So fügst du deiner App die Zwei-Faktor-Authentifizierung hinzu

Um Zwei-Faktor-Authentifizierung (2FA) hinzuzufügen, lässt du Nutzer eine Authenticator-App per QR-Code verknüpfen und fragst nach dem sechsstelligen Code, den sie anzeigt, nach dem Passwort. Eine vollständige Sitzung erstellst du auf dem Server erst, wenn dieser Code stimmt. Jeder Nutzer bekommt beim Aktivieren einmal verwendbare Wiederherstellungscodes, du begrenzt, wie viele Versuche jemand hat, und zum Deaktivieren verlangst du Passwort plus einen aktuellen Code. Wenn du einen gehosteten Anmeldedienst nutzt, aktiviere dessen eingebaute Mehrfaktor-Option, statt sie selbst zu bauen.

Dieser Leitfaden zeigt die Entscheidungen, den genauen Ablauf, Prompts für einen KI-App-Baukasten und die Fehler, durch die 2FA nur so aussieht, als wäre es aktiv. Ist das Konzept neu für dich, beginne mit was Zwei-Faktor-Authentifizierung ist.

Vorab: Du brauchst eine funktionierende Anmeldung

2FA setzt auf einer bestehenden Anmeldung auf. Du brauchst zuerst eines davon:

• Eine eigene Anmeldung, bei der Nutzer und gehashte Passwörter in der Datenbank deiner App liegen.
• Einen gehosteten Anmeldedienst, der Nutzer für dich verwaltet.

Wenn du noch keines davon hast, beginne mit wie du deiner App eine Anmeldung hinzufügst. Der Rest dieses Leitfadens setzt voraus, dass ein Passwortschritt bereits funktioniert.

Wähle deinen zweiten Faktor

TOTP steht für Time-based One-Time Password, den Standard (RFC 6238), den Authenticator-Apps verwenden. Dein Server und das Telefon des Nutzers teilen sich ein Geheimnis; beide erzeugen aus diesem Geheimnis und der aktuellen Uhrzeit denselben kurzen Code, der meist alle 30 Sekunden wechselt. Es braucht keine Netzwerkverbindung und keinen SMS-Dienst.

Passkeys ersetzen oder ergänzen Passwörter durch einen kryptografischen Schlüssel auf dem Gerät des Nutzers. Sie sind stärker, aber aufwendiger, selbst zu bauen. Deshalb starten viele Apps mit TOTP und ergänzen Passkeys später oder beziehen sie von einem Anmeldedienst.

Selbst bauen oder einschalten?

Prüfe in der aktuellen Dokumentation deines Anbieters, welche Faktoren er unterstützt und in welchen Tarifen. In jedem Fall schreibe die Mathematik zur Codeerzeugung nie selbst; verwende eine weit verbreitete Bibliothek.

Lege die Richtlinie zuerst fest

Kläre diese Punkte, bevor du einen Prompt schreibst, denn sie ändern das Design:

1. Wer muss es nutzen? Optional für alle, Pflicht für Admins und Mitarbeitende oder Pflicht für alle. Üblich ist Pflicht für alle mit Admin-Rechten. Siehe rollenbasierte Zugriffskontrolle.
2. Wie oft müssen Nutzer einen Code eingeben? Bei jeder Anmeldung oder einmal pro Gerät für 30 Tage („dieses Gerät merken“).
3. Welche Aktionen brauchen eine frische Prüfung? Die E-Mail-Adresse ändern, Auszahlungsdaten oder 2FA deaktivieren sind gute Kandidaten. Das nennt man Step-up-Authentifizierung.
4. Wie läuft es bei einem verlorenen Telefon? Wiederherstellungscodes, plus ein manueller Ausweg, den du bereit bist durchzuführen.

Schritt für Schritt: TOTP-2FA auf deiner eigenen Anmeldung

1. Die richtigen Felder speichern

Jeder Nutzer braucht: ob 2FA aktiv ist, das TOTP-Geheimnis (verschlüsselt gespeichert, nicht im Klartext), den Zeitpunkt der Aktivierung und eine Liste der Wiederherstellungscodes, die gehasht gespeichert werden, wie Passwörter. Ergänze außerdem einen Ort, an dem fehlgeschlagene Versuche gezählt werden.

