Suchst du nach einer Möglichkeit, den Schutz deiner Website zusätzlich zu verstärken? Die Zwei-Faktor-Authentifizierung (2FA) ist möglicherweise die beste Lösung. 2FA kann zusammen mit deinen herkömmlichen Anmeldedaten verwendet werden, um es unbefugten Nutzern noch schwerer zu machen, sich bei deinem Konto anzumelden (selbst wenn sie dein Passwort haben).
Sehen wir uns an, warum die Aktivierung von 2FA die Sicherheit deiner Website verbessert und wie sie Hacker aufhalten kann.
Ein Hackerangriff hat weitreichende Folgen
Mithilfe komplexer Algorithmen, Social Engineering und anderer Werkzeuge können Hacker in verwundbare Websites eindringen und böswillige Handlungen ausführen. Diese können vom Linkaufbau mit Blackhat-Methoden (dem Erstellen von Backlinks zu den eigenen Websites) und dem Ersetzen von Affiliate-Links über das Hinzufügen von Schadcode, das Beeinträchtigen der Funktionalität beliebiger installierter WordPress-Plugins und das Erzeugen von Spam-Inhalten bis zur Weiterleitung deiner WordPress-Nutzer auf schädliche Websites reichen.
Die meisten dieser Aktivitäten sind nur schwer zu erkennen, es sei denn, du überwachst deine Website ständig mit einem leistungsfähigen WordPress-Sicherheits-Plugin. Werden diese Sicherheitslücken nicht erkannt und behoben, können sie zu schlechteren Suchmaschinen-Rankings und dazu führen, dass deine Website von Antiviren-Dienstleistern auf die schwarze Liste gesetzt wird, wodurch der Zugriff auf deine Inhalte, deinen Blog, deinen WooCommerce-Shop oder deine Unternehmenswebsite effektiv blockiert wird.
Anschließend musst du Malware und Spam auf deiner Website manuell beseitigen und gleichzeitig Einspruch gegen die Sperre einlegen oder eine Agentur dafür bezahlen.
Die Sicherheit einer Website ist mehr als nur ein gutes Passwort
Je weiter sich Hacker und Cyberkriminelle entwickeln, desto weniger reichen herkömmliche Benutzernamen und Passwörter aus, um deine Website zu schützen (insbesondere, wenn du Passwörter für mehrere Konten wiederverwendest). Selbst wenn du überall, wo du dich anmeldest, sichere Passwörter verwendest (und das tun die meisten Menschen nicht!), müssen Passwortdaten irgendwo gespeichert werden. Wird dieser Server kompromittiert, können deine Anmeldedaten für alle sichtbar offengelegt werden. Selbst wenn die Daten geheim bleiben, können Websites, die unbegrenzt viele Anmeldeversuche zulassen, dein Passwort durch bloßes Ausprobieren an Angreifer verraten.
Grundsätzlich gelten Passwörter, wie sicher sie auch sein mögen, als sogenannte Authentifizierung in einem „einzigen Schritt“. Du gibst dein Passwort auf der Anmeldeseite ein und die Website lässt dich hinein. Dadurch entsteht ein einzelner Ausfallpunkt.
Das Hinzufügen eines zusätzlichen Authentifizierungs schritts fügt eine weitere Sicherheitsebene hinzu. Zwei Passwörter sind besser als eines, oder? Nun, nicht wirklich, denn alle Schwachstellen sind bei zwei Passwörtern dieselben wie bei einem – es dauert möglicherweise nur etwas länger, diese Zugangsdaten zu knacken.
Um die Anmeldesicherheit wirklich sinnvoll zu verbessern, müssen wir anfangen, in Form von Faktoren. Dabei handelt es sich um völlig unterschiedliche Kategorien von Authentifizierungsmethoden, die keine sich überschneidenden Schwachstellen aufweisen und sich grob in drei Definitionen einteilen lassen:
- Etwas, das du bist: Faktoren, die für dich einzigartig sind, z. B. Fingerabdrücke, Face ID oder sogar DNA. Diese sind natürlich sehr schwer zu fälschen und können niemals verloren gehen oder vergessen werden.
- Etwas, das du hast: Traditionell (zumindest im digitalen Sinne) war damit ein Schlüsselanhänger mit Token oder ein anderes spezielles HOTP-Authentifizierungsgerät gemeint. Heute bedeutet es jedoch meist, etwas auf deinem Mobiltelefon zu verwenden, auf das du zugreifen kannst, wenn du tatsächlich dein Telefon zur Hand hast, z. B. einen Telefonanruf, einen Passcode in einer Textnachricht, eine Push-Benachrichtigung oder eine mobile App wie Authy oder Google Authenticator. All diese Optionen stellen den Nutzern ein Einmalpasswort (OTP) bereit, das sie innerhalb eines festgelegten Zeitraums eingeben müssen, um den Anmeldevorgang abzuschließen.
