„`html
Wenn der zweite Faktor fehlt: Alles über Nextcloud Backup-Codes
Es ist eine dieser Situationen, die man so schnell nicht vergisst: Man steht vor dem Login-Bildschirm der eigenen Nextcloud-Instanz, gibt Benutzernamen und Passwort ein, und dann kommt die Aufforderung – der sechsstellige Code aus der Authenticator-App. Nur liegt das Handy mit der App gerade auf dem Küchentisch, während man selbst im Büro sitzt. Oder es wurde vor einer Woche zurückgesetzt, weil man ein neues Gerät bekommen hat. Und das Passwort-Manager-Tool, in dem man die Zugangsdaten gespeichert hat? Das ist natürlich hinter derselben Zwei-Faktor-Authentifizierung gesperrt. In solchen Momenten zeigt sich der Unterschied zwischen Sicherheit und Pragmatismus: Die Absicherung des Kontos funktioniert tadellos – aber genau das wird zum Problem.
Für genau solche Fälle haben sich Backup-Codes etabliert. Das Prinzip ist simpel: Man erhält eine Liste einmal nutzbarer Codes, die man an einem sicheren Ort aufbewahrt. Sie funktionieren wie ein Generalausweis für die Zwei-Faktor-Authentifizierung, oft auch als Fallback-Authentifizierung oder Notfallcodes bezeichnet. Nextcloud bietet dieses Verfahren seit einigen Versionen standardmäßig an – aber die Funktion wird erstaunlich selten genutzt, wie man immer wieder in Support-Foren sieht. Dabei ist sie verblüffend einfach eingerichtet, und die Vorteile liegen auf der Hand. Dieser Artikel wirft einen detaillierten Blick auf das Thema, erklärt die Funktionsweise, gibt praktische Hinweise zur Einrichtung und zeigt, worauf man bei der Aufbewahrung unbedingt achten sollte.
Und ganz nebenbei: Wer die Codes einmal nutzen musste, weil der zweite Faktor nicht verfügbar war, der wird den Mehrwert sofort verstehen. Die kleine Liste mit kryptischen Zeichen, die man unbemerkt irgendwo abgelegt hat, kann ein Konto retten – und damit unter Umständen die gesamte digitale Infrastruktur eines Unternehmens. Denn nicht zuletzt ist die Selbstverwaltung der Zugangsdaten ein Teil der Souveränität, die Nextcloud als Open-Source-Plattform verspricht. Wer sie nutzt, sollte auch die Sicherheitsvorkehrungen verstehen und richtig einsetzen.
Das Grundprinzip der Zwei-Faktor-Authentifizierung
Bevor man sich mit den Backup-Codes beschäftigt, lohnt ein kurzer Blick auf das Fundament: die Zwei-Faktor-Authentifizierung selbst. In der Fachwelt kurz 2FA genannt, basiert sie auf der Idee, dass ein Login durch zwei unterschiedliche Komponenten geschützt wird. Man spricht auch von Faktoren: Wissen (Passwort), Besitz (Smartphone, Hardware-Token) oder Biometrie (Fingerabdruck, Gesichtserkennung). Die Kombination aus Passwort und einem Einmalcode, der auf dem eigenen Gerät generiert wird, gilt als robust – zumindest deutlich robuster als ein Passwort allein, das durch Phishing oder Datenlecks leicht in falsche Hände geraten kann.
Nextcloud setzt dabei auf das sogenannte TOTP-Verfahren (Time-based One-Time Password). Es funktioniert nach einem standardisierten Algorithmus, der aus einem gemeinsamen Geheimnis und der aktuellen Uhrzeit einen Code erzeugt. Dieser Code ist nur für wenige Sekunden gültig. Die gängigen Authenticator-Apps wie Google Authenticator, Authy, Twilio Authy oder auch der FreeOTP-Client beherrschen dieses Verfahren. Zusätzlich gibt es in Nextcloud die Möglichkeit, die zweite Stufe über eine WebAuthn-fähige Hardware einzurichten, also etwa einen USB-Sicherheitsschlüssel. Das ist komfortabel und sicher – aber in der Praxis zeigt sich, dass der Großteil der Installationen auf TOTP setzt, weil es schlicht keine zusätzliche Hardware erfordert.
