# Zwei-Faktor-Authentifizierung für Admin-Zugänge einrichten

> Zwei-Faktor-Authentifizierung für Admins: geeignete Verfahren, alle wichtigen Zugänge vom CMS bis SSH, Notfallcodes und eine saubere Einführung im Team.

Quelle: https://phpsos.de/ratgeber/zwei-faktor-admin/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Zwei-Faktor-Authentifizierung für Admin-Zugänge sorgt dafür, dass ein gestohlenes oder erratenes Passwort allein nicht genügt. Sie muss überall gelten, wo jemand Ihre Website oder Ihren Server verändern kann: CMS, Hosting, Panel, SSH, Domain, DNS und die Postfächer der Admins. Ebenso wichtig wie die Einrichtung sind Notfallcodes und eine klare Regel, wer wofür einen eigenen Zugang hat.

## Warum Passwörter allein für Admins nicht reichen

Passwörter gehen auf vielen Wegen verloren: durch Phishing-Mails, Schadsoftware auf einem Arbeitsrechner, Datenlecks bei anderen Diensten oder schlicht durch Wiederverwendung. Automatisierte Angriffe probieren gestohlene Zugangsdaten ununterbrochen gegen bekannte Login-Seiten aus.

Mit einem zweiten Faktor braucht ein Angreifer zusätzlich etwas, das nur der berechtigte Nutzer besitzt, etwa ein Smartphone mit Authenticator-App oder einen Sicherheitsschlüssel. Das hebt die Hürde erheblich, gerade bei Konten mit weitreichenden Rechten.

Für die Geschäftsführung ist eine Abgrenzung wichtig: Zwei-Faktor-Anmeldung schützt Zugänge, nicht die Software dahinter. Eine Lücke wie PHP2Shell, die Codeausführung ohne Anmeldung erlaubt, wird dadurch nicht geschlossen. Beides gehört zusammen: aktuelle Software und gut geschützte Zugänge.

## Welche Zwei-Faktor-Verfahren sich eignen

Die Verfahren unterscheiden sich in Sicherheit und Bedienkomfort. Für Admin-Konten sollten Sie mindestens Authenticator-Apps einsetzen, für besonders kritische Zugänge Sicherheitsschlüssel oder Passkeys.

| Verfahren | Schutz gegen Phishing | Eignung für Admins |
|---|---|---|
| SMS-Code | gering | nur als Übergang |
| Authenticator-App (TOTP) | mittel | guter Standard |
| Push-Bestätigung | mittel, anfällig für Ermüdungsangriffe | mit Nummernabgleich geeignet |
| Sicherheitsschlüssel oder Passkey (FIDO2/WebAuthn) | hoch | empfohlen für kritische Zugänge |
| SSH-Schlüssel mit Passphrase | hoch | Standard für Serverzugänge |

Einmalcodes aus einer App können auf einer täuschend echten Phishing-Seite abgefangen und sofort weiterverwendet werden. FIDO2-Verfahren prüfen dagegen die Adresse der Seite und funktionieren auf einer gefälschten Seite nicht. Das ist der Grund, warum sie für Admins mit Zugriff auf viele Systeme die beste Wahl sind.

## Zwei-Faktor-Authentifizierung für Admin-Zugänge: die vollständige Liste

Angreifer suchen sich den schwächsten Zugang. Gehen Sie deshalb alle Stellen durch, an denen jemand Ihre Website, Ihren Server oder Ihre Domain verändern kann:

- **CMS und Shop-Backend:** WordPress, Shopware, TYPO3 und andere bieten Zwei-Faktor-Anmeldung im Kern oder über gepflegte Erweiterungen. Welche Variante empfohlen wird, steht in der Dokumentation des Herstellers.
- **Hosting-Kundenkonto:** Wer hier hineinkommt, kann oft Passwörter zurücksetzen, Backups herunterladen oder den Server neu installieren.
- **Server-Panel** wie Plesk oder cPanel, sofern vorhanden.
- **SSH und SFTP:** Schlüssel statt Passwort, siehe nächster Abschnitt.
- **Domain-Registrar und DNS:** Eine geänderte DNS-Einstellung leitet Ihre Besucher und Mails um, ohne dass der Server betroffen ist.
- **E-Mail-Postfächer der Admins:** Über sie laufen Passwort-Zurücksetzungen für fast alle anderen Dienste.
- **Code-Repository und Deployment:** Wer dort schreiben darf, kann Schadcode ausrollen.
- **CDN, WAF, Google Search Console und Zahlungsanbieter.**

Führen Sie für jeden Eintrag fest, wer Zugang hat, ob der zweite Faktor aktiv ist und wo die Wiederherstellungscodes liegen. Diese Liste ist gleichzeitig ein wichtiger Teil Ihres Notfallplans, denn nach einem Vorfall müssen genau diese Zugänge in kurzer Zeit geprüft und erneuert werden.

