Aktivieren und Nutzen von SSO und 2FA

In der heutigen Zeit bietet ein Passwort nicht mehr die nötige Sicherheit um deinen Zugang vor anderen zu schützen. Es braucht einen zusätzlichen Sicherheitsnachweis – das nennt man 2. Faktor – und er ist meistens an etwas geknüpft dass nur du besitzt.
Bei der Methode die ich für uns ausgewählt habe ist es ein Gerät das du besitzt, auf dem wir eine App installieren werden.
Die Methode heißt zeitlich begrenztes Einmal-Kennwort (engl. Abk. TOTP für time-based one time password)
Eine Argumentation und technische Beschreibung siehe 2-Faktor-Authentifizierung.

Das Teilen von Zugangsdaten (Username, Passwort, 2. Faktor) verwässert das Sicherheitskonzept. Ein TOTP-Geheimnis funktioniert immer nur in Verbindung mit genau einem Username und Passwort. Dieses unerwünschte Vorhaben funktioniert also immer nur, wenn man seinen ganzen Satz an Zugangsdaten teilt. Wenn sich 2 Personen dies teilen ist das Zweckentfremdung (der 2. Faktor wird eingeführt um sicherzustellen, dass es genau die eine bekannte natürliche Person, die sich unter einem Username anmeldet und nicht jemand der das Passwort geklaut hat), Erschwerte Rückverfolgung bei Problemen, Risikovervielfachung (z.B. ich teile meine Zugangsdaten mit einer zweiten Person. Doppelt so viele Leute können ein Passwort z.B. durch Phishing verlieren und doppelt so viele Smartphone könnten kompromittiert werden. Das bedeutet 4 mal so viele Angriffsszenarien. Es ist inakzeptabel, wenn zwei Personen aus Bequemlichkeit das Risiko für die ganze Gemeinschaft vervierfachen).

Sollte ich feststellen, dass Account-Sharing in der Mauerseglerei betrieben wird, werde ich TOTP wieder abschaffen und als 2. Faktor WebAuthn einführen. Dies ist zwar komplexer und mit weniger Geräten kompatibel, aber verhindert dieses Verhalten.

Es gibt viele Situationen, in denen man gezwungen werden könnte anderen Personen oder Institutionen Zugriff auf private elektronische Geräte zu gewähren. Das wohl bekannteste realistische Szenario ist derzeit (2026) die Einreise in die USA. Grenzbeamte (CBP) haben dort das Recht dich zum Entsperren deines Geräts zu zwingen und jegliches digitale Gerät umfänglich zu durchsuchen. Nicht-Kooperation resultiert oft in einer Einreiseverweigerung. Bitte deinstalliere daher die Authenticator App (und am besten auch alle Schlüssel-Tresore, Passwort-Speicher, VPN-Apps etc.) bevor du in eine solche Situation kommst oder nimm das Gerät gar nicht erst mit. Zu einem späteren Zeitpunkt kann die Mauerseglerei-IT dir deinen Zugang wieder ermöglichen. Allein die Möglichkeit eines Verlusts von Zugangsdaten ist aus IT-Sicht schlimmer als der Aufwand dir etwas einzurichten.

Seit iOS 15 ist die TOTP Funktionalität im System integriert.
Gehe zu „System Preferences“ > Passwords.
Dort gibt es auch die Möglichkeit QR Codes zu scannen.

Das Ziel dieses Projekts ist, dass wir 2-Faktor-Authentifizierung einführen – mit möglichst geringem Widerstand.
Google Authenticator ist (Stand 2026-06-13) die meistverbreitetste Authenticator App.
Ich gehe einfach mal davon aus, dass dies auf unser Haus auch zutrifft.

Ich selbst bin kein großer Freund dieser App. Sie ist nicht Open Source ist (d.h. keiner weiß, was die App wirklich tut) und Google ist ein gewinnorientierter Großkonzern. Daher verstehe ich jeden, der die Nutzung dieser App ablehnt.

Und, ja, es gibt gute kostenlose Alternativen.

Kurze Antwort: Versuche doch mal 2FAS Authenticator!

Lange Antwort:
Prinzipiell kannst du jede App verwendenn, die den Standard RFC 6238 besser bekannt als „TOTP: Time-Based One-Time Password Algorithm“ unterstützt. Suche einfach nach „TOTP authenticator app“ und du wirst fündig.

Hier einige Beispiele für Android und iOS, alle kostenlos (Stand 2026-06-13):

• 2FAS Authenticator: für Android und iOS, schlank, ohne Konto, simple Backups, Cloud-fähig, mit Browser-Plugin
• FreeOTP: für Andoir und iOS, minimalistisch, offline
• Google Authenticator: für Android, Klassiker, simpel, mit Export-Funktion, optional Cloud-Backup wenn du Google traust
• KeepassXC (PC) / KeepassDX (Android) / KeePassium (iOS): offline, universeller Tresor, Open Source, gut etabliert
• Microsoft Authenticator: für Android und iOS, braucht Microsoft Konto
• Ente Auth: multi-Plattform, braucht Ente-Konto
• Proton Authenticator: für Android und iOS, braucht Proton-Konto

Für Windows, Linux, macOS siehe unten „Was, wenn ich kein Smartphone habe“

Empfehlung: Ich bevorzuge Apps, die

• kostenfrei
• ohne Konto-Zwang
• open source
• gut gepflegt
• mirr großer Community
• plattformunabhängig
• werbefrei sind.