Interessant ist, dass Nextcloud die Verwaltung der zweiten Stufe direkt in der Weboberfläche abbildet. Unter den persönlichen Einstellungen findet man den Bereich „Sicherheit“. Dort lassen sich TOTP-Geräte hinzufügen, WebAuthn-Schlüssel registrieren und eben auch die Backup-Codes verwalten. Das ist ein durchdachtes Konzept: Der Nutzer behält die Kontrolle über seine Geräte und kann, falls ein Gerät verloren geht oder defekt ist, selbstständig reagieren, ohne dass ein Administrator eingreifen muss. Das gilt zumindest für den Standardfall – später mehr dazu.
Was genau sind Backup-Codes in Nextcloud?
Backup-Codes sind eine Reihe von klassischen Einmalpasswörtern, die man als statische Zeichenfolge erhält. Sie sind nicht zeitbasiert, sondern funktionieren nach dem Prinzip der Einmaligkeit: Jeder Code kann nur genau einmal verwendet werden. Danach verliert er seine Gültigkeit. Üblicherweise erhält man bei der Erstellung eine Liste mit zehn Codes – das ist auch in Nextcloud der Fall. Die Codes bestehen aus einer zufälligen Zeichenfolge, die in der Regel aus Ziffern und Buchstaben zusammengesetzt ist. Häufig sind sie in Gruppen gegliedert, um die Lesbarkeit zu erhöhen, etwa im Format XXXX-XXXX-XXXX-XXXX.
Die Funktionsweise ist denkbar einfach: Wenn man sich anmeldet und den TOTP-Code eingeben soll, gibt es einen zusätzlichen Knopf oder Link, der den Login über einen Backup-Code erlaubt. Man gibt dann einen der Codes aus der Liste ein, und sofern er korrekt ist und noch nicht benutzt wurde, wird man angemeldet. Der gebrauchte Code wird im System als verbraucht markiert. Die verbleibenden Codes behalten ihre Gültigkeit – bis sie schließlich aufgebraucht sind.
Ein wichtiges Detail am Rande: Die Codes sind nicht unbegrenzt gültig. Sie sind auch nicht an eine bestimmte Sitzung oder ein bestimmtes Gerät gebunden – das macht sie so flexibel. Man kann sie also von jedem Endgerät aus verwenden, sei es ein Desktop-Browser, ein Mobilgerät mit der Nextcloud-App oder ein E-Mail-Client, der die Nextcloud-Adressbücher synchronisiert. Das ist ein Vorteil gegenüber Hardware-Token, die man physikalisch nicht duplizieren kann. Gleichzeitig ergibt sich daraus ein Sicherheitsrisiko: Wer die Codes in die falschen Hände bekommt, hat die gesamte Kontrolle über das Konto. Dazu später mehr.
Warum Backup-Codes überhaupt nötig sind
Man könnte argumentieren, dass ein gut verwaltetes TOTP-System keine Notreserve benötigt – wer sein Handy verliert, muss halt den Einrichtungsprozess für die Zwei-Faktor-Authentifizierung wiederholen. Doch das ist oft leichter gesagt als getan. Der Prozess zur Wiederherstellung eines Kontos ohne zweiten Faktor ist in Nextcloud nämlich, bewusst oder unbewusst, holprig gestaltet. Standardmäßig gibt es, was die Sicherheitspraxis begründet, keinen zeitgleichen Hintertür-Mechanismus. Ein Administrator kann den zweiten Faktor zwar über die Kommandozeile zurücksetzen, aber das kann nicht jeder, und es dauert seine Zeit. Falls man seine Zugangsdaten für die Kommandozeile nicht parat hat, ist man aufgeschmissen.
