeldedaten von Nutzern auf Ihrer Website haben könnten, selbst wenn der Diebstahl woanders stattfand.

2FA kann jedoch immer noch verhindern, dass böswillige Akteure Zugriff auf die Konten Ihrer Benutzer erhalten.

3. Schutz vor Phishing

Nicht jeder auf Ihrer Website registrierte Benutzer ist möglicherweise technisch sehr versiert. Solche Benutzer können ein leichtes Ziel für Phisher werden, die eine Website erstellen, die Ihrer ursprünglichen Website sehr ähnlich ist. Ahnungslose Benutzer geben dann wahrscheinlich ihre Anmeldedaten auf diesen Websites ein.

Sobald die böswilligen Akteure Zugang zu den Anmeldedaten des Benutzers haben, können sie diese verwenden, um Zugriff auf das Benutzerkonto auf Ihrer Website zu erhalten. Die Aktivierung von 2FA verhindert den Zugriff auf Benutzerkonten, deren Anmeldedaten unwissentlich durch einen Phishing-Angriff weitergegeben wurden.

4. Konto Wiederherstellung

Ein weiterer Vorteil der 2FA ist, dass sie den Nutzern helfen kann, den Zugang zu ihren Konten wiederzuerlangen, wenn sie ihre Anmeldedaten verlieren oder vergessen. Sie müssen lediglich ihre Identität mit einer alternativen Authentifizierungsmethode verifizieren, die sie bei der Einrichtung der 2FA registriert haben.

Wie funktioniert 2FA und welche Arten von 2FA gibt es?

Wie bereits erwähnt, steht 2FA für Zwei-Faktor-Authentifizierung, d. h. es werden zwei verschiedene Authentifizierungsfaktoren verwendet, um den Benutzern Zugang zu ihren Konten zu gewähren.

Einer dieser Faktoren ist die Kenntnis des Benutzernamens und des Passworts des Nutzers. Dies ist die einzige Authentifizierungsmethode, die die meisten Websites standardmäßig verwenden. Sie geht davon aus, dass nur die Benutzer ihre Anmeldedaten kennen.

Der andere Faktor basiert in der Regel auf dem Besitz eines Gegenstands oder Objekts durch den Nutzer. Dies kann alles Mögliche sein, z. B. ein Smartphone oder eine E-Mail-Adresse. Sobald 2FA aktiviert ist, muss der Nutzer normalerweise einen Passcode eingeben. Er kann ihn per SMS, über eine App auf seinem Smartphone oder in einer E-Mail an seine E-Mail-Adresse erhalten. Sie könnten auch eine Push-Benachrichtigung erhalten, in der sie um eine Anmeldegenehmigung gebeten werden, wenn sie diese 2FA-Methode gewählt haben. 

Dabei wird davon ausgegangen, dass ein böswilliger Akteur selbst dann, wenn die Anmeldedaten eines Benutzers gestohlen oder offengelegt werden, nicht in der Lage ist, auf das Konto des Benutzers zuzugreifen, da er keinen Zugriff auf das Gerät oder die E-Mail-Adresse hat, die den Passcode oder die Push-Benachrichtigung für den zweiten Authentifizierungstest erhält.

Die gängigsten 2FA-Methoden

1. Einmaliger Code aus einer 2FA-App

Die Nutzer erhalten von einer App einen einmaligen Code, den sie beim Einloggen eingeben müssen. Dieser Code ist für eine kurze Zeit gültig. Es gibt eine ganze Reihe von Apps, wie Authy, Google Authenticator, Microsoft Authenticator und FreeOTP, mit denen Nutzer 2FA einrichten können. Diese Apps sind ebenfalls kostenlos. Benutzer können sie herunterladen und verwenden, ohne etwas zu bezahlen.

WP 2FA unterstützt alle wichtigen Authentifizierungsanwendungen. Wenn einige Ihrer Nutzer bereits eine Authentifizierungs-App verwenden, können sie damit einfach die vorhandene App weiter nutzen, anstatt von vorne anzufangen.

2. Link oder OTP per E-Mail

Sie können den Benutzern auch die Möglichkeit geben, einen Link oder einen OTP (One-Time Passcode) per E-Mail anzufordern, um sich zu authentifizieren. Sowohl der Link als auch das OTP sind nur für einen begrenzten Zeitraum gültig.

Mit dem WP 2FA-Plugin können Sie die Gültigkeitsdauer des Links und des Einmalcodes unabhängig voneinander festlegen.

Wenn Sie diese Methode aktivieren, empfehlen wir Ihnen dringend, die Zustellbarkeit von E-Mails für Ihre WordPress-Website sicherzustellen. Die Benutzer können sich erst dann authentifizieren, wenn sie eine E-Mail von Ihnen erhalten haben.

