Nicht mehr nur ein Passwort – warum Zweifaktor längst Standard sein muss
Wer heute noch glaubt, ein sicheres Passwort reiche aus, um eine Cloud-Instanz zu schützen, hat vermutlich noch nicht erlebt, wie schnell sich ein kompromittierter Account in eine Datenkatastrophe verwandelt. Die Zeiten, in denen man sich mit einer komplexen Zeichenkette allein zufrieden geben konnte, sind lange vorbei. Phishing-Angriffe werden raffinierter, Credential Stuffing ist ein Massenphänomen geworden, und die Wiederverwendung von Passwörtern über mehrere Dienste hinweg bleibt eine der größten Schwachstellen überhaupt. Genau hier setzt die Zwei-Faktor-Authentifizierung an – und Nextcloud bietet dafür ein bemerkenswert durchdachtes Fundament.
Dabei zeigt sich: Der Begriff „Zwei-Faktor“ ist im Alltag oft zu einem bloßen Schlagwort verkommen. Viele Nutzer verbinden damit lediglich das lästige Abtippen eines Codes, der per SMS aufs Handy kommt. Doch technisch betrachtet geht es um etwas Grundsätzlicheres: die Kombination aus zwei unterschiedlichen Kategorien von Nachweisen. Etwas, das man weiß – das Passwort. Und etwas, das man besitzt – ein Smartphone, einen Sicherheitsschlüssel oder eine TOTP-App. Erst das Zusammenspiel aus zwei dieser Klassen macht die Authentifizierung wirklich robust. Ein Angreifer müsste also beides erlangen, und genau diese Hürde ist es, die man Angreifern tagtäglich in den Weg stellen möchte.
Nextcloud hat die Notwendigkeit dieser zusätzlichen Sicherheitsebene früh erkannt. Das System bringt von Haus aus eine integrierte Zwei-Faktor-Schnittstelle mit, die es Administratoren ermöglicht, verschiedene Verfahren zu aktivieren und zu kombinieren. Wer seine Nextcloud-Instanz ernst nimmt – und das sollte jeder, der nicht ausschließlich Spielzeugdaten verwaltet –, kommt an diesem Thema nicht vorbei. Die Konfiguration ist dabei weniger komplex, als manch einer befürchtet, aber sie will durchdacht sein. Und genau hier, in der Praxis, tun sich dann die interessanten Fragen auf.
Wie Nextcloud die zweite Ebene einzieht
Das Herzstück der Zweifaktor-Sicherheit bei Nextcloud ist ein modulares System, das auf sogenannten Providern basiert. Die Core-Installation bringt bereits eine Handvoll dieser Provider mit, darunter der inzwischen weit verbreitete TOTP-Ansatz – also zeitbasierte Einmalpasswörter, wie sie etwa von der Nextcloud-eigenen App oder auch von Google Authenticator und vergleichbaren Anwendungen unterstützt werden. Daneben existiert eine zweite Variante mit dem etwas sperrigen Namen „U2F/WebAuthn“, die auf physischen Sicherheitsschlüsseln beruht. Wer einen USB-Stick mit entsprechendem Chip besitzt, kennt das Prinzip: ein kurzes Antippen genügt, um die Anmeldung zu bestätigen. Kein Abtippen, keine Übertragungswege, die abgefangen werden könnten.
Doch nicht jede Organisation kann oder will auf externe Hardware setzen. Die Anschaffung von Dutzenden Sicherheitsschlüsseln ist nicht nur eine Kostenfrage, sondern auch eine Frage der Logistik. Und genau hier öffnet sich das Feld für den dritten, pragmatischen Weg: die SMS als Übermittlungskanal für Einmalcodes. Sie ist allgegenwärtig, erfordert keine zusätzliche App auf dem Endgerät und funktioniert selbst auf einem Telefon, das ansonsten kaum eine Rolle im IT-Alltag spielt. Es ist dieser Pragmatismus, der die SMS-Authentifizierung in vielen Unternehmen bis heute zur bevorzugten Lösung macht – auch wenn Fachleute immer wieder auf ihre Schwächen hinweisen.
Das Besondere an Nextcloud ist, dass die Zweifaktor-Logik nicht in den einzelnen Anwendungen versteckt ist, sondern auf einer zentralen Ebene arbeitet. Das bedeutet: Sobald ein Benutzer den zweiten Faktor eingerichtet hat, greift dieser Schutz konsequent bei jeder Anmeldung – egal ob über die Weboberfläche, den Desktop-Client oder die mobilen Apps. Diejenigen, die schon einmal umständlich in den Einstellungen einer Webanwendung nach einer Option für „App-Passwörter“ oder „Gerätespezifische Anmeldedaten“ gesucht haben, wissen diese Einheitlichkeit zu schätzen. Man muss es einmal einrichten, und das System kümmert sich anschließend um den Rest.