Ein Beispiel aus der Praxis: Ein Unternehmen betreibt eine Nextcloud-Instanz, auf der mehrere Abteilungen ihre Dokumente verwalten. Einer der Mitarbeiter wechselt sein Mobilgerät und vergisst, die Authenticator-App vorher zu deaktivieren. Als er sich am nächsten Tag am Desktop anmelden will, wird er nach dem TOTP-Code gefragt – den kann er nicht mehr liefern. Die Folge: Er muss den Administrator kontaktieren, dieser muss die Konfiguration des Benutzers ändern und die Zwei-Faktor-Authentifizierung deaktivieren oder zurücksetzen, dann muss der Mitarbeiter den zweiten Faktor neu einrichten. Das kostet Zeit, Nerven und unter Umständen ein Support-Ticket. Mit einem ordentlich hinterlegten Backup-Code wäre das Problem in wenigen Minuten gelöst gewesen.
Und da ist noch ein zweites Szenario, das man nicht unterschätzen sollte: Gerade bei einer selbst gehosteten Instanz ist der Login die einzige Barriere zwischen einem Angreifer und sensiblen Daten. Wenn die Zwei-Faktor-Authentifizierung einmal eingerichtet ist, ist sie eine starke Barriere. Doch wenn die Barriere zu einem Zeitpunkt versagt, an dem kein Administrator verfügbar ist, kippt das Verhältnis. Backup-Codes sind also keine Spielerei, sondern ein elementarer Baustein einer soliden Notfallstrategie. Sie sind das digitale Äquivalent zu einem baren Geldschein im Briefkastenfach: Man hofft, ihn nie zu brauchen, ist aber froh, ihn zu haben, wenn das Kartenlesegerät streikt.
Die Einrichtung der Backup-Codes in der Praxis
Die Erstellung der Backup-Codes ist in Nextcloud unkompliziert und dauert weniger als eine Minute. Nachdem man sich in der Weboberfläche angemeldet hat, navigiert man zu den persönlichen Einstellungen. Dort wählt man den Bereich „Sicherheit“ oder „Sicherheit & Login“, abhängig von der verwendeten Version. Der entsprechende Abschnitt nennt sich etwas wie „Backup-Codes“ oder „Notfall-Codes“. Es gibt einen Knopf „Codes erzeugen“ oder ähnlich. Nach einem Klick erscheint eine Liste von Codes – üblicherweise zehn Stück. Jeder Code ist nur einmal verwendbar.
Jetzt kommt der Punkt, an dem viele stolpern: Die Codes werden nur bei der Erstellung angezeigt. Man sollte sie also unbedingt speichern oder ausdrucken, bevor man die Seite verlässt. Ein Screenshot in der Foto-Bibliothek des eigenen Smartphones ist zwar recht praktisch, aber nicht unbedingt die sicherste Aufbewahrungsmethode – vor allem, wenn das Gerät ohnehin als Authentifikator dient. Besser ist es, die Codes an einem Ort zu hinterlegen, der nicht direkt mit dem Konto verbunden ist. Dazu später mehr.
Was vielen nicht bewusst ist: Wenn man neue Backup-Codes erzeugt, werden alte ungültig. Das ist eine wichtige Sicherheitsmaßnahme, die verhindert, dass ein Altbestand an Codes in irgendeine falsche Ecke gerät. Man sollte also nach der Generierung die alte Liste entsorgen und gegebenenfalls vermerken, dass frische Codes hinterlegt sind. Zudem ist die Anzahl der Codes begrenzt – zehn Stück. Wenn man sie aufgebraucht hat, muss man eine neue Liste erzeugen. Das System zeigt in der Oberfläche an, wie viele Codes noch gültig sind – ein Detail, das man im Blick behalten sollte.
