Zwei-Faktor-Authentifizierung Schulwebsite: der Login, den niemand knackt

Ein einziges geknacktes Passwort genügt, damit Fremde die Startseite Ihrer Schule verändern, Elternbriefe manipulieren oder die Website lahmlegen. Die Zwei-Faktor-Authentifizierung für Ihre Schulwebsite schließt genau diese Lücke: Selbst wenn ein Passwort in falsche Hände gerät, bleibt der Zugang gesperrt. In diesem Beitrag zeigen wir pragmatisch, was dahintersteckt, warum gerade Schulen davon profitieren und wie Sie 2FA für Ihr ganzes Redaktionsteam einrichten – ohne technisches Studium.

Was Zwei-Faktor-Authentifizierung überhaupt bedeutet

Ein normaler Login besteht aus einem Faktor: dem Passwort, also etwas, das Sie wissen. Wer dieses Passwort kennt, kommt hinein – ob berechtigt oder nicht.

Die Zwei-Faktor-Authentifizierung (kurz 2FA) fügt einen zweiten, unabhängigen Faktor hinzu: etwas, das Sie besitzen. In der Regel ist das Ihr Smartphone, auf dem eine kleine App alle 30 Sekunden einen neuen sechsstelligen Code erzeugt. Beim Anmelden geben Sie also erst Ihr Passwort ein und danach diesen kurzlebigen Code.

Der Trick: Ein Angreifer irgendwo im Internet mag Ihr Passwort erbeutet haben – Ihr Smartphone hat er nicht. Und ohne den aktuellen Code aus der App bleibt die Tür verschlossen. Aus einem Schlüssel werden zwei, die zusammengehören.

Warum gerade Schulen das brauchen

Schulwebsites gelten Angreifern nicht als lohnendes Einzelziel – und genau das ist das Missverständnis. Der Großteil der Angriffe läuft vollautomatisch: Programme probieren rund um die Uhr Millionen von Passwörtern an unzähligen WordPress-Seiten durch. Ihre Schulwebsite ist für diese Maschinerie einfach eine Adresse unter vielen.

Dazu kommen zwei Umstände, die Schulen besonders verwundbar machen. Erstens wechseln die Menschen: Kolleginnen gehen in Elternzeit, Referendare kommen und gehen, die „Internet-AG" übergibt jedes Jahr. Zugangsdaten werden weitergereicht, notiert, vergessen. Zweitens sind Passwörter im Schulalltag oft pragmatisch gewählt – gut merkbar, dafür schwach.

Wird ein solcher Zugang übernommen, sind die Folgen sichtbar und unangenehm: verunstaltete Seiten, untergeschobene Werbe- oder Schadinhalte, im schlimmsten Fall eine komplett ausgefallene Website mitten im Anmeldezeitraum. 2FA nimmt genau diesem Szenario die Grundlage – und kostet Sie im Alltag nur wenige Sekunden pro Anmeldung.

Die drei Wege zum zweiten Faktor

Nicht jeder zweite Faktor ist gleich praktisch. Diese drei Varianten haben sich bewährt, in dieser Reihenfolge empfehlen wir sie:

Authenticator-App (empfohlen). Eine kostenlose App auf dem Smartphone – etwa Google Authenticator, Microsoft Authenticator oder das quelloffene Aegis – erzeugt die Codes direkt auf dem Gerät, ganz ohne Internetverbindung. Das ist sicher, schnell und für alle im Team gleich zu bedienen.

Sicherheitsschlüssel (für besonders schützenswerte Zugänge). Ein kleiner USB- oder NFC-Stick, den man zum Anmelden ansteckt oder ans Handy hält. Maximale Sicherheit, ideal für den Hauptadministrator – für ein wechselndes Redaktionsteam aber meist zu aufwendig.

Code per E-Mail. Der Code kommt per Mail statt aus einer App. Einfach einzurichten, aber nur so sicher wie das E-Mail-Postfach selbst. Als Einstieg besser als nichts, als Dauerlösung nur zweite Wahl.

Ein Weg, den Sie meiden sollten, ist der Code per SMS: Textnachrichten lassen sich vergleichsweise leicht abfangen oder umleiten. Wenn es die Wahl gibt, ist die App immer die bessere.

So richten Sie 2FA für Ihre Schulwebsite ein

Ihre Schulwebsite läuft auf WordPress – und WordPress bringt 2FA nicht von Haus aus mit, sondern über eine Erweiterung (ein sogenanntes Plugin). Die gute Nachricht: Das ist einmalige Einrichtungsarbeit, danach läuft es unauffällig im Hintergrund. Der Ablauf im Überblick:

1. Eine bewährte 2FA-Erweiterung wird installiert und aktiviert.
2. Jede Person mit Login richtet den zweiten Faktor einmalig ein: App öffnen, einen angezeigten QR-Code abfotografieren – fertig. Ab jetzt zeigt die App fortlaufend die passenden Codes.
3. Jede Person erhält Wiederherstellungscodes (dazu gleich mehr) und legt sie sicher ab.
4. Optional legen Sie fest, dass 2FA für alle redaktionellen Zugänge verpflichtend ist – so bleibt keine Lücke offen.

Klingt nach mehreren Schritten, ist aber pro Person in wenigen Minuten erledigt. Und es ist genau die Art Aufgabe, die man einmal sauber macht und dann jahrelang nicht mehr anfasst.

Was passiert, wenn das Handy weg ist?

Das ist die Sorge, die 2FA im Schulteam oft ausbremst – und sie ist leicht zu entkräften. Für den Fall, dass ein Smartphone verloren, defekt oder schlicht zu Hause vergeben ist, gibt es die Wiederherstellungscodes: eine Liste von Einmal-Codes, die Sie bei der Einrichtung erhalten. Ausdrucken, an einem sicheren Ort im Sekretariat oder Tresor ablegen – und Sie kommen jederzeit wieder hinein.

Zwei einfache Vorkehrungen halten den Betrieb reibungslos:

• Mehrere Administratoren mit vollem Zugang, damit nie eine einzelne Person der einzige Schlüsselinhaber ist.
• Wiederherstellungscodes getrennt vom Passwort aufbewahren – nicht im selben Zettel, nicht im selben Postfach.

Damit wird der verlorene zweite Faktor vom Notfall zur Fünf-Minuten-Angelegenheit.