Das zweite Schloss: Nextcloud und der Zwei-Faktor-Code per E-Mail

Die Zeile in der Logdatei war unspektakulär. Ein Login von einer IP-Adresse, die sonst nie auftaucht. Mitten in der Nacht. Der Benutzername stimmte, das Passwort auch. Und trotzdem blieb es bei diesem Versuch. Der E-Mail-Code, den die Nextcloud-Instanz als zweiten Schritt verlangte, kam nie zurück. So viel Sicherheit kann manchmal so unspektakulär sein. Wer eine eigene Nextcloud betreibt, kennt dieses Szenario vielleicht: Das Passwort ist bereits kompromittiert, aber der zweite Faktor hat den Eindringling gestoppt. Genau darum geht es bei „Nextcloud Two-Factor Email“ – einer verhältnismäßig einfachen, aber wirkungsvollen Methode, den Zugang zu schützen. Was in der Theorie nach einem kleinen Kontrollkästchen in den Einstellungen klingt, hat in der Praxis allerdings mehr Tücken, als man denkt.

Mehr als ein Passwort

Ein Passwort allein gilt längst nicht mehr als ausreichend, das ist keine neue Erkenntnis. Leider sieht die Realität in vielen Installationen trotzdem so aus: ein starkes Passwort, vielleicht noch ein Passwortmanager, und mehr nicht. Doch Diebstahl von Zugangsdaten ist längst normalisiert. Phishing-Mails werden besser, Passwortdatenbanken tauchen im Netz auf, und viele Nutzer verwenden ihre Zugangsdaten an mehreren Stellen. Die Zwei-Faktor-Authentifizierung, gerne mit ZFA oder 2FA abgekürzt, verlangt zusätzlich zum Passwort einen zweiten Nachweis. Dieser Nachweis kann ein Fingerabdruck sein, ein Gerät wie ein Sicherheitsschlüssel oder eben ein Code, der an eine bekannte E-Mail-Adresse geschickt wird.

Nextcloud unterstützt Zwei-Faktor-Authentifizierung nicht erst seit gestern. Es gibt verschiedene Anbieter für den zweiten Faktor: das altbekannte TOTP-Verfahren, bei dem eine App alle dreißig Sekunden einen neuen Code aus einem gemeinsamen Geheimnis berechnet; hardwarebasierte Sicherheitsschlüssel über WebAuthn; und eben die Variante per E-Mail. Genau die steht hier im Mittelpunkt. Bei Nextcloud heißt die Erweiterung offiziell „Two-Factor Email“. Sie ist in den meisten Fällen kein Bestandteil des Grundsystems, sondern lässt sich über den App-Katalog nachrüsten. In manchen Distributionen und Docker-Images ist sie bereits enthalten, in anderen muss man sie erst aktivieren. Die Bedienung ist danach denkbar einfach: Wer sich mit Benutzername und Passwort angemeldet hat, bekommt eine Nachricht mit einem numerischen Code zugestellt und trägt den in das Formular ein. Erst dann öffnet sich die Tür.

Wann der E-Mail-Code Sinn ergibt

Man könnte fragen: Warum E-Mail, wo es doch TOTP-Apps gibt? Die Antwort ist pragmatisch. Nicht jeder Benutzer hat ein Smartphone mit einer Authenticator-App und nicht jeder will das einrichten. Gerade in Unternehmen, in denen ein Teil der Belegschaft nicht zur Generation Digital Natives gehört, ist der E-Mail-Code ein niedrigschwelliger Einstieg. Er setzt nur ein Postfach voraus, das ohnehin bei der Kontoeinrichtung hinterlegt ist. Wer am PC arbeitet, hat das Mailprogramm meist ohnehin geöffnet. Der Bestätigungscode ist schnell abgetippt, und die Sache ist erledigt.

Wichtig ist aber: E-Mail ist nicht in jeder Hinsicht das ideale Sicherheitsmittel. Wer denselben E-Mail-Account auch als Passwort-Reset-Adresse verwendet, sollte sich der Konsequenz bewusst sein. Ist das E-Mail-Konto geknackt, fällt oft auch die Zwei-Faktor-Authentifizierung. Anders gesagt: E-Mail-Codes erhöhen die Hürde, aber sie sind keine absolute Sicherheitsgarantie. Sie schützen vor einem Angreifer, der nur das Passwort kennt. Sie schützen nicht vor jemandem, der bereits die Kontrolle über das ganze E-Mail-Konto hat. Das klingt banal, wird aber in der Praxis gern übersehen.