Die Verwendung im Ernstfall
Kommen wir zum eigentlichen Anwendungsfall: der Login mit einem Backup-Code. Angenommen, man wird zur Eingabe des TOTP-Codes aufgefordert und hat den nicht zur Hand. Statt die Eingabe abzubrechen, sucht man nach einem Hinweis wie „Login mit Backup-Code“ oder „Notfallcode verwenden“. Klickt man darauf, wird man aufgefordert, einen der Codes aus der Liste einzugeben. Die Eingabe erfolgt wie bei einem normalen Einmalpasswort – also Feld ausfüllen, absenden, fertig. Die Sitzung wird wie gewohnt gestartet.
Ein wichtiger Hinweis: Backup-Codes sind Einmal-Codes. Eine Nutzung entwertet den Code. Nach der Anmeldung sollte man den gebrauchten Code mit einem Stift markieren oder die Liste neu sortieren, damit man beim nächsten Mal nicht aus Versehen einen bereits benutzten Code versucht. Das System meldet bei der Eingabe eines ungültigen Codes, dass dieser bereits verwendet wurde – das ist eine verständliche Meldung, aber man kann sich das Theater sparen. Auch die Nummerierung der Codes kann helfen: Man kennt schließlich den nächsten noch nicht benutzten Eintrag.
Es ist übrigens nicht verkehrt, den Login-Prozess mit Backup-Codes ab und zu zu üben. Das klingt vielleicht übertrieben, aber gerade in Notfallszenarien ist man froh, wenn man nicht zum ersten Mal eine unbekannte Funktion bedienen muss. So kann man sicherstellen, dass die Codes funktionieren, dass man sie richtig eintippt und dass die eigene Aufbewahrung praktikabel ist. Ein Test im laufenden Betrieb kostet nur einen Code – aber dieser eine Code kann einem im Ernstfall eine Menge Ärger ersparen.
Aufbewahrung: Wo gehören die Codes hin?
Die kritischste Frage im Zusammenhang mit Backup-Codes ist ihre Aufbewahrung. Klingt banal, ist aber heikel. Die Codes sind schließlich nichts anderes als eine Umgehung der Zwei-Faktor-Authentifizierung. Wer sie besitzt, kann sich anmelden, ohne den zweiten Faktor zu besitzen – das ist der Witz. Logischerweise sollte ihre Aufbewahrung so sicher sein wie die des verwendeten Passworts, im Idealfall sogar sicherer. Denn die Codes sind ein gleichwertiger Schlüssel zum Konto, sie stehen neben dem Passwort auf einer Stufe.
Die denkbar schlechteste Aufbewahrung ist, sie in der Nextcloud selbst abzulegen. Natürlich ist die Versuchung groß, eine verschlüsselte notiz oder ein Dokument im eigenen Account zu speichern – aber genau das hebelt den Sinn aus. Wenn ein Angreifer auf das Konto zugreifen kann, zum Beispiel über einen gestohlenen Browser-Cookie, findet er die Codes gleich mit und kann die Zwei-Faktor-Authentifizierung umgehen. Das wäre ein Malheur. Bewährt hat sich eher die Ablage außerhalb der Plattform: Zettel im Tresor, eine Datei in einem separaten Passwort-Manager, der unabhängig von Nextcloud betrieben wird, oder ein verschlüsselter USB-Stick. Wichtig ist, dass die Codes zugänglich sind, wenn man sie braucht – es bringt nichts, 1000 Kilometer vom eigenen Bankschließfach entfernt zu sein und die Zugangsdaten dringend zu benötigen.
Ein weiterer, nicht zu unterschätzender Aspekt ist der Überblick. Gerade in Unternehmen mit mehreren Administratoren gibt es oft keine zentrale Stelle für Backup-Codes. Man hat dann mehrere Zettel in Schubladen, eine Datei im internen Wiki, eine Excel-Tabelle mit Passwörtern. Das ist unübersichtlich und birgt Sicherheitsrisiken. Es ist sinnvoll, einen festen Ort zu definieren, an dem nur autorisierte Personen zugreifen können. Und man muss sich überlegen, ob die Codes pro Benutzerkonto oder für das gesamte System zentral verwaltet werden. Nextcloud bietet hier keine native Lösung an – das muss man als Organisation selbst organisieren.