2. Einrichtung

1. Der Nutzer öffnet die Einstellungen und klickt auf Zwei-Faktor-Authentifizierung aktivieren.
2. Der Server erzeugt ein neues Geheimnis und liefert es als QR-Code zurück, dazu die Textversion für Menschen, die nicht scannen können.
3. Der Nutzer scannt es in einer Authenticator-App und tippt den aktuellen Code ein.
4. Der Server prüft den Code. Nur wenn er stimmt, speichert er das Geheimnis und markiert 2FA als aktiv.
5. Die App zeigt 8 bis 10 Wiederherstellungscodes genau einmal an und bittet den Nutzer, sie zu speichern.

Schritt 4 ist wichtig: Wer 2FA aktiviert, bevor ein Code bestätigt ist, sperrt jeden aus, dessen Scan fehlgeschlagen ist.

3. Anmeldung mit einem zweiten Schritt

1. Der Nutzer sendet E-Mail und Passwort. Der Server prüft sie.
2. Ist 2FA aktiv, erstellt der Server keine vollständige Sitzung. Stattdessen legt er einen kurzlebigen Zustand „zweiter Faktor ausstehend“ an.
3. Die App zeigt die Codeeingabe. Der Server prüft den Code und erlaubt ein kleines Zeitfenster für Uhrabweichungen.
4. Erst dann stellt der Server die echte Sitzung aus.

Jede geschützte Route und jeder API-Endpunkt muss den ausstehenden Zustand ablehnen. Eine 2FA-Seite, die Seiten nur im Browser ausblendet, lässt sich umgehen, indem man die API direkt aufruft.

4. Grenzen und Warnungen

Ein sechsstelliger Code hat eine Million Kombinationen, also ist er ohne Grenzen erratbar. Begrenze die Versuche, sperre den zweiten Schritt nach wiederholten Fehlern für eine Zeit und schick dem Nutzer dabei eine E-Mail. Siehe Ratenbegrenzung und E-Mails aus deiner App verschicken.

5. Wiederherstellung und Deaktivierung

• Ein Wiederherstellungscode funktioniert einmal und wird danach gelöscht.
• Zum Deaktivieren von 2FA brauchst du das Passwort und einen aktuellen Code oder Wiederherstellungscode.
• Neue Wiederherstellungscodes machen den alten Satz ungültig.
• Schicke dem Nutzer eine E-Mail, sobald 2FA aktiviert oder deaktiviert wird.

Prompts für deinen KI-App-Baukasten

Zuerst den Kernablauf:

Füge optionale Zwei-Faktor-Authentifizierung mit Authenticator-Apps (TOTP) zu unserer bestehenden Anmeldung mit E-Mail und Passwort hinzu. Verwende eine bekannte TOTP-Bibliothek und schreibe den Algorithmus nicht selbst. Zeige in den Einstellungen einen QR-Code und das Textgeheimnis, und aktiviere 2FA erst, nachdem der Nutzer einen gültigen Code eingegeben hat. Speichere das Geheimnis verschlüsselt und zeige es nach der Einrichtung nie wieder. Zeige 10 einmal verwendbare Wiederherstellungscodes genau einmal an und speichere sie gehasht.

Dann die Durchsetzung, an der generierter Code am häufigsten scheitert:

Erzwinge 2FA auf dem Server. Nach einem korrekten Passwort erhalten Nutzer mit aktivem 2FA einen kurzlebigen Zustand „ausstehend“, keine vollständige Sitzung. Jede geschützte Seite und jede API-Route muss den ausstehenden Zustand ablehnen. Begrenze Codeversuche auf 5, sperre danach den zweiten Schritt für 15 Minuten und schicke dem Nutzer eine E-Mail.