Ein interessanter Aspekt ist dabei, wie Nextcloud mit den verschiedenen Stufen der Verifikation umgeht. Administratoren können pro Gruppe oder sogar pro Benutzer festlegen, welche Verfahren verfügbar sind und ob die Zweifaktor-Authentifizierung verpflichtend ist. In einer Umgebung mit mehreren Abteilungen lässt sich so eine abgestufte Sicherheitsstrategie fahren: Die Entwicklermannschaft arbeitet mit Sicherheitsschlüsseln, die Verwaltung nutzt bequem TOTP, und die Außendienstmitarbeiter, die ohnehin ständig unterwegs sind, erhalten zumindest per SMS eine zweite Absicherung. Diese Flexibilität ist ein entscheidender Vorteil gegenüber starren Lösungen, die entweder alles oder nichts verlangen.
Die kleinen Helfer: Apps und Anbieter
Um die SMS-Anbindung zu realisieren, greift Nextcloud auf ein weiteres Stück Modulbaukasten zurück: die sogenannte „Provider-App“. Diese Apps sind nicht Teil des Nextcloud-Kerns, sondern werden über den App-Store der Instanz installiert und konfiguriert. Sie fungieren als Brücke zwischen der Nextcloud-eigenen 2FA-Verwaltung und den Diensten externer SMS-Gateways. Das Prinzip dahinter ist einfach: Die App erzeugt einen Code, sendet ihn über den konfigurierten Gateway-Dienst an die hinterlegte Telefonnummer des Benutzers und erwartet anschließend die korrekte Eingabe dieses Codes in der Weboberfläche. Die eigentliche Zustellung und der Versand erfolgen jedoch nicht durch Nextcloud selbst, sondern durch den hinterlegten SMS-Dienstleister – ein Detail, das viele Benutzer nicht auf dem Schirm haben.
Wer sich in der Nextcloud-Community umschaut, wird feststellen, dass es verschiedene solcher Provider-Apps gibt. Einige sind offiziell von Nextcloud verifiziert, andere stammen aus der Community und werden von einzelnen Entwicklern gepflegt. Die Unterschiede liegen dabei weniger im grundsätzlichen Funktionsumfang, sondern vielmehr in der Konfiguration, in den unterstützten Gateway-Diensten und im Grad der Wartung. Es lohnt sich, vor der Installation einen Blick in die jeweilige Dokumentation zu werfen und zu prüfen, ob die App in den letzten Monaten überhaupt noch Updates erhalten hat. Eine verwaiste App mit veralteten API-Aufrufen ist schließlich selbst wieder ein Sicherheitsrisiko.
Für den deutschen Markt relevant ist die Frage, welche SMS-Gateways überhaupt unterstützt werden. Die wenigsten Unternehmen dürften geneigt sein, ihre Cloud-Zugangsdaten über ausländische Dienste zu verschicken, nur weil die Integration besonders einfach ist. Nextcloud ist hier zwar offen gestaltet, aber wer auf bestimmte deutsche Anbieter wie seven, Plivo oder auch die altgedienten deutschen Telekommunikations-Gateways setzt, muss mitunter etwas Handarbeit in die Konfiguration stecken. Die gute Nachricht: Die meisten Provider-Apps unterstützen eine hinreichend breite Palette an HTTP-Schnittstellen, sodass sich auch Dienste anbinden lassen, die nicht in der Standardliste aufgeführt sind. Man sollte sich nur darüber im Klaren sein, dass nicht jede App die gleiche Qualität der Dokumentation mitbringt. Da ist man als Administrator manchmal auf Versuch und Irrtum angewiesen.
Die Installation selbst verläuft dank der Nextcloud-eigenen App-Verwaltung unkompliziert. Man sucht im App-Store der Instanz nach „SMS“, wählt die passende Provider-App aus, aktiviert sie und legt in den Einstellungen die Zugangsdaten für das SMS-Gateway ab. Einige Apps verlangen zusätzlich die Angabe einer Absenderkennung oder eines spezifischen API-Zugriffs, andere begnügen sich mit der universellen HTTP-Schnittstelle. Dabei zeigt sich dann schnell der Unterschied zwischen einer ausgereiften Lösung und einem Hobbyprojekt: Die einen bieten ein übersichtliches Admin-Interface mit sauberer Trennung zwischen Konfiguration und Benutzeransicht, die anderen verstecken die wichtigsten Einstellungen in einer einzigen, endlosen Konfigurationsdatei. Im Zweifel sollte man auf die Komfortlösung setzen, auch wenn sie ein paar Euro mehr kostet – die Zeit, die man später bei der Fehlersuche spart, ist das allemal wert.
