Wenn Sie dieses Jahr nur eine Sache tun, um Ihre WordPress-Website sicherer zu machen, richten Sie die Zwei-Faktor-Authentifizierung ein. Es ist die wirkungsvollste verfügbare Sicherheitsverbesserung, und sie kostet nichts außer ein paar Minuten pro Nutzer. Zwei-Faktor-Authentifizierung, auch 2FA oder MFA genannt, bedeutet, dass ein Passwort allein zum Anmelden nicht genügt. Der Nutzer benötigt zusätzlich einen Code von einem Telefon, einem Hardware-Schlüssel oder einem anderen zweiten Gerät, das der Angreifer nicht hat.
Brute-Force-Angriffe, Credential Stuffing, abgefischte Passwörter. Sie alle beruhen auf der Annahme, dass das Passwort genügt. 2FA bricht diese Annahme. Selbst wenn Ihr Passwort durchsickert, kann sich der Angreifer trotzdem nicht anmelden.
Die Bedrohung ohne 2FA
WordPress-Anmeldeseiten erhalten konstanten Brute-Force-Verkehr. Bots probieren Kombinationen aus Benutzernamen und Passwörtern aus vergangenen Datenlecks aus, oft Tausende Versuche pro Stunde gegen jede erreichbare Website. Wenn Ihr Passwort irgendwo im Internet in einem Datenleck aufgetaucht ist, steht es auf einer Liste, und diese Liste wird genutzt.
Ein starkes, einzigartiges Passwort ist gut. Ein starkes, einzigartiges Passwort plus 2FA ist enorm besser. Der zweite Faktor ist das, was einen Angreifer stoppt, der den ersten bereits erraten oder gestohlen hat.
Die Arten des zweiten Faktors
Es gibt drei Haupttypen des zweiten Faktors im gängigen WordPress-Einsatz.
Zeitbasierte Einmalpasswörter, oder TOTP, sind sechsstellige Codes, die sich alle dreißig Sekunden ändern und von einer App wie Google Authenticator, Authy oder 1Password erzeugt werden. Das ist die am breitesten unterstützte, leicht einzurichtende Variante und ein guter Standard für die meisten Websites und Nutzer.
Hardware-Sicherheitsschlüssel wie YubiKey sind physische USB- oder NFC-Geräte, die eine Herausforderung der Website signieren. Stärker als TOTP, weil sie nicht abgefischt werden können, aber sie erfordern den Kauf des Schlüssels. Für Administratoren hochwertiger Websites lohnenswert.
SMS-Codes, per Textnachricht gesendet. Die schwächste Option, anfällig für SIM-Swap-Angriffe, aber besser als nichts. Meiden Sie sie, wenn andere Optionen verfügbar sind.
Plugin-Auswahl
WordPress bringt keine eingebaute 2FA mit, aber mehrere seriöse Plugins fügen sie hinzu. Die etabliertesten Optionen sind Wordfence Login Security, das 2FA-Modul von Jetpack von WordPress.com und das eigenständige Plugin Two Factor, das von Kernbeitragenden gepflegt wird.
Für die meisten Business-Websites ist Wordfence Login Security eine sinnvolle Wahl, weil es 2FA mit Brute-Force-Schutz, Länderblockierung und Begrenzung von Anmeldeversuchen verbindet. Das Plugin Two Factor ist hervorragend, wenn Sie etwas Minimalistisches und Leichtgewichtiges bevorzugen. Welches Sie auch wählen, installieren Sie nur eines. Mehrere Sicherheits-Plugins zu stapeln, die alle die Anmeldungen verwalten wollen, ist eine Einladung für Probleme.
Der Ausrollplan
Wenn Ihre Website mehrere Nutzer hat, schalten Sie die verpflichtende 2FA nicht ohne vorherige Vorwarnung an alle ein. Menschen sperren sich aus. Tickets werden eröffnet. Senden Sie eine klare Mitteilung per E-Mail. Sagen Sie dem Team, was 2FA ist, warum Sie sie einschalten und welche Authenticator-App zu installieren ist.
Rollen Sie in Stufen aus. Beginnen Sie mit den Administratoren, die am meisten zu schützen haben. Fügen Sie als Nächstes Redakteure und Autoren hinzu. Konten auf Abonnenten-Ebene können meist bis später warten. Die meisten Plugins erlauben, 2FA pro Rolle statt für alle auf einmal zu verlangen.