3. Einmaliger Code per SMS

Eine weitere 2FA-Methode besteht darin, Ihren Nutzern zur Authentifizierung einen einmaligen Code per SMS zu senden. WP 2FA ermöglicht es Ihnen, dies mit Hilfe des SMS-Zustelldienstes Twilio einzurichten. 

Ein Vorteil dieser Methode ist, dass Ihre Nutzer keine Apps installieren müssen. Ein weiterer Vorteil ist, dass die Nutzer kein Smartphone oder ein Telefon mit Internetanschluss benötigen. Jedes einfache Telefon, das SMS empfangen kann, funktioniert einwandfrei.

4. Push-Benachrichtigungen

Bei dieser Methode müssen die Nutzer auf eine Push-Benachrichtigung in einer App wie Authy tippen, um den Zugriff auf ihr Konto zu genehmigen. Dadurch wird die Authentifizierung erfolgreich abgeschlossen.

Eine App kann eine Push-Benachrichtigung senden, auch wenn sie nicht im Vordergrund läuft. Dadurch wird die Authentifizierung über Push-Benachrichtigungen etwas benutzerfreundlicher, da die Nutzer nicht mehr explizit eine App starten und dann einen Code eingeben müssen. Sie können einfach auf die Push-Benachrichtigung klicken, die zur Authentifizierung angezeigt wird.

Sie sollten beachten, dass alle diese 2FA-Methoden voraussetzen, dass der Benutzer entweder im Besitz seines Geräts oder seiner E-Mail-Adresse ist.

Nehmen wir an, die Nutzer können ihre Identität sowohl durch die Kenntnis der Kombination aus Benutzername und Kennwort als auch durch den Besitz eines Geräts oder einer E-Mail-Adresse nachweisen. Dadurch erhöht sich die Wahrscheinlichkeit, dass sie die rechtmäßigen Besitzer ihrer Konten sind und nicht jemand, der versucht, sich mit gestohlenen Zugangsdaten Zugang zu verschaffen, erheblich.

Wie man die WordPress 2FA-Authentifizierung implementiert

Wir werden nun besprechen, wie Sie Ihrer WordPress-Website mit dem WordPress WP 2FA-Plugin eine Zwei-Faktor-Authentifizierung hinzufügen können. Dieses Plugin verfügt über eine Vielzahl von Funktionen. Zum Beispiel unterstützt es mehrere 2FA-Methoden, Backup-2FA-Methoden, vollständig bearbeitbare E-Mail-Vorlagen, WooCommerce-Integration mit einem Klick, die Möglichkeit, vertrauenswürdige Geräte hinzuzufügen, und vieles mehr.

Wir werden mit der Installation des Plugins beginnen. Sie sollten eine E-Mail von MelaPress mit dem Lizenzschlüssel und einem Link zum Download des Plugins erhalten haben, nachdem Sie Ihren Kauf abgeschlossen haben. Sobald Sie das Plugin auf Ihrer Website installiert haben, müssen Sie den Lizenzschlüssel eingeben, um das Plugin zu aktivieren.

Sie können nun vom WordPress-Admin-Dashboard aus zu WP 2FA > 2FA-Richtlinien navigieren. WP 2FA ermöglicht es Ihnen, 2FA durch konfigurierbare Richtlinien einzusetzen. Diese Richtlinien bestimmen, wie und wann 2FA durchgesetzt werden soll. Es ist auch möglich, 2FA für alle Benutzer oder nur für bestimmte Benutzer oder Benutzerrollen zu erzwingen.

Angenommen, Sie möchten 2FA für alle Benutzer außer einem erzwingen. Sie können diesen Benutzer als Ausnahme angeben, indem Sie den Benutzernamen dieses bestimmten Benutzers unter Folgende Benutzer ausschließen eingeben. Sie können auch bestimmte Rollen von der erzwungenen Implementierung von 2FA ausschließen, indem Sie die Eingabe Folgende Rollen ausschließen verwenden.

Es ist wichtig, dass die Benutzer und Rollen, die Sie von der 2FA ausschließen, tatsächlich auf der Website existieren.

Als Nächstes können Sie festlegen, welche 2FA-Methoden den Benutzern zur Verfügung stehen, z. B. ein einmaliger Code über eine 2FA-App, ein Link oder ein OTP, der per E-Mail gesendet wird, ein einmaliger Code, der per SMS oder über Push-Benachrichtigungen gesendet wird.

 Diese 2FA-Methoden und andere Konfigurationseinstellungen sind standardmäßig standortweit anwendbar. Das bedeutet, dass sie auf alle Benutzerrollen anwendbar sind. Sie können auch eine separate Konfiguration für verschiedene Rollen, wie z. B. Redakteur, Autor, Mitwirkender, Abonnent usw., vornehmen, indem Sie ein Kontrollkästchen mit der Aufschrift Verschiedene 2FA-Einstellungen für diese Benutzerrolle konfigurieren aktivieren , wie unten gezeigt.