Ein interessanter Aspekt ist die Schutzfunktion gegen Passwort-Wiederverwendung. Angenommen, jemand benutzt sein Nextcloud-Passwort auch bei einem externen Dienst, der gehackt wurde. Der Angreifer probiert die Zugangsdaten anschließend überall aus, auch bei Nextcloud. Das Passwort stimmt, aber ohne den zweiten Faktor kommt er nicht weiter. Genau hier zeigt sich der eigentliche Nutzen des E-Mail-Codes. Die Zeit, die der Benutzer braucht, um den Code aus dem Postfach zu holen, ist für den Angreifer eine unüberwindbare Hürde – es sei denn, er sitzt selbst an dem Postfach.

Ersteinrichtung: Mehr als nur ein Haken

Die Einrichtung klingt zunächst simpel. Angemeldet im Nextcloud-Webinterface geht es über das Benutzermenü zu den persönlichen Sicherheitseinstellungen. Dort findet sich unter Zwei-Faktor-Authentifizierung die Option „E-Mail“. Ein Klick auf Aktivieren, und der zweite Faktor ist scharf geschaltet. Allerdings gibt es ein paar Voraussetzungen, die erfüllt sein müssen, bevor dieser Klick überhaupt funktioniert. Die wichtigste: Nextcloud muss in der Lage sein, überhaupt E-Mails zu versenden. Dazu ist ein konfigurierter SMTP-Server nötig. Wer die Installation über die Standardwerte laufen lässt und nie eine E-Mail von seiner Nextcloud erhalten hat, wird auch keinen Code bekommen. Das ist eine der häufigsten Fehlerquellen beim ersten Test.

Die SMTP-Konfiguration steckt nicht unbedingt dort, wo man sie zuerst vermutet. In den Administrator-Einstellungen findet sich im Bereich Grundlegende Einstellungen ein eigener Abschnitt für den Versand von E-Mails. Dort werden Host, Port, Verschlüsselung und Zugangsdaten hinterlegt. Manchmal reicht schon der lokale Mailserver, der auf demselben Rechner läuft. In größeren Umgebungen geht der Versand über einen Relay-Server oder einen externen Dienst. Wer hier mit einem scheinbar falschen Passwort kämpft, sollte nicht zu schnell an der Konfiguration schrauben: Manche Provider verlangen für den Versand über fremde Domains eine separate Absenderadresse oder lassen nur authentifizierte Verbindungen vom eigenen Netz zu.

Ist der Mailversand eingerichtet, empfiehlt sich ein Test. Viele Nextcloud-Instanzen haben dafür eine einfache Option, um eine Testnachricht an den eigenen Account zu senden. Wird die nicht zugestellt, sollte man vor der Aktivierung des Zwei-Faktor-Modus das Problem lösen – sonst steht man womöglich vor einer gesperrten Tür. Dass das nicht nur ein theoretisches Problem ist, zeigt sich in Support-Foren immer wieder: Benutzer aktivieren den E-Mail-Code, loggen sich aus, und die erwartete Nachricht kommt nie an. Wer keinen Backup-Code oder keine alternative Anmeldemethode eingerichtet hat, muss dann den Administrator bemühen.

So läuft die Anmeldung mit E-Mail-Code ab

Der Ablauf ist aus Benutzersicht simpel: Das Webinterface fragt wie gewohnt nach Benutzername und Passwort. Anschließend erscheint eine Seite mit der Aufforderung, den Code aus der E-Mail einzugeben. Die Nachricht kommt in der Regel innerhalb weniger Sekunden, in größeren Installationen kann sie etwas dauern. Jetzt wird es mitunter heikel: Wer in der E-Mail-Verwaltung automatische Regeln hat, die Nachrichten von unbekannten Adressen in einen separaten Ordner verschieben, sucht den Code vielleicht eine Weile. Auch Spam-Filter sind ein Klassiker. Man sollte die Absenderadresse, die Nextcloud für Systemnachrichten verwendet, im eigenen Postfach auf die Whitelist setzen, bevor man die Zwei-Faktor-Authentifizierung aktiviert.