Es gibt einen eingebauten Schutz gegen schnelles Durchprobieren: Die Eingabe von falschen Codes wird limitiert. Nach mehreren Fehlversuchen wird die Anmeldung eine Zeit lang gesperrt. Das verhindert, dass jemand die Codes einfach wegschnappt. Aber wie bei jedem Sicherheitsmechanismus gilt auch hier: Die Kette ist nur so stark wie ihr schwächstes Glied, und das ist oft die Aufbewahrung.
Risiken und Fallstricke
Nextcloud ist Open Source, das heißt, man hat die Freiheit, viele Aspekte anzupassen. Doch bei den Backup-Codes gibt es ein paar Punkte, die man kennen sollte, um nicht in eine Falle zu tappen. Der erste betrifft die Sitzungen und Geräte. Wenn man sich über einen Backup-Code anmeldet, wird die Sitzung registriert – aber die Codes gelten, wie erwähnt, geräteunabhängig. Man kann also nicht sehen, welches Gerät welchen Code verwendet hat. Das ist nur von Bedeutung, wenn man versucht, einem Schadensfall nachzugehen – die Nachvollziehbarkeit ist eingeschränkt.
Ein zweiter Punkt ist die Länge der Codes und die Art der Eingabe. Manche Backup-Codes sind relativ lang, zum Beispiel 24 Zeichen. Das kann bei der Eingabe auf einem Smartphone, wo man sich die Zeichen genau anschauen muss, ermüdend wirken. In der Regel kann man die Codes ohne Trennstriche eingeben; die Software ignoriert Leerzeichen und Bindestriche. Wer sich unsicher ist, sollte dies testen. Und wer die Codes in einem Passwort-Manager hinterlegt hat, muss sicherstellen, dass der Eintrag als Einmalpasswort erkannt wird und nicht automatisch übernommen wird, da die „Einmaligkeit“ sonst untergehen.
Ein dritter Punkt ist die Migrationsecke. Wenn man eine Nextcloud-Instanz umzieht, auf eine neue Version bringt oder die Datenbank wiederherstellt, kann es sein, dass die Gültigkeit der Backup-Codes verfällt. Das ist ein bekanntes Problem, das in Foren diskutiert wird. Schuld sind in vielen Fällen interne Schlüssel und die Art, wie die Codes im System gespeichert werden. Wenn nach einem Upgrade oder einer Migration der Login mit einem gültigen Code plötzlich nicht mehr funktioniert, ist die Lösung meist: neue Codes generieren. Das sollte man in die Checkliste für Wartungsarbeiten aufnehmen.
Und dann ist da noch das grundsätzliche Problem: Niemand garantiert, dass der Admin-Account immer erreichbar ist. Wenn die einzigen Backup-Codes auf einem Server liegen, der gerade selbst offline ist (aus welchen Gründen auch immer), hat man das gleiche Problem wie ohne Codes. Es ist daher empfehlenswert, nicht alle Eier in einen Korb zu legen. Ein lokaler Notfallzugang – etwa über einen Hardware-Token oder eine separate, nicht im Netz verbundene Kopie – ist ein adäquater Notnagel.
Exkurs: Backup-Codes und die Anbindung externer Authenticator-Apps
Ein interessanter Aspekt ist das Zusammenspiel zwischen den integrierten Backup-Codes und den gängigen Authenticator-Apps. Die Apps selbst sind nämlich nur die zweite Stufe, sie haben mit den Backup-Codes nichts zu tun. Der TOTP-Mechanismus und die Backup-Codes sind getrennte Systeme – das ist eine elegante Lösung. Wenn man also in Authy oder Google Authenticator die Nextcloud-Einrichtung entfernt, sind die Backup-Codes davon unberührt. Sie bleiben gültig, bis sie verbraucht sind. Das ist gut zu wissen, denn es bietet eine zusätzliche Redundanz: Selbst wenn der Authenticator-Dienst auf dem Handy defekt ist, kann man sich mit den Codes anmelden.