Wir haben den Nutzern in diesem Tutorial drei Methoden zur Verfügung gestellt, um 2FA über das WP 2FA-Plugin zu konfigurieren. Mit dem Plugin können Sie zwei weitere Methoden konfigurieren - Push-Benachrichtigung über die Authy-App und einmaliger Code per SMS über Twilio. Sie erfordern jedoch die Integration mit Diensten von Drittanbietern.

Alle Benutzer, die unter die Kriterien der 2FA-Anforderung fallen, erhalten beim nächsten Anmeldeversuch die folgende Aufforderung.

Standardmäßig erhalten die Nutzer eine Frist von 3 Tagen, um 2FA einzurichten, bevor ihre Konten gesperrt werden. Sie können WP 2FA auch so einstellen, dass die Nutzer gezwungen werden, 2FA sofort zu konfigurieren oder eine längere Frist zu gewähren.

Das ist alles, was Sie tun müssen, um die Zwei-Faktor-Authentifizierung auf Ihrer Website mit Hilfe des WP 2FA-Plugins zu nutzen.

Hier ist der Konfigurationsassistent, der die Benutzer auffordert, eine 2FA-Methode auszuwählen. Sie haben vielleicht bemerkt, dass dies dieselben Methoden sind, die wir zuvor in den Richtlinieneinstellungen des WP 2FA-Plugins aktiviert haben.

 Die Benutzer können die Konfiguration nach ihren Wünschen vornehmen.

Wenn sie sich für die Verwendung eines Einmalcodes über 2FA-Apps als Authentifizierungsmethode entscheiden, müssen sie eine der frei verfügbaren 2FA-Anwendungen wie Google Authenticator, Microsoft Authenticator, Authy usw. verwenden. Danach müssen sie einen QR-Code innerhalb der App scannen. Schließlich können sie den Authentifizierungscode eingeben, um die Einrichtung abzuschließen.

Bei den beiden anderen Methoden müssen die Nutzer ihre E-Mail-Adresse durch einen einmaligen Code verifizieren. Dabei handelt es sich um die E-Mail-Adresse, die sie für die Registrierung eines Kontos auf Ihrer Website verwendet haben. Es ist auch möglich, dass die Benutzer eine andere E-Mail-Adresse für die Authentifizierung angeben. Sie müssen diese Option jedoch bei der Konfiguration der 2FA-Richtlinien für Ihre Website unter WP 2FA > 2FA-Richtlinien aktivieren.

Erhöhte Konfigurationsoptionen in WP 2FA

Es gibt einige Funktionen in WP 2FA, die die Einrichtung der Zwei-Faktor-Authentifizierung für Sie und Ihre Nutzer noch besser machen können. Werfen wir einen Blick auf einige von ihnen.

Weiße Beschriftung

Das WP 2FA-Plugin führt die Benutzer durch einen benutzerfreundlichen Einrichtungsassistenten, um ihre Authentifizierungsmethode zu konfigurieren. Dieser Einrichtungsassistent hilft den Nutzern, ihre Präferenzen für 2FA festzulegen. Dazu gehört auch die Methode, die sie für 2FA verwenden möchten.

Das WP 2FA-Plugin gibt Ihnen die Möglichkeit, das Styling der 2FA-Code-Seite, auf der die Benutzer die Authentifizierung abschließen, umfassend anzupassen. Außerdem können Sie die Meldungen auf verschiedenen Bildschirmen, wie dem Willkommensbildschirm und dem Bildschirm zur Auswahl der 2FA-Methode, anpassen. Auf diese Weise können Sie das Design und den Ton des 2FA-Einrichtungsassistenten vollständig auf den Rest der Website abstimmen.

WP 2FA ermöglicht es Ihnen auch, die Hintergrundfarbe zu ändern, Ihr Logo hinzuzufügen, den Standardtext zu aktualisieren usw., um die 2FA-Code-Seite zu gestalten.

Sie können die Schriftart, die Farbe der Schaltflächen und den Text der Schaltflächen ändern und sogar ein eigenes Design für den Codeeingabebildschirm erstellen.

Für dieses Lernprogramm haben wir nur zwei Änderungen an den Standardeinstellungen vorgenommen. Wir haben den Hintergrund des Codeeingabebildschirms auf weiß geändert und unser eigenes benutzerdefiniertes Logo hinzugefügt. Die Benutzer sehen den folgenden Bildschirm, wenn das Plugin sie zur Eingabe ihres 2FA-Codes auffordert.

Personen, die mit dem Schreiben eigener CSS vertraut sind, können auch andere visuelle Aspekte des Authentifizierungsbildschirms anpassen.