Der Code selbst besteht aus einigen Ziffern und ist nur kurz gültig. Genauere Zeitfenster hängen von der Version und Konfiguration ab, aber typisch sind fünf bis zehn Minuten. Wer den Code nicht rechtzeitig eintippt, fordert einfach einen neuen an. Der alte Code wird dann in der Regel ungültig. Das ist gut so, denn es verhindert, dass alte E-Mails mit noch gültigen Codes im Postfach herumliegen. Ein weiterer Punkt: Die Code-Eingabeseite zählt natürlich mit beim Brute-Force-Schutz von Nextcloud. Wer mehrfach einen falschen Code eingibt, wird für eine gewisse Zeit gesperrt. Das ist einerseits lästig, wenn man sich vertippt hat, andererseits schützt es vor jemandem, der den Code aus einer mitgelesenen E-Mail einsetzt.

Der Unterschied zu TOTP und anderen Verfahren

Warum gibt es überhaupt so viele verschiedene Zwei-Faktor-Methoden? Der Grund liegt in den unterschiedlichen Angriffsflächen. Ein TOTP-Code aus einer Authenticator-App wird direkt auf dem Gerät des Benutzers erzeugt, ohne dass Daten über ein externes E-Mail-System fließen. Die App, etwa Aegis oder der Google Authenticator, speichert ein Geheimnis, das bei der Ersteinrichtung per QR-Code oder Textschlüssel übertragen wird. Dieser Schlüssel liegt nur auf dem Endgerät und der Nextcloud-Instanz. Phishing ist trotzdem möglich: Eine gefälschte Nextcloud-Seite kann den abgefangenen TOTP-Code sofort weiterverwenden. Bei E-Mail-Codes ist der Weg etwas länger, aber nicht unbedingt sicherer. Ein Angreifer, der Zugriff auf das Postfach hat, kann den Code ebenfalls abgreifen.

Aus Sicht der Benutzerfreundlichkeit hat der E-Mail-Zweifaktor einen klaren Vorteil: Man muss keine zusätzliche App installieren, kein Gerät mit sich tragen und kein weiteres Passwort verwalten. Das E-Mail-Postfach ist in den meisten Arbeitsabläufen ohnehin vorhanden. Aus Sicht der Administratoren ist TOTP manchmal einfacher zu unterstützen, weil es keine Server-abhängige Zustellung benötigt. Doch in heterogenen Umgebungen, in denen manche Mitarbeiter kein Diensthandy haben oder bestimmte Apps aus Datenschutzgründen nicht installieren dürfen, bleibt E-Mail oft die einzige Option, die wirklich flächendeckend funktioniert.

Nicht zuletzt gibt es noch die Möglichkeit, WebAuthn-Hardware-Schlüssel wie YubiKeys zu verwenden. Das ist kryptographisch stark, kostet aber Hardware und muss eingeschult werden. Viele Organisationen sehen das als Aufgabe für privilegierte Konten an, nicht für alle Anwender. Der E-Mail-Code lässt sich dagegen in Minuten ausrollen – wenn die Mail-Infrastruktur steht.

Administratoren: Vorgaben machen, aber nicht übertreiben

Nextcloud erlaubt Administratoren, die Zwei-Faktor-Authentifizierung für bestimmte Gruppen zu erzwingen. Das ist ein mächtiges Werkzeug: Statt alle Mitarbeiter zu Fragen, ob sie etwas einrichten möchten, legt die IT-Abteilung fest, dass etwa die Gruppe „finance“ oder „management“ ohne zweiten Faktor keinen Zugang bekommt. Die Einstellung findet sich in den Sicherheitsrichtlinien der Administrator-Oberfläche. Dort lässt sich auswählen, für welche Gruppen die Zwei-Faktor-Authentifizierung verpflichtend ist. Die eigentliche Wahl des Verfahrens bleibt dann meist dem Benutzer überlassen, sofern mehrere Methoden aktiviert sind. In der Praxis heißt das: Wer keine App aufspielen will, wählt eben E-Mail-Code.

Hier zeigt sich ein interessanter Spagat. Eine Richtlinie, die nur die Anzahl der Faktoren prüft, tut dies nicht unbedingt mit Blick auf die Qualität der Faktoren. Ein E-Mail-Code ist immer noch besser als gar kein zweiter Faktor, aber er ist nicht gleichwertig mit einem Hardware-Schlüssel. Wer als Administrator in einer besonders sensiblen Umgebung arbeitet, sollte deshalb nicht nur erzwingen, dass ein zweiter Faktor existiert, sondern auch definieren, welche Methoden akzeptiert werden. Leider ist dies in Nextcloud nicht in allen Versionen granular einstellbar. Manche Betriebe setzen daher auf zusätzliche Anwendungen wie „twofactor_totp“ und schränken den E-Mail-Anbieter nur für bestimmte Konten ein.