Dann die Richtlinie:

Verlange 2FA für Admin-Konten: Ein Admin ohne 2FA wird zur Einrichtung geschickt und erreicht das Dashboard erst, wenn sie abgeschlossen ist. Verlange Passwort und aktuellen Code, um 2FA zu deaktivieren oder die Konto-E-Mail zu ändern. Schicke dem Nutzer eine E-Mail, wenn 2FA aktiviert oder deaktiviert wird.

Lass den Agenten schließlich erklären, was er gebaut hat:

Liste jede Route auf, die prüft, ob ein zweiter Faktor abgeschlossen ist, wo das TOTP-Geheimnis und die Wiederherstellungscodes gespeichert werden und wie sie geschützt sind.

Häufige Fehler

• Sitzung nach dem Passwort ausgestellt. Der gravierendste Fehler. Existiert die vollständige Sitzung, bevor der Code geprüft wurde, ist 2FA nur Dekoration. Teste, indem du nach dem Passwortschritt allein eine geschützte API aufrufst.
• Keine Begrenzung der Versuche. Unbegrenzte Versuche machen den Code durch Ausprobieren knackbar.
• Geheimnisse oder Wiederherstellungscodes im Klartext. Ein Datenbankleck gibt dann den zweiten Faktor aller Nutzer preis.
• Aktivieren vor der Prüfung. Nutzer, die falsch gescannt haben, sind beim nächsten Login ausgesperrt.
• Kein Wiederherstellungsweg. Jedes verlorene Telefon wird zum Supportfall oder zum verlorenen Kunden.
• Leichtes Deaktivieren. Kann eine gestohlene Sitzung 2FA ohne Code abschalten, ist der Schutz dahin.
• Codes in Logs. Stelle sicher, dass Codes und Geheimnisse nie in Server-Logs oder Fehlermeldungen auftauchen.
• Nur auf der Anmeldeseite prüfen. Passwort-Zurücksetzen, Anmeldung per „Magic Link“ und jede Social-Login-Option müssen 2FA ebenfalls respektieren, sonst werden sie zum Umweg.

Testcheckliste

• Die Einrichtung wird erst nach einem gültigen Code abgeschlossen
• Anmeldung mit korrektem Passwort, aber ohne Code, gibt keinen Zugang zu geschützten Seiten oder APIs
• Ein falscher Code wird abgelehnt; wiederholte falsche Codes lösen die Sperre und eine E-Mail aus
• Ein Code von vor einigen Minuten wird abgelehnt
• Jeder Wiederherstellungscode funktioniert genau einmal
• Zum Deaktivieren von 2FA braucht man Passwort und einen aktuellen Code
• Das Zurücksetzen des Passworts umgeht 2FA nicht
• Admins ohne 2FA erreichen keine Admin-Seiten (falls Pflicht)
• Geheimnisse und Wiederherstellungscodes sind in der Datenbank verschlüsselt oder gehasht
• Keine Codes oder Geheimnisse erscheinen in Logs

Führe außerdem vor dem Start die vollständige Sicherheits-Checkliste für mit KI gebaute Apps durch.

2FA in Mythex einbauen

Mythex enthält kein eingebautes Anmeldesystem für die Endnutzer deiner App. 2FA ist deshalb Teil des Authentifizierungsansatzes, den du wählst: deine eigene E-Mail-und-Passwort-Anmeldung mit der Datenbank des Projekts oder ein gehosteter Anbieter mit Mehrfaktor-Unterstützung. Du beschreibst im Chat, was du willst, mit Prompts wie den oben. Anbieter-Schlüssel gehören in die Projektgeheimnisse (über /secrets, die Projekteinstellungen oder die Geheimnis-Karte, die der Agent zeigt), nicht in das Nachrichtenfeld. Das Rezept Anmeldung zu deiner App hinzufügen in der Dokumentation enthält einen Start-Prompt, und Sicherheit für Apps, die du baust beschreibt die Gewohnheiten rund um Schlüssel und Berechtigungen. Wenn der Agent fertig ist, teste jeden Punkt der Checkliste in der Vorschau, bevor du veröffentlichst.

Fragen