Vertrauenswürdige Geräte

Standardmäßig erfordert die WP 2FA-Konfiguration, dass die Benutzer bei jeder Anmeldung einen Authentifizierungscode eingeben. Ihre Nutzer werden sich in der Regel von denselben Geräten anmelden, die sie aktiv nutzen. WP 2FA bietet Ihnen die Möglichkeit, diese Geräte als vertrauenswürdige Geräte zu kennzeichnen.

Auf diese Weise müssen die Nutzer nicht jedes Mal einen 2FA-Zugangscode eingeben, wenn sie sich anmelden wollen. Diese Funktion verbessert die Benutzerfreundlichkeit, ohne die Kontosicherheit zu beeinträchtigen.

Angenommen, ein bösartiger Akteur hat Zugang zu den Anmeldedaten eines Ihrer Benutzer und versucht, sich anzumelden. Wenn er keinen Zugriff auf das Gerät des Benutzers hat, wird er ein anderes Gerät verwenden, um sich anzumelden. Dieses andere Gerät wird kein vertrauenswürdiges Gerät sein, so dass der Benutzer aufgefordert wird, den Authentifizierungscode einzugeben.

Mit anderen Worten: Die Benutzerkonten werden fast das gleiche Sicherheitsniveau haben, während der Authentifizierungsprozess gleichzeitig benutzerfreundlicher wird.

Sie können die Option zum Speichern eines Geräts aktivieren, indem Sie im Admin-Dashboard zu WP 2FA > 2FA-Richtlinien navigieren. Sie können festlegen, wie lange WP 2FA sich ein Gerät merken soll. WP 2FA merkt sich Benutzer mit Hilfe eines Browser-Cookies und ihrer IP-Adresse.

Sie können auch festlegen, ob das Plugin die Benutzer zur Eingabe eines Codes auffordern soll, wenn ein Cookie nicht gefunden wird oder sich die IP-Adresse ändert. Dies bietet ein wenig mehr Sicherheit im Vergleich zu einer Prüfung auf fehlende Cookies.

Sicherungsmethoden

Unter bestimmten Umständen können sich Nutzer nicht über eine App oder einen per SMS erhaltenen Einmalcode authentifizieren. Sie könnten zum Beispiel gerade nicht in der Nähe ihres Telefons sein, oder der Akku ihres Telefons könnte leer sein. In solchen Fällen ist es besser, ihnen die Möglichkeit zu geben, ihre Identität über einen alternativen 2FA-Modus zu überprüfen, als sie auszusperren.

WP 2FA geht mit dieser Situation um, indem es Nutzern die Möglichkeit gibt, sich mit E-Mail-basierter 2FA zu authentifizieren, falls ihre primäre 2FA-Methode nicht funktioniert. Als sekundäre Backup-Methode gilt sie nur für Nutzer, die Apps auf ihren Smartphones verwenden, um 2FA abzuschließen.

Benutzer können auch eine Liste von Backup-Codes über WP 2FA erstellen, um die Authentifizierung zu vervollständigen, wenn sie sich nicht über eine 2FA-App authentifizieren können. Ein einzelner Backup-Code kann nur einmal verwendet werden. WP 2FA stellt Nutzern jeweils 10 dieser Backup-Codes zur Verfügung. Benutzer haben die Möglichkeit, sie herunterzuladen, auszudrucken oder per E-Mail zu erhalten.

Einige Benutzer verlassen sich möglicherweise auf E-Mails oder Einmalcodes per SMS als primäre Authentifizierungsmethode. In diesem Fall können sie immer noch Backup-Codes zur Anmeldung verwenden. Beachten Sie, dass diese Backup-Codes sekundäre Authentifizierungsmethoden sind. Die Benutzer können sie nicht als primäre Authentifizierungsmethoden verwenden. 

Mit diesen Backup-Authentifizierungsmethoden ist die Wahrscheinlichkeit, dass Nutzer aus ihren Konten ausgesperrt werden, sehr gering.

2FA für Benutzer ohne Zugriff auf das WordPress-Dashboard

Bei einigen WordPress-Konfigurationen haben Benutzer möglicherweise keinen Zugriff auf das WordPress-Dashboard. Ein Grund dafür könnte sein, dass die Website eine benutzerdefinierte Benutzerprofilseite verwendet. WP 2FA berücksichtigt diesen Umstand und gibt Ihnen die Möglichkeit, eine Seite einzurichten, auf der Benutzer ihre 2FA-Einstellungen konfigurieren können.

Wir haben einen kurzen Überblick über einige der nützlichen, aber optionalen Funktionen von WP 2FA gegeben, wie zum Beispiel vertrauenswürdige Geräte, White Labeling und Backup-Methoden. WP 2FA umfasst viele weitere Funktionen, die dieses Plugin zu einem Muss machen, wenn Sie die Sicherheit Ihrer WordPress-Website verbessern möchten.