Für die technische Umsetzung ist ein weiterer Punkt wichtig: Benutzer, die per LDAP oder Active Directory in Nextcloud eingebunden sind, brauchen eine gültige E-Mail-Adresse im Verzeichnis. Fehlt diese, kann die Nextcloud keinen Code zustellen. Oft sind diese Attribute nicht synchronisiert, weil sie aus Datenschutzgründen nicht im Verzeichnis liegen. Dann muss der Administrator die Adresse manuell im Nextcloud-Profil nachtragen oder eine andere Quelle anbinden. In solchen Konstellationen kann das scheinbar simple E-Mail-Verfahren zu einem kleinen Projekt werden.

App-Passwörter: Damit Clients weiter funktionieren

Eine Sache wird bei der Umstellung auf Zwei-Faktor gern unterschätzt: Nicht nur der Browser muss sich anmelden. Mobiltelefone, Desktop-Sync-Clients, Kalender- und Kontaktverbindungen über CalDAV und CardDAV oder auch externe Dateimanager melden sich mit Benutzername und Passwort an. Für diese Geräte kann man nicht einfach einen zweiten Faktor im Browser-Cookie abfragen. Die Clients unterstützen keine interaktive Abfrage eines E-Mail-Codes. Deshalb gibt es in Nextcloud die sogenannten App-Passwörter. Das sind separate Zugangsschlüssel, die der Benutzer in seinen Sicherheitseinstellungen erzeugt, nachdem er sich normal mit Zwei-Faktor angemeldet hat. Dieses App-Passwort wird dann im Client als Passwort eingetragen.

Das klingt umständlich, ist aber sinnvoll. So bleibt der eigentliche Login-Prozess geschützt, während die Drittanbieter-Anbindung über ein eigenes, widerrufbares Geheimnis läuft. Fällt ein Dienstgerät weg oder geht ein Laptop verloren, lässt sich das betreffende App-Passwort einzeln sperren, ohne den ganzen Account zu blockieren. Administratoren sollten in der Dokumentation ausdrücklich darauf hinweisen, sonst stehen nach dem Aktivieren von Two-Factor Email schnell hilflose Anwender vor Synchronisationsfehlern, weil der Client weiterhin das normale Passwort erwartet.

Ein kleiner Stolperstein in der Praxis: Manche Anwender erzeugen ein App-Passwort, geben es in der Desktop-Sync-Anwendung ein und melden sich dann an einem anderen Gerät noch einmal an. Dann entsteht das Gefühl, die Zwei-Faktor-Authentifizierung sei umgangen worden, dabei hat der Benutzer selbst bewusst ein langfristiges Zugangstoken ausgestellt. Insofern ist es wichtig, App-Passwörter als das zu behandeln, was sie sind: vollwertige Zugangsdaten. Sie sollten genauso sicher aufbewahrt werden wie das Hauptpasswort.

Backup-Codes und Wiederherstellung

Wenn der E-Mail-Server gerade nicht erreichbar ist, das Mail-Postfach voll läuft oder der Administrator den SMTP-Relay umstellt, wird ein Benutzer plötzlich auf dem Trockenen sitzen. Der zweite Faktor ist dann nicht verfügbar, obwohl er eigentlich die Sicherheit erhöhen soll. Genau dafür gibt es in Nextcloud Backup-Codes. Das sind einmalige Codes, die man bei der Aktivierung eines zweiten Faktors erzeugen kann und die an einem sicheren Ort aufbewahrt werden sollten. Im Anmeldefall lässt sich mit einem solchen Code anstelle des E-Mail-Codes einloggen. Jeder Code ist nur einmal gültig, danach verliert er seine Funktion. Wenn die Codes ausgehen, kann man eine neue Liste erzeugen.

Die beste Zeit für die Erstellung von Backup-Codes ist der Moment der Ersteinrichtung. Danach denkt kaum jemand daran. Dabei ist es nur eine Frage der Zeit, bis der E-Mail-Code nicht rechtzeitig ankommt. Wer sich mit einem Backup-Code einloggt, sollte die Liste anschließend ergänzen oder erneuern, sonst wiederholt sich das Problem. Für Administratoren gilt: Beim Einführen von Nextcloud Two-Factor Email sollte die Erstellung von Backup-Codes zur Pflichtübung erklärt werden. Das verringert spätere Tickets erheblich.