Einen TOTP-Zweitfaktor einrichten
Der Einrichtungsablauf ist bei den meisten Plugins ähnlich. Melden Sie sich normal an, gehen Sie zu Ihrem Benutzerprofil, suchen Sie den Zwei-Faktor-Bereich und klicken Sie auf Aktivieren. Die Website zeigt einen QR-Code. Öffnen Sie Ihre Authenticator-App, scannen Sie den QR-Code, und ein neuer Eintrag erscheint in der App. Geben Sie den aktuellen sechsstelligen Code aus der App zur Bestätigung ein. Die Website schaltet den zweiten Faktor an.
Ab der nächsten Anmeldung fragt die Website nach Eingabe des Passworts nach dem aktuellen Code. Öffnen Sie die App, tippen Sie die sechs Ziffern, melden Sie sich an. Der gesamte Vorgang fügt jeder Anmeldung etwa zehn Sekunden hinzu.
Backup-Codes sind entscheidend
Wenn Sie 2FA aktivieren, bietet Ihnen das Plugin einen Satz Einmal-Backup-Codes an. Speichern Sie sie. Drucken Sie sie aus und bewahren Sie sie an einem sicheren Ort auf. Speichern Sie sie in Ihrem Passwortmanager. Ohne Backup-Codes sperren Sie sich, falls Sie Ihr Telefon verlieren, aus Ihrer eigenen Website aus, und der einzige Wiederherstellungsweg ist, Ihren Hoster oder Entwickler zu kontaktieren, damit er die 2FA für Ihr Konto manuell deaktiviert.
Backup-Codes sind auch nützlich für den Fall, dass Sie ohne Ihr Telefon reisen oder die Authenticator-App bei einer Gerätemigration gelöscht wurde.
Anwendungspasswörter für Integrationen
Manche Plugins, mobile Apps oder externe Integrationen verbinden sich über die REST-API mit WordPress und können keinen 2FA-Ablauf abschließen. Für diese unterstützt WordPress Anwendungspasswörter. Der Nutzer erzeugt aus seinem Profil eine einzigartige, lange Zeichenkette, auf eine einzige Anwendung beschränkt. Die Anwendung nutzt diese Zeichenkette anstelle eines Passworts, während das menschliche Konto für Browser-Anmeldungen weiterhin 2FA aktiviert hat.
Anwendungspasswörter sind sicherer, als die 2FA bei Konten zu deaktivieren, die Integrationen benötigen. Jedes ist einzeln widerrufbar, und sie geben der Integration keinen Zugriff auf das Dashboard.
Rotation und Aufräumen
2FA ist keine „Einrichten und Vergessen“-Funktion. Überprüfen Sie regelmäßig, wer sie aktiviert hat und auf welchem Gerät. Wenn ein Mitarbeiter oder Auftragnehmer geht, entfernen Sie sein Konto vollständig. Wenn ein Telefon ersetzt wird, setzen Sie dessen 2FA zurück, damit das alte Gerät keine gültigen Codes mehr erzeugen kann. Prüfen Sie Anwendungspasswörter jährlich und widerrufen Sie alle, die nicht mehr genutzt werden.
2FA für Ihren Passwortmanager und Ihr E-Mail-Konto
Die WordPress-2FA ist großartig, aber sie ist nicht das ganze Bild. Dieselbe Logik gilt für Ihren Passwortmanager, Ihr E-Mail-Konto und Ihren Domain-Registrar. Wenn eines davon nur durch ein Passwort geschützt ist, ist das Ihr schwaches Glied. Viele WordPress-Kompromittierungen beginnen mit einer Phishing-E-Mail, die den Inhaber dazu bringt, sich auf einer gefälschten Admin-Seite anzumelden, oder mit einer Domain-Übernahme, die das DNS auf einen vom Angreifer kontrollierten Server gelenkt hat.
Aktivieren Sie 2FA überall, wo sie angeboten wird. Die kombinierte Wirkung ist größer als jede einzelne Konto-Aufwertung.
Brauchen Sie Unterstützung?
Wenn Sie möchten, dass Defyn die 2FA auf Ihrer gesamten WordPress-Website ausrollt, Ihr Team schult und zugleich die übrige Sicherheit Ihres Kontos prüft, melden Sie sich. Es ist eine der wertvollsten Sicherheitsverbesserungen, die wir leisten, und wir können sie meist innerhalb von ein bis zwei Tagen einrichten.