SMS als zweiter Faktor – der pragmatische Weg
Warum ausgerechnet SMS? Die Frage stellen sich viele IT-Entscheider, wenn sie vor der Wahl zwischen TOTP, WebAuthn und eben der SMS stehen. Die Antwort darauf ist selten eine technische, vielmehr ist sie in der realen Arbeitswelt zu finden. Nicht jeder Mitarbeiter ist bereit, sich eine Authenticator-App auf dem privaten Smartphone zu installieren und einzurichten. Nicht jede Firma stellt ihren Angestellten ein Dienstgerät zur Verfügung, auf dem man Software nach Belieben installieren kann. Und nicht jedes Endgerät, das sich in einem betrieblichen Umfeld tummelt, ist ein aktuelles Smartphone. In Umgebungen, in denen noch ältere Android-Geräte oder einfache Tastenhandys im Einsatz sind, ist die SMS oft die einzige Möglichkeit, eine Zwei-Faktor-Authentifizierung überhaupt durchzusetzen.
Hinzu kommt der psychologische Aspekt. Ein Code, der per SMS auf dem eigenen Handy eintrudelt, wirkt unmittelbar und vertraut. Die meisten Menschen kennen das Verfahren bereits von Bankgeschäften oder von ihrem E-Mail-Anbieter, wenn sie sich von einem neuen Gerät aus anmelden. Genau diese Vertrautheit senkt die Hürde zur Einführung ungemein. Wer schon einmal einem widerwilligen Benutzer die Funktionsweise eines TOTP-Codes erklären musste, weiß, wie viel Geduld man dafür braucht. Demgegenüber ist die SMS ein Selbstläufer: Die Nummer wird einmal eingetragen, und der Code kommt direkt aufs Gerät, ohne dass man eine zusätzliche App herunterladen oder eine QR-Code-Scan-Kette in Gang setzen muss.
Doch der Pragmatismus hat seinen Preis. SMS ist – und das sollte nicht unter den Teppich gekehrt werden – kein besonders sicherer Übertragungsweg. Das SMS-Protokoll ist inzwischen mehr als vierzig Jahre alt und wurde unter Sicherheitsgesichtspunkten nie richtig entworfen. Man-in-the-Middle-Angriffe auf das SS7-Telefonnetzwerk sind seit Jahren ein bekanntes Problem, auch wenn sie in der Praxis keineswegs einfach durchzuführen sind. Sim-Swapping, also das Übernehmen der Telefonnummer durch einen Angreifer mit Hilfe des Mobilfunkproviders, ist ebenfalls eine reale Bedrohung, über die regelmäßig berichtet wird. Wer also glaubt, die SMS sei die ultimative Lösung aller Authentifizierungsprobleme, der irrt – aber wer sie im Zusammenspiel mit einem starken Passwort und einer begleitenden Überwachung einsetzt, hat sein Sicherheitsniveau gegenüber einer reinen Passwortlösung dennoch dramatisch verbessert.
Ein interessanter Aspekt in diesem Zusammenhang ist die Frage der Netzabdeckung. In ländlichen Regionen, im Keller eines Bürogebäudes oder bei älteren Gebäuden mit dicken Betonwänden kann die SMS-Zustellung mitunter erheblich verzögert sein. Was in der Theorie nach einer kleinen Verspätung klingt, wird in der Praxis schnell zum Ärgernis – gerade dann, wenn ein Benutzer unter Zeitdruck steht und den Anmeldevorgang nicht abschließen kann. Clevere Nextcloud-Konfigurationen sehen deshalb vor, dass dem Benutzer mehrere Anmeldeoptionen zur Verfügung gestellt werden: der SMS-Code als Standardverfahren und ein TOTP-Code als Fallback für den Fall, dass die SMS mal nicht ankommt. Diese Redundanz ist keine Verwässerung der Sicherheit, sondern eine Verbesserung der Verfügbarkeit – und sie verhindert, dass die Benutzer beginnen, eigene, unsichere Abkürzungen zu suchen.
Pakete und Plugins – und ihre Tücken
Blickt man auf das Ökosystem der Nextcloud-SMS-Apps, so fällt auf, dass sich die verfügbaren Erweiterungen in zwei große Kategorien einteilen lassen. Die erste Kategorie sind die reinen Gateway-Integrationen: Sie verbinden Nextcloud mit einem konkreten SMS-Dienst wie etwa dem weltweit operierenden Twilio, dem deutschen Anbieter sms77 oder auch der API der Telekom. Die zweite Kategorie sind die universelleren Lösungen, die über generische HTTP-Schnittstellen mit nahezu jedem Gateway kommunizieren können, das entsprechende Endpunkte anbietet. Beide Ansätze haben ihre Berechtigung, und die Wahl hängt letztlich davon ab, welchen Anbieter man ohnehin schon im Einsatz hat und welchen Aufwand man für die Integration zu tragen bereit ist.