## SSH: Schlüssel statt Passwort

Für Serverzugänge ist die Anmeldung mit SSH-Schlüssel der übliche starke Schutz. Der private Schlüssel liegt auf dem Gerät des Admins und ist mit einer Passphrase geschützt; bei besonders schützenswerten Servern kann er auf einem Hardware-Schlüssel liegen. Ist die Schlüsselanmeldung für alle Admins eingerichtet und getestet, schalten Sie die Passwortanmeldung ab:

```text
# /etc/ssh/sshd_config (Auszug)
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
```

```bash
# Konfiguration prüfen, bevor der Dienst neu geladen wird
sshd -t && systemctl reload ssh   # unter RHEL-Systemen: sshd
```

Lassen Sie beim Umstellen eine bestehende Sitzung offen und testen Sie die Anmeldung in einem zweiten Fenster. So sperren Sie sich bei einem Fehler nicht aus. Jeder Admin bekommt einen eigenen Schlüssel; gemeinsame Schlüssel für ein ganzes Team lassen sich beim Ausscheiden einzelner Personen nicht sauber entziehen. Weitere Grundlagen beschreibt [Root-Server und vServer selbst absichern](https://phpsos.de/server/root-server-vserver/).

## Notfallzugang und Wiederherstellungscodes

Eine gute Einführung plant den Ausfall mit ein. Smartphones gehen verloren, Mitarbeiter verlassen das Unternehmen, Sicherheitsschlüssel gehen kaputt. Ohne Plan steht dann im falschen Moment niemand mit Zugang bereit.

> **Tipp:**
> Registrieren Sie für jedes kritische Konto zwei Faktoren, etwa einen Sicherheitsschlüssel im Büro und eine Authenticator-App, und verwahren Sie die Wiederherstellungscodes getrennt vom Passwort.

Weitere Regeln, die sich bewährt haben:

- Persönliche Konten statt gemeinsam genutzter Admin-Logins, damit Änderungen nachvollziehbar sind.
- Ein dokumentierter Notfallzugang mit getrennt verwahrten Zugangsdaten, dessen Nutzung auffällt und protokolliert wird.
- Beim Ausscheiden von Mitarbeitern oder Dienstleistern alle Zugänge und Schlüssel am selben Tag entziehen.
- Nach einem Sicherheitsvorfall nicht nur Passwörter, sondern auch registrierte Faktoren und aktive Sitzungen prüfen.

Bei der Einführung im Team hat sich ein klarer Ablauf bewährt. Beginnen Sie mit den Konten, die den größten Schaden anrichten können: Hosting, Domain, DNS und die E-Mail-Postfächer der Admins. Danach folgen Server, CMS und Dienste. Legen Sie einen Stichtag fest, ab dem Anmeldungen ohne zweiten Faktor nicht mehr möglich sind, und stellen Sie vorher sicher, dass alle Beteiligten eingerichtet sind.

Erklären Sie dem Team kurz, warum die Umstellung nötig ist und wie sie im Alltag funktioniert. Eine einseitige Anleitung mit Bildschirmfotos senkt Rückfragen deutlich. Externe Dienstleister und Agenturen sollten eigene, persönliche Zugänge mit zweitem Faktor erhalten statt eines gemeinsamen Logins, damit Zugriffe zuordenbar bleiben und sich nach Projektende sauber entziehen lassen.

Wie Sie Anmeldeseiten zusätzlich gegen automatisierte Versuche schützen, steht im Ratgeber [Admin-Logins gegen Brute Force schützen](https://phpsos.de/ratgeber/brute-force-login-schutz/).

## Wie hilft PHP SOS konkret?

- Wir erstellen mit Ihnen eine vollständige Liste aller Admin-Zugänge und zeigen, wo der zweite Faktor fehlt.
- Wir stellen Serverzugänge auf SSH-Schlüssel um und schalten Passwortanmeldungen im Rahmen der [Server-Härtung](https://phpsos.de/leistungen/server-haertung/) kontrolliert ab.
- Wir dokumentieren Notfallzugänge und Wiederherstellungswege so, dass sie im Ernstfall funktionieren.
- Im [Security-Wartungsvertrag](https://phpsos.de/leistungen/security-wartungsvertrag/) prüfen wir Zugänge regelmäßig und entfernen verwaiste Konten.


## Häufige Fragen

**Welches Zwei-Faktor-Verfahren ist am sichersten?**  
Hardware-Sicherheitsschlüssel und Passkeys nach dem FIDO2-Standard gelten als besonders widerstandsfähig gegen Phishing, weil sie an die echte Adresse gebunden sind. Authenticator-Apps mit Einmalcodes sind ein guter Standard. SMS ist besser als nichts, aber die schwächste Variante.

**Was passiert, wenn das Smartphone mit der Authenticator-App verloren geht?**  
Dafür gibt es Wiederherstellungscodes, die beim Einrichten angezeigt werden. Sie gehören sicher verwahrt, etwa im Tresor oder in einem geschützten Passwortmanager. Zusätzlich sollte mindestens ein zweiter Admin den Zugang zurücksetzen können.

**Schützt Zwei-Faktor-Anmeldung auch vor PHP2Shell?**  
Nein. PHP2Shell erlaubt Codeausführung ohne Anmeldung, der Login wird dabei gar nicht benutzt. Gegen PHP2Shell hilft nur das Update auf eine behobene PHP-Version mit Neustart aller Worker. Zwei-Faktor-Anmeldung schützt vor gestohlenen oder erratenen Passwörtern.

**Reicht Zwei-Faktor-Anmeldung im CMS?**  
Nein, ein Angreifer wählt den schwächsten Zugang. Hosting-Konto, Server-Panel, SSH, Domain-Verwaltung, DNS und die E-Mail-Postfächer der Admins müssen ebenso geschützt sein, sonst lässt sich der CMS-Schutz umgehen.

## Quellen

- [BSI: Zwei-Faktor-Authentisierung](https://www.bsi.bund.de/)
- [OWASP Cheat Sheet Series (Multifactor Authentication)](https://cheatsheetseries.owasp.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)