Nicht zuletzt muss auch der Administrationsweg für den Notfall festgelegt sein. Wenn ein Benutzer sein Konto sperrt, weil zu viele falsche Codes eingegeben wurden, oder wenn das Mail-Konto komplett verloren ist, braucht es eine Vorgehensweise. In Nextcloud lässt sich die Zwei-Faktor-Authentifizierung eines Benutzers per Kommandozeile zurücksetzen. Das passiert über den occ-Befehl und erfordert Zugriff auf den Server. Wer diese Möglichkeit nicht kennt, forscht im Ernstfall im Internet, während der Mitarbeiter vor dem gesperrten Bildschirm sitzt. In größeren Umgebungen sollte die IT daher klare Notfallroutinen haben, die auch dokumentiert sind.

Sicherheitsüberlegungen: Was der E-Mail-Code leistet und was nicht

Ehrlicherweise muss man sagen: Der E-Mail-Code gehört nicht zu den stärksten erdenklichen zweiten Faktoren. Physische Sicherheitsschlüssel und TOTP sind in vielen Angriffsszenarien überlegen. Die E-Mail-Zustellung ist anfällig für Abhörangriffe, unseriöse Mail-Provider und Phishing. Ein Angreifer, der eine gefälschte Login-Seite betreibt, kann den Code abfangen und in Echtzeit durchreichen. Manche schauen auf dieses Szenario und empfehlen, den E-Mail-Code lieber ganz zu vermeiden. Das verkennt aber die Realität vieler Unternehmen. Wer hartnäckig auf perfekte Sicherheit besteht, erreicht am Ende nur, dass die Zwei-Faktor-Authentifizierung gar nicht genutzt wird. Ein durchschnittlicher E-Mail-Code ist immer noch ungleich besser als gar kein zweiter Faktor.

Dabei zeigt sich ein grundsätzliches Problem: E-Mail ist heutzutage fast immer mit einem einfachen Passwort geschützt und wird auf mehreren Geräten synchronisiert. Wer das Passwort für sein E-Mail-Konto ebenfalls wiederverwendet, schwächt die gesamte Kette. Deshalb sollte die Einführung von Two-Factor Email mit einer kurzen Schulung oder einer Handreichung einhergehen, in der auf die Absicherung des E-Mail-Kontos hingewiesen wird. Es ist schon paradox: Man setzt einen zweiten Faktor auf Nextcloud, während das E-Mail-Postfach, das den Code liefert, ungeschützt bleibt. Das ist so, als würde man die Haustür mit einer Sicherheitsschleuse versehen und den Schlüssel unter der Fußmatte liegen lassen.

Ein weiterer Punkt ist die Laufzeit der Codes. E-Mails bleiben auf dem Server gespeichert, in Archiven, in Backup-Ordnern und in den Postfächern der Benutzer. Selbst wenn der Code nach ein paar Minuten ungültig wird, bleibt die E-Mail mit der Zahlenkombination im Postfach. Jemand mit Zugriff auf diesen gespeicherten Mailverlauf könnte später sehen, welche Art von Codes die Nextcloud verschickt. Ein gezielter Angriff kann so vorbereitet werden. Das ist kein unmittelbares Sicherheitsleck, aber ein Grund, E-Mail-Codes nicht als Hochsicherheitslösung zu betrachten.

Komm her, Admin: Mailversand und technische Stolperfallen

In der Praxis steckt der Teufel beim E-Mail-Code fast immer im Versand. Die häufigste Ursache für Probleme ist eine unvollständige oder falsche SMTP-Konfiguration. Nextcloud braucht für den Mailversand eine korrekte Absenderadresse. Manche Server lehnen Nachrichten ab, wenn der Absender nicht zur Domain passt oder wenn SPF und DKIM fehlen. Gerade wenn Nextcloud hinter einer NAT- oder Proxy-Umgebung betrieben wird, kann auch die Hostname-Auflösung eine Rolle spielen. Viele dieser Probleme äußern sich nicht sofort, sondern erst, wenn der zweite Faktor aktiviert ist und die Code-E-Mail ausbleibt. Dann stehen Administratoren unter Druck, weil ein Benutzer nicht mehr in sein eigenes System kommt.

Ein paar typische Stolperfallen in der Praxis:

Wenn die E-Mail-Adresse des Benutzers in Nextcloud falsch geschrieben wurde, kommt der Code an eine fremde Person. Ein Blick in das Profil des Benutzers kann solche Probleme schnell aufdecken. Außerdem sollte man wissen, ob das System Nachrichten an externe Empfänger überhaupt zustellen darf. In restriktiven Netzwerken ist der ausgehende Mailverkehr manchmal nur über einen bestimmten Relay erlaubt. Dann benötigt Nextcloud die passenden Zugangsdaten für diesen Relay, sonst bleibt der Mailserver stumm.