Umgekehrt sollte man beachten, dass bei der Registrierung eines TOTP-Geräts in Nextcloud automatisch darauf hingewiesen wird, dass die Backup-Codes verfügbar sind. Manche Instanzen erzwingen sogar, dass man sich die Codes anzeigen lässt, bevor man den zweiten Faktor aktivieren kann. Das ist eine sinnvolle Vorgabe, denn sie stellt sicher, dass der Nutzer einen Notfallplan hat, bevor er sich in eine Sackgasse manövriert. Man kann diese Vorgabe in den Einstellungen des Servers übrigens ändern, wenn man sie als zu streng empfindet. Administratoren finden in der Konfigurationsdatei entsprechende Parameter, um die Backup-Codes zu erzwingen oder zu deaktivieren.
Was oft übersehen wird: Die Backup-Codes sind an den Benutzerkontonamen gebunden. Wenn man sein Konto umbenennt – etwa in einem Active-Directory-Verbund – kann es sein, dass die Codes ihre Zuordnung verlieren. Es ist daher ratsam, nach einer solchen Änderung die Gültigkeit der Codes zu testen und gegebenenfalls neue zu generieren. Auch dies ist ein Detail, das in der Praxis für Verwirrung sorgt und sich in Support-Tickets niederschlägt.
Backup-Codes als Teil der Sicherheitsstrategie
Wer glaubt, dass die Einrichtung der Backup-Codes das Ende der Fahnenstange ist, irrt. Sie sind nur ein Mosaikstein in einem größeren Sicherheitskonzept. In diesem Kontext ist es sinnvoll, sich die gesamte Login-Kette in Nextcloud anzusehen. Neben der Zwei-Faktor-Authentifizierung gibt es weitere Einstellungen, die das Konto schützen: etwa die Konfiguration von vertrauenswürdigen Geräten, die Begrenzung der Login-Versuche, die Nutzung von App-Passwörtern für die Synchronisation von Clients und die Verwendung von Sicherheitsrichtlinien wie Passwort-Komplexität und -Ablauf. Auch die Aktivierung von WebAuthn ist eine Überlegung wert – gerade für Administratoren, die mit einem Hardware-Token arbeiten und sich vor Phishing schützen wollen.
Die Backup-Codes sind dabei wie ein Sicherheitsnetz für den Zwei-Faktor-Alltag. Sie sind nicht die erste Verteidigungslinie, aber sie ermöglichen es, im Falle eines Fehlers nicht den gesamten Zugang zu verlieren. Diese Resilienz ist ein oft unterschätzter Wert. Ein Sicherheitskonzept, das im Fehlerfall den Zugang vollständig verwehrt, ist kaum praktikabel. Man denke nur an die steigende Zahl von Cyber-Angriffen auf verlorene Geräte. Ein starkes Passwort allein schützt nicht, wenn der zweite Faktor nicht verfügbar ist – aber ein gut gehüteter Backup-Code kann das Konto vor dem Aussperren bewahren.
Ein interessanter Nebenaspekt ist die Frage, ob Backup-Codes die Zwei-Faktor-Authentifizierung schwächen. Man könnte sagen: Wenn jemand die Codes stiehlt, ist die Zwei-Faktor-Authentifizierung wertlos, weil ein einzelner Faktor plus Codes effektiv nur ein Faktor ist. Das ist richtig – aber es liegt in der Natur einer Notfallfunktion. In der Praxis ist das Risiko gering, vorausgesetzt, man bewahrt die Codes sorgfältig auf. Wer sie jedoch als Screenshot in einer unverschlüsselten Notiz-App speichert, gefährdet die eigene Sicherheit unnötig. Letztendlich geht es um Abwägung: Der Komfort im Notfall wiegt den kleinen Sicherheitsverlust, den eine ordentliche Aufbewahrung mit sich bringt, auf.