- Etwas, das du weißt: Dabei handelt es sich im Allgemeinen um ein Passwort, aber auch um Sicherheitsfragen zum Namen deines ersten Haustiers, zu der Straße, in der du aufgewachsen bist, und Ähnlichem. Wenn du Sicherheit auf diese Weise betrachtest, wird deutlich, dass „Sicherheitsfragen“ den entscheidenden zweiten Faktor nicht wirklich enthalten, da sie lediglich eine andere Art von Passwort sind. Deshalb gibt es eine weitreichende Umstellung auf 2FA.
Das Ergebnis davon ist: Wenn es um die Zwei-Faktor-Authentifizierung bei WordPress geht (es sei denn, du hast irgendwie eine DNA-Datenbank deiner Kunden auf deiner WordPress-Website erstellt und gespeichert), werden Nutzer bei der Anmeldung bei 2FA-fähigen Konten aufgefordert, eine zusätzliche Information einzugeben – in der Regel einen sechsstelligen TOTP-Bestätigungscode –, der von einem Gerät wie ihrem Smartphone generiert wird.
Sobald du 2FA für dein Benutzerprofil implementiert hast, kannst du wählen, ob du sie bei jeder Anmeldung verwenden oder den Code nur einmal alle 30 Tage eingeben möchtest.
Verhindere den Hackerangriff, bevor er passiert
Die Aktivierung von 2FA kann dir viel Zeit, Ärger und Arbeit ersparen. Durch 2FA wird die Wahrscheinlichkeit minimiert, dass jemand anderes deine WordPress-Anmeldedaten verwendet, um deine Website zu übernehmen, da sich ohne die von deinem eigenen Gerät generierten Bestätigungscodes niemand bei deinen Konten anmelden kann. Dieses Gerät befindet sich wahrscheinlich jederzeit in Reichweite (insbesondere, wenn es dein Telefon ist).
2FA sorgt zusammen mit Jetpack für Spam-Filterung und Schutz vor Brute-Force-Angriffen, sodass du und die Besucher deiner Website vor einer Vielzahl von Cyberangriffen geschützt bleiben und deine Website so erleben, wie du es vorgesehen hast.
Aktiviere 2FA mit Secure Sign On
Durch die Aktivierung von WordPress.com Secure Sign On kannst du dich mithilfe deiner WordPress.com-Anmeldedaten sicher und schnell für selbst gehostete WordPress.org-Websites registrieren und dort anmelden.
Besuche die WordPress.com Zwei-Schritt-Authentifizierung Seite, um 2FA in deinem Konto zu konfigurieren. Du wirst aufgefordert, deine Telefonnummer anzugeben, um deine Identität zu bestätigen (per SMS oder mit einer Authentifizierungs-App wie Duo, Authy oder der Google Authenticator-App; all diese Optionen sind sowohl auf iPhone als auch auf Android verfügbar).
Wenn du dich für die Bestätigung per SMS entscheidest, wird auf deinem Telefon ein siebenstelliger Code angezeigt. Gib diese Nummer in das entsprechende Feld des Anmeldeformulars ein und klicke auf Aktivieren.
Wenn Sie sich über eine Authenticator-App verifizieren möchten, scannen Sie den auf dem Bildschirm angezeigten QR-Code mit Ihrer Authenticator-App. Anschließend wird ein sechsstelliger Code angezeigt, der sich als zusätzliche Sicherheitsmaßnahme automatisch erneuert. Geben Sie diesen in das dafür vorgesehene leere Feld ein und klicken Sie auf Aktivieren.
Sobald Sie 2FA für Ihr WordPress-Konto aktivieren, werden Sie aufgefordert, eine Kopie Ihrer Sicherungscodes. Mit diesen Codes können Sie sich wieder bei Ihrem Konto anmelden, falls Ihre Authenticator-App nicht funktioniert oder Ihr Gerät verloren geht.
Lassen Sie Ihre Website nicht in die falschen Hände geraten
Wenn es Equifax, Uber und Yahoo! passieren kann, kann es jedem passieren. Schützen Sie Ihre Website davor, Opfer böswilliger Angriffe zu werden, indem Sie die Zwei-Faktor-Authentifizierung aktivieren, um eine zusätzliche Schutzebene für die Inhalte hinzuzufügen, an deren Erstellung Sie so hart gearbeitet haben.
Welche anderen Sicherheitsmaßnahmen haben Sie auf Ihrer Jetpack-Website implementiert? Teilen Sie Ihre Tipps im Kommentarbereich!
Jetpack 