Ein interessantes Phänomen ist das verzögerte Eintreffen von E-Mails. Manche Mail-Dienste nehmen eine Nachricht zunächst an, stellen sie aber erst nach einigen Minuten zu. Für ein Login-Verfahren wirkt das wie eine Ewigkeit. Benutzer neigen dann dazu, mehrmals auf „Code erneut senden“ zu klicken, was mehrere E-Mails erzeugt und manchmal ältere Codes ungültig macht. Administratoren sollten in der Dokumentation empfehlen, einige Sekunden zu warten und den Spam-Ordner zu prüfen, bevor man einen neuen Code anfordert.

Dann gibt es noch den Klassiker mit der Uhrzeit. TOTP-Codes haben ein Zeitfenster, aber E-Mail-Codes sind davon gewöhnlich nicht abhängig. Trotzdem kann eine falsche Server-Zeit Probleme verursachen, wenn die Gültigkeit der Codes serverseitig geprüft wird. Auch ein mehrfach angeforderter Code kann durcheinanderbringen: Wenn man zweimal auf den Knopf drückt, gilt am Ende möglicherweise nicht der erste Code aus der E-Mail, sondern der aus der letzten Nachricht. Die Regel ist eigentlich einfach: Immer den zuletzt zugestellten Code verwenden.

Zwei-Faktor-E-Mail für viele, aber nicht für jeden?

Nicht jede Benutzergruppe ist für den E-Mail-Code gleich gut geeignet. Neben den offensichtlichen Anwendern, die kein Smartphone mit Authenticator-App besitzen, gibt es auch diejenigen, die ein gemeinsam genutztes Funktionspostfach verwenden. Wenn in einem Team ein Postfach von mehreren Personen gelesen wird, könnte der E-Mail-Code von allen Anwesenden eingesehen werden. Das ist für eine persönliche Nextcloud-Anmeldung ungünstig. In solchen Fällen sollten Administratoren prüfen, ob ein anderer zweiter Faktor mehr Sinn ergibt. Auch Dienstkonten, die automatisiert Daten synchronisieren, brauchen besondere Aufmerksamkeit. Sie können normalerweise keinen E-Mail-Code abrufen, also arbeiten sie besser mit App-Passwörtern oder ganz ohne interaktive Anmeldung.

Ein weiteres Thema ist der Umgang mit externen Benutzern. Wenn ein Unternehmen Nextcloud als Plattform für den Austausch mit Partnern betreibt, werden die externen Mitglieder häufig über E-Mail-Einladungen angelegt. Deren Konten sind oft weniger abgesichert als die internen. Ein E-Mail-Code als zweiter Faktor wäre hier eine sinnvolle Vorgabe, stößt aber auf Widerstand, wenn die externen Benutzer keinen Zugriff auf die Unternehmens-E-Mail-Infrastruktur haben. In der Praxis muss man dann entscheiden, ob man den Zwei-Faktor-Zwang lockert oder ob man den Partner in die Lage versetzt, sich ein TOTP-Token anzulegen.

Der schmale Grat zwischen Sicherheit und Benutzbarkeit zeigt sich auch in der täglichen Arbeit. Wer den E-Mail-Code erzwungen hat, hat oft mit Widerstand zu kämpfen, wenn der Code nicht sofort kommt. Ein langsames Mail-System kann ein Login letztlich unangenehmer machen, als es ein Hardware-Schlüssel wäre. Deshalb ist es ratsam, den Rollout in Etappen zu machen: zuerst eine Gruppe von Freiwilligen, dann die IT-Abteilung, danach die breite Belegschaft. So lassen sich Fehler im Mailversand beheben, bevor alle anfangen, das neue Verfahren zu hassen.

Und die Compliance? Ein Wort zur Regulierung

Datenschutzregeln und IT-Sicherheitsvorschriften treiben viele Projekte zur Zwei-Faktor-Authentifizierung an. Die nächste Überarbeitung der EU-Richtlinie NIS2, die Anforderungen des BSI-Grundschutzes oder branchenspezifische Vorgaben wie die BAIT für Finanzinstitute verlangen in bestimmten Konstellationen eine Mehr-Faktor-Authentifizierung. Nextcloud gehört dabei nicht zu den reinen Finanzsystemen, wird aber oft für die Verarbeitung von internen Dokumenten genutzt. Wenn es darum geht, nachzuweisen, dass der Zugriff auf sensible Daten geschützt ist, ist ein aktiver Zwei-Faktor-Zwang ein starkes Argument.