Die Sicht der Administratoren: Backup-Codes verwalten
Für Administratoren stellt sich die Situation etwas anders dar als für einzelne Benutzer. Sie müssen sicherstellen, dass die Backup-Codes in ihrer Instanz funktionieren, ohne dass es zu Engpässen oder Sicherheitslücken kommt. Zum einen können sie in der Nextcloud-Verwaltung über das Kommandozeilen-Tool den Zwei-Faktor-Status einsehen und bei Bedarf zurücksetzen. Das ist die letzte Rettung, wenn ein Benutzer seine Codes verloren hat und sich nicht mehr anmelden kann. Der Befehl dazu lautet etwa sudo -u www-data php occ twofactorauth:disable <Benutzername>. Damit wird der zweite Faktor für einen Benutzer deaktiviert – danach muss der Benutzer ihn erneut einrichten. Das sollte man nur in begründeten Ausnahmefällen tun, aber es ist beruhigend zu wissen, dass es diesen Weg gibt.
Zum anderen sollten Administratoren in größeren Umgebungen eine Richtlinie für Backup-Codes aufstellen. Dazu gehört die Frage, ob die Codes von den Benutzern selbst aufbewahrt werden oder ob es eine zentrale Hinterlegung gibt. In vielen Organisationen ist es üblich, dass die IT-Abteilung die Codes für Service-Accounts verwaltet – etwa für System-Monitoring-Accounts oder für Anwendungskonten, die von mehreren Personen genutzt werden. Hier ist die zentrale Ablage in einem verschlüsselten Passwort-Tresor, auf den nur wenige Personen Zugriff haben, eine gute Lösung. Für normale Benutzer sollte das dezentrale Aufbewahren der Codes in der eigenen Verantwortung liegen.
Ein weiterer praktischer Hinweis für Administratoren: Die Backup-Codes sollten nicht mit den App-Passwörtern verwechselt werden. App-Passwörter sind dauerhafte Zugangstoken für die Nutzung von Sync-Clients, während die Backup-Codes für die einmalige Anmeldung in der Weboberfläche gedacht sind. In der Nextcloud-Version 2x und darüber wird in der Benutzerverwaltung sauber zwischen diesen beiden Methoden unterschieden. Ein konkretes Beispiel: Wenn ein Benutzer seine Codes aufgebraucht hat, kann er ohne Login nicht einmal eine neue Liste erzeugen – es sei denn, er hat noch einen gültigen Code oder einen Administrator in der Nähe.
Alternativen und Ergänzungen zu Backup-Codes
Backup-Codes sind nicht die einzige Möglichkeit, im Notfall auf ein Konto zuzugreifen. Nextcloud unterstützt – wie eingangs erwähnt – auch WebAuthn-Hardware-Schlüssel. Diese haben den Vorteil, dass sie physisch nicht zu duplizieren sind und einen noch stärkeren Schutz vor Phishing bieten. Wer bereits einen Hardware-Token besitzt, kann diesen als zusätzliche Notfalllösung registrieren. Der Nachteil ist der Preis und die Tatsache, dass der Token oft zu Hause im Schrank liegt, wenn man ihn braucht. Eine Kombination aus Hardware-Token als primärem Faktor und Backup-Codes als Fallback ist die Krönung, denn dann hat man zwei unabhängige Wege, ins Konto zu kommen.