Daher favorisiere ich folgende 2 Optionen

• 2FAS:
  all die oberen Punkte. Es bedient sich so simpel wie Google Authenticator und es kommt sogar mit einer Option die QR-Codes von dort zu übernehmen.
• KeepassXC (und seine Geschwister):
  Das ist ein zweischneidiges Schwert. Grundsätzlich finde ich Keepass ist eines der besten Werkzeuge, wenn es um die sichere Verwahrung deiner Passwörter und anderer Geheimnisse, auch TOTP, geht.
  
  Kommen wir zum langen Aber:
  Da KeepassXC nicht vorrangig eine TOTP-App ist braucht es einfach mehr Klicks bis man dort hin kommt. Das ist zach.
  Wenn man das Mauerseglerei-Passwort und das TOTP gemeinsam in der selben Keepass-Datenbank speichert macht man bis zu einem gewissen Grad aus 2 Faktoren wieder 1 Faktor.
  Wenn man das Keepass-Datenbank-Master-Passwort irgendwo anders auch noch verwendet begeht man die Todsünde der Cyber-Sicherheit, also man kann es einfach gleich bleiben lassen.
  
  Warum also trotzdem KeepassXC: Wenn man derzeit gar keinen Passwortmanager hat und unbedingt genau 1 Passwort-plus-TOTP-App haben möchte, dann ist KeepassXC „das“ Werkzeug der Wahl. Mit dem verfügbaren Browser-Plugin stellt es darüber hinaus sicher, dass Passwort und TOTP automatisch nur dort eingefügt werden, wo es sich um die korrekte Domäne handelt. Es schützt dich dadurch ein bisschen vor Phishing.
  
  Fazit: Ich empfehle KeepassXC als Passwort-Manager, aber als TOTP-App nur dann, wenn dieser Kompromiss aus Bequemlichkeit und Sicherheit für dich wirklich wichtig ist. (… oder wenn du kein Smartphone hast. s.u.)

Laptop
Es ist nur mühsamer, da du nicht einfach einen QR Code scanne kannst, sondern stattdessen einen langen Code übertragen musst, aber natürlich klappt das auch. Achte in Folge auf die Schaltfläche „Unable to scan“ unterhalb des QR-Codes.

Je nach Betriebssystem habe ich folgende Vorschläge für dich (Stand 2026-06-13):

• Windows
  • KeePassXC: Empfehlung, Begründung siehe oben unter „Alternativen“
  • WinAuth: Open Source, etwas veraltet
  • 2FAGuard: im Microsoft Store,
  • Proton Authenticator: plattformübergreifend, braucht Proton-Konto
• macOS
  • Apple iCloud-Schlüsselbund (integriert)
  • KeePassXC
  • Proton Authenticator
• Linux
  • otpclient (Paket)
  • KeePassXC
  • ProtonAuthenticator

Smartphone ohne Mobilfunkanbindung
Falls du kein Smartphone besitzt, weil du Geo-Tagging durch Google oder Apple vermeiden willst, kannst du alternativ überlegen ein altes, ungebrauchtes Smartphone, das keine Mobilfunkanbindung hat zu verwenden. Du brauchst nur einmal WLAN um dir die Authenticator App zu installieren und danach funktioniert das System auf Dauer ohne jegliche Internetanbindung und solange die Uhrzeit stimmt.

Ich kann diesen Fehler (2026-07-22) noch nicht erklären. Er lässt sich auch nicht reproduzieren. Ich vermute es hat etwas mit der Same Site Policy bei Cookies zu tun und damit, dass im OIDC Plugin der redirect back Parameter gesetzt war der damit nicht kompatibel ist. Diesen habe ich 2026-07-24 ausgeschaltet.

Mit SSH auf ucs.it.mauerseglerei.at verbinden. Dort führe folgenden Code als sudo-Berechtigter user aus:

sudo -u postgres psql -d keycloak -c "
SELECT u.username, c.user_label, c.type, to_timestamp(c.created_date / 1000) as created_at
FROM public.credential c
JOIN public.user_entity u ON c.user_id = u.id
WHERE c.type IN ('otp', 'webauthn') ORDER BY c.created_date;"Code-Sprache: SQL (Structured Query Language) (sql)

Output:

      username      |      user_label      | type |       created_at       
--------------------+----------------------+------+------------------------
 adä###_#####-read  | Mo######             | otp  | 2026-03-22 21:36:56+01
 ad####_#####       | Mo######             | otp  | 2026-03-22 22:17:24+01
 ni##_#####         |                      | otp  | 2026-03-24 16:18:01+01
 he####_#####       | Sam#### ######       | otp  | 2026-05-28 18:56:46+02
 ch#######_#####    |                      | otp  | 2026-06-10 19:33:46+02
 ad####_#####-test  | Smartphone #### #### | otp  | 2026-06-11 20:47:57+02
 su#####_#####      |                      | otp  | 2026-06-11 23:01:28+02
 si###_#####        |                      | otp  | 2026-06-14 17:02:23+02
 ad####_#####-###   |                      | otp  | 2026-06-15 22:05:29+02
 el###_##########   | Handy                | otp  | 2026-06-28 11:45:41+02
 ge###_############ | ######PC             | otp  | 2026-06-29 22:53:05+02
 fl#####_######     | Handy ###            | otp  | 2026-07-01 21:31:00+02
 el###_#########    |                      | otp  | 2026-07-04 12:49:31+02
 si###_#####        |                      | otp  | 2026-07-14 14:35:23+02
 b_###############  | Laptop               | otp  | 2026-07-22 12:56:06+02
 ma####_######      | ####### Laptop       | otp  | 2026-07-27 08:33:18+02
 ba#####_#######    | Laptop               | otp  | 2026-08-31 17:35:08+02
(17 rows)
Code-Sprache: PHP (php)