Der E-Mail-Code erfüllt diese Anforderungen in formaler Hinsicht, solange der zweite Faktor unabhängig vom Passwort ist. Allerdings gibt es einen Haken: Wenn das E-Mail-System, das die Codes ausliefert, auf demselben Server wie die Nextcloud oder im selben Active-Directory-Verbund läuft, könnte man argumentieren, dass die Faktoren nicht wirklich unabhängig sind. Ob das im Ernstfall juristisch relevant wird, ist eine andere Frage. Aber es lohnt sich, einen Blick auf die eigene Architektur zu werfen. Auch die Protokollierung ist wichtig. Muss nachgewiesen werden, wer sich wann angemeldet hat, sollte die Nextcloud-Nutzung über eine ausreichende Logging-Konfiguration verfügen. Der Zwei-Faktor-Zwang allein ist kein Allheilmittel.

Für Unternehmen, die Nextcloud Enterprise einsetzen, gibt es zusätzlich die Möglichkeit, Support-Leistungen und Beratung in Anspruch zu nehmen. Das ist nicht zwingend nötig, aber bei der Planung von Sicherheitsrichtlinien hilfreich. Manchmal ist die Frage, ob der E-Mail-Code eine „starke Authentifizierung“ im Sinne bestimmter Regularien darstellt, nicht so einfach zu beantworten. Ein erfahrener Berater kann hier helfen, die Anforderungen konkret zu übersetzen.

Vor- und Nachteile auf einen Blick

Der E-Mail-Code bringt eine Reihe von Vorteilen mit sich, die ihn für bestimmte Umgebungen alternativlos machen. Er ist kostengünstig, benötigt keine zusätzliche Hardware und lässt sich mit vorhandenen E-Mail-Infrastrukturen kombinieren. Die Benutzerführung ist intuitiv; die meisten Menschen kennen den Ablauf von Online-Banking oder anderen Diensten. Der Administrator muss kein zusätzliches Token-Management betreiben, wenn er nicht möchte. Auch die Skalierung ist unkompliziert: Neue Benutzer haben automatisch einen E-Mail-Code, sobald ihr Postfach bekannt ist.

Auf der anderen Seite stehen die Schwachstellen. E-Mail ist nicht in Echtzeit, kann durch Spam-Filter blockiert werden und ist ein bevorzugtes Ziel von Angreifern. Benutzer, die ihr Postfach auf mehreren Geräten synchronisieren, erhöhen die Angriffsfläche. Und nicht zuletzt ist der Komfort mitunter geringer als bei einer lokalen Authenticator-App, weil man zwischen dem Browser und dem Mailprogramm wechseln muss. In einer Zeit, in der Single-Sign-On-Portale den Login in Sekunden erledigen, kann dieser Wechsel als lästig empfunden werden.

Ein anderer wichtiger Punkt ist die Offline-Situation. Wer auf einer Baustelle arbeitet, in einem Funkloch steckt oder nur eine schlechte mobile Verbindung hat, kann den E-Mail-Code nicht abrufen – obwohl das Passwort natürlich trotzdem eingegeben werden kann. TOTP-Apps funktionieren dagegen ohne Internet, solange die Uhrzeit stimmt. Wer also in einem Umfeld mit unzuverlässiger Netzanbindung arbeitet, sollte die Einführung von TOTP zumindest ergänzend anbieten. Nextcloud unterstützt das parallele Aktivieren mehrerer zweiter Faktoren. Man kann also den E-Mail-Code und einen TOTP-Code nebeneinander verwenden und beim Login eine Methode wählen. Das ist ein guter Kompromiss, um verschiedene Arbeitsweisen abzudecken.

Praxisempfehlung: Nicht ohne Netz und doppelten Boden

Wer sich für Nextcloud Two-Factor Email entscheidet, sollte das nicht als einmalige Einstellung verstehen, sondern als Prozess. Zuerst die Mail-Zustellung testen, dann eine Pilotgruppe aktivieren, dann Backup-Codes ausgeben. Wichtig ist auch die Kommunikation an die Benutzer: Warum wird die Zwei-Faktor-Authentifizierung eingeführt? Was müssen sie beachten? Wie funktioniert das mit den App-Passwörtern? Eine kurze Anleitung mit Screenshots kann Wunder wirken und verhindert, dass die Helpdesk-Mitarbeiter hinterher die gleichen Fragen dreißigmal beantworten müssen.