Darüber hinaus gibt es über den Umweg der „Trusted Devices“ einen weiteren Notfallweg: Nextcloud merkt sich Geräte, von denen man sich erfolgreich angemeldet hat, über einen längeren Zeitraum. In manchen Konfigurationen kann man sich von einem vertrauenswürdigen Gerät aus erneut anmelden, ohne den zweiten Faktor erneut eingeben zu müssen – dies wird häufig bei der Einrichtung von neuen Geräten genutzt. Das ist komfortabel, aber nicht als Notfallmechanismus gedacht, weil es die Sicherheit schwächt. Ein Dieb, der einen entsperrten Browser auf einem vertrauenswürdigen Gerät erbeutet, hätte so Zugriff, ohne den zweiten Faktor zu brauchen. Es ist daher nicht ratsam, sich auf diese Bequemlichkeit zu verlassen.
Schließlich sei noch auf die Verwendung von Recovery-Keys bei verwalteten Instanzen hingewiesen, etwa wenn Nextcloud als Teil einer größeren Lösung wie den Univention Corporate Server betrieben wird. Dort gibt es eigene Werkzeuge, um den Zugriff wiederherzustellen. Doch all dies sind Spezialfälle. Für den Alltag bleiben die Backup-Codes das einfachste, universellste und zugleich praktikabelste Mittel, um die eigene Kontosicherheit abzusichern. Sie sind so etwas wie der Ersatzreifen im Kofferraum: Man hofft, nie einen Platten zu haben, ist aber beruhigt, wenn man einen dabeihat.
Die Zukunft der Notfallzugänge
Die Technik hinter den Backup-Codes ist nicht neu, und das ist gut so. Der standardisierte Einmalcode-Ansatz existiert seit Jahrzehnten und hat sich bewährt. Man könnte meinen, dass mit dem Aufkommen von Passkeys, FIDO2 und der zunehmenden Verbreitung von Hardware-Token die Backup-Codes ausgedient haben. Doch dem ist nicht so. Gerade Passkeys sind an Geräte gebunden und werfen genau dieselben Probleme auf, wenn das Gerät fehlt. Die Branche arbeitet an Lösungen wie dem „Multi-Device-Credential“, aber bis sie in der Breite funktionieren, sind Backup-Codes ein Pragmatisches und wichtiges Element.
Nextcloud hat in den letzten Versionen die Sicherheitslandschaft deutlich ausgebaut. Während die Funktion für Backup-Codes für eine Weile kaum änderte, kamen mit der Zeit Neuerungen wie die Sicherheits-Kontakte, mit denen man vertraute Personen benachrichtigen kann, die Zugriff auf die Daten haben. All das zeigt: Die Entwickler nehmen das Thema isolierte Zugänge ernst. Als Anwender sollte man die Funktionen nicht nur kennen, sondern auch sinnvoll einsetzen. Ein Sicherheitskonzept ist erst dann vollständig, wenn man sich im Ernstfall nicht selbst aussperrt.
Abschließend noch ein Rat aus der Praxis: Nehmen Sie sich fünf Minuten Zeit, öffnen Sie die persönlichen Einstellungen, und schauen Sie nach, ob Sie bereits Backup-Codes erzeugt haben. Wenn nicht, generieren Sie sie, drucken Sie sie aus oder speichern Sie sie in einem Passwort-Manager außerhalb von Nextcloud. Markieren Sie das Datum und den Zeitpunkt der Erstellung. Und dann vergessen Sie nicht, die Codes zu testen, bevor Sie sie in die Schublade legen. Ein einziger Test, den Sie sich gönnen, kann Ihnen später einen Tag voller Frustration ersparen. Das klingt nach Arbeit, ist aber in Wahrheit pure Vernunft – die sich auszahlt, wenn das Smartphone plötzlich den Geist aufgibt oder der nächste Phishing-Versuch erfolgreicher ist, als einem lieb ist.
Auch wenn die Sicherheitslage im Netz angespannt ist: Mit einem bewussten Umgang und der richtigen Notfallstrategie lässt sich die Zwei-Faktor-Authentifizierung souverän beherrschen. Nextcloud bietet dafür die Werkzeuge. Man muss sie nur nutzen – das ist keine große Kunst, aber eine der wichtigsten Übungen in der digitalen Selbstverteidigung.
„`