Administrativ sollte man sich überlegen, in welchen Intervallen die Codes versendet werden dürfen. Es gibt in Nextcloud und den Erweiterungen verschiedene Einstellmöglichkeiten, um die Zustellung zu begrenzen. Das ist ein Schutz vor Missbrauch: Wenn jemand versucht, das Login-System zu spammen, sollen nicht unbegrenzt E-Mails an ein fremdes Postfach gehen. Auch das Verhalten bei mehreren aufeinanderfolgenden Fehlversuchen ist wichtig. Der integrierte Brute-Force-Schutz von Nextcloud sollte aktiv bleiben, damit sich nicht jemand mit erratenen Passwörtern durchprobieren kann.

Ein Aspekt, der manchmal zu kurz kommt, ist die Überwachung. Nextcloud protokolliert Anmeldeversuche, aber man muss die Logs auch lesen. Ein guter Artikel in einer Fachzeitschrift kann dafür plädieren, Sicherheit nicht nur einzurichten, sondern auch aufrechtzuerhalten. Dazu gehört ein Blick auf die Logdateien, die Prüfung, ob ungewöhnlich viele Anmeldefehler auftreten, und die regelmäßige Überprüfung der App-Passwörter. Ein einmal erzeugtes App-Passwort, das über Jahre weiterläuft, ist ein Risiko. Die Benutzer sollten daher nicht nur einmalig angehalten werden, sondern auch bei der regelmäßigen Sicherheitsüberprüfung des eigenen Kontos.

Und was kommt nach dem E-Mail-Code?

Die Entwicklung wird sich nicht aufhalten lassen. Passkeys und Hardware-Schlüssel werden mehr und mehr zur Standardoption, auch, weil die großen Betriebssysteme und Browser diese Technologien vorantreiben. Nextcloud ist in diesem Bereich gut aufgestellt, aber ein Umstieg in bestehenden Installationen ist nicht trivial. Wer heute die Zwei-Faktor-Authentifizierung noch nicht eingeführt hat, wird kommenden Sicherheitsanforderungen kaum gewachsen sein. Der E-Mail-Code ist ein niedrigschwelliger Einstieg, der sich später ergänzen oder ablösen lässt. Man kann also getrost mit der einfachen Lösung beginnen, sollte aber die Tür für bessere Verfahren offenhalten.

Insofern ist der E-Mail-Zweifaktor keine Sackgasse, sondern eine Brücke. Er bringt Benutzer in die Gewohnheit, einen zweiten Schritt zu gehen. Wer sich erst einmal daran gewöhnt hat, dass der Login nicht mit dem Passwort endet, der wird auch einen Hardware-Schlüssel akzeptieren, wenn die Einrichtung vernünftig erklärt wird. Wichtig ist nur, dass die Systeme so konfiguriert sind, dass der zweite Faktor im Ernstfall wirklich verfügbar ist. Dazu gehört mehr als ein Haken in der Einstellungsseite.

Die eingangs erwähnte Logdatei übrigens: Der gescheiterte Login im Internet war am Ende nicht mehr als eine Fußnote in der Geschichte der Instanz. Der Versuch, sich mit gestohlenen Zugangsdaten anzumelden, passierte genau einmal. Der Angreifer wechselte zu anderen Zielen. Das ist der eigentliche Wert einer zweiten Faktors: nicht absolute Unüberwindbarkeit, sondern Abschreckung. Jede zusätzliche Hürde erhöht die Wahrscheinlichkeit, dass sich ein Angreifer ein schwächeres Opfer sucht. Wer sein Nextcloud-System mit einem Einmalcode per E-Mail schützt, ist auf dieser Skala ein deutliches Stück weiter als die vielen Installationen, die nach wie vor nur auf ein Passwort vertrauen.

Also: Nextcloud sorgfältig absichern, SMTP-Versand testen, Backup-Codes ausdrucken und den Benutzern ein kurzes Merkblatt geben. Dann ist die Kombination aus Passwort und E-Mail-Code ein pragmatischer Ansatz, mit dem man viele Angriffe wirksam abwehrt. Am Ende geht es nicht darum, das perfekte Verfahren zu finden, sondern das beste, das die Benutzer auch wirklich nutzen. Der E-Mail-Code ist dabei oft besser als sein Ruf – und mit den richtigen Vorbereitungen vielleicht die unkompliziertste Zwei-Faktor-Lösung, die man mit Nextcloud überhaupt einführen kann. Denn Sicherheit, die niemand nutzt, ist auch keine Sicherheit.