Bei aller Liebe zum Detail sollte man aber nicht die Augen davor verschließen, dass die Qualität dieser Apps schwanken kann. Die Entwicklung von Nextcloud-Anwendungen ist ein Gemeinschaftsprojekt, und nicht jeder Entwickler hat die Ressourcen, um seine App über Jahre hinweg konsequent zu pflegen. Immer wieder kommt es vor, dass eine App nach einem Nextcloud-Hauptversionswechsel nicht mehr funktioniert und erst nach Wochen von einem Dritten geforkt und repariert wird. Für den Administrator bedeutet das: Wartungsarbeit. Ein regelmäßiger Blick in den App-Store, das Lesen der Changelogs und das Anpassen der eigenen Konfiguration gehören genauso zum Betrieb einer Nextcloud-Instanz wie das Einspielen von Sicherheitsupdates des Kernsystems. Diese Arbeit ist nicht spektakulär, aber sie ist notwendig.
Ein weiteres Thema, das bei der SMS-Integration gerne unterschätzt wird, ist das Kostenmodell. Anders als TOTP oder WebAuthn, die auf dem Server keine nennenswerten Betriebskosten verursachen, fällt bei der SMS-Zustellung pro Nachricht eine Gebühr an. Wer eine Instanz mit mehreren hundert Benutzern betreibt, sollte sich im Klaren darüber sein, dass sich da im Monat durchaus eine vierstellige Summe ansammeln kann – je nachdem, wie häufig sich die Benutzer anmelden und wie teuer das verwendete SMS-Gateway ist. Die Frage der Kosten ist deshalb nicht nur ein finanzielles Thema, sondern auch ein technisches: Man wird um die Überlegung nicht herumkommen, ob man die SMS-Zustellung als „passt schon, wenn sie ankommt“ behandelt oder ob man sie mit einem verlässlichen Service-Level-Agreement mit dem Gateway-Anbieter versieht. Ausfallsichere Zustellwege kosten eben ihren Preis.
Nicht zuletzt spielt die Frage der Datensparsamkeit eine Rolle, die in der DACH-Region angesichts der strengen Datenschutzregelungen besondere Aufmerksamkeit verdient. Die Übermittlung eines Einmalpassworts über ein externes SMS-Gateway bedeutet zwangsläufig, dass – zumindest technisch gesehen – auch die Telefonnummer des Benutzers an den Dienst übertragen wird. Das ist nicht grundsätzlich unzulässig, aber es sollte im Rahmen einer Datenschutzfolgenabschätzung bewertet werden. Wer auf Nummer sicher gehen will, wählt ein Gateway, das Daten nur in der EU verarbeitet oder zumindest eine Dokumentation über die Verarbeitungsprozesse vorlegt. Diese Überlegungen gehören nicht in die technische Ecke, sondern in die Governance – sie sind aber genauso wichtig wie die Wahl des richtigen Verschlüsselungsverfahrens.
Sicherheit jenseits der Hype-Welle: Was SMS wirklich taugt
In der IT-Sicherheitsszene hat die SMS-Authentifizierung einen schlechten Ruf. Man hört immer wieder den Satz: „SMS ist kein echter zweiter Faktor, das kann man doch abfangen.“ Das ist nicht ganz falsch, aber eben auch nicht ganz richtig. Die Angriffe, die in der Theorie und auch in der Praxis gegen die SMS-Zustellung funktionieren, setzen in den meisten Fällen voraus, dass der Angreifer bereits eine erhebliche Infrastruktur aufgebaut hat oder dass er direkten Zugriff auf das Mobilfunknetz des Opfers besitzt. Für den normalen Hausmeister-Bedrohungsfall – den automatisierten Scraper, der gestohlene Passwortlisten durch das Internet jagt – ist die SMS eine unüberwindliche Hürde. Der Angreifer hat den Benutzernamen und das Passwort aus einem Leak, aber nicht die Telefonnummer des Opfers, und schon gar nicht die Möglichkeit, die dazugehörige SMS zu empfangen. Genau gegen dieses Szenario richtet sich der Hauptschutz der SMS.
Dabei zeigt sich, dass die Diskussion über die Schwächen der SMS allzu oft den Blick auf die eigentliche Gefahr verstellt: die mangelnde Nutzung der Zweifaktor-Authentifizierung überhaupt. Es nützt nichts, über die theoretischen Schwächen eines Verfahrens zu diskutieren, wenn die Alternative darin besteht, dass gar kein zweiter Faktor eingesetzt wird. Insofern ist die SMS-Zustellung eine Art Einstiegsdroge in eine sicherere Welt. Wer mit dem Verfahren vertraut ist und die Tücken der täglichen Anwendung erkennen kann, der ist in der Regel auch offen für eine Umstellung auf robustere Verfahren wie TOTP oder WebAuthn. Eine gut geplante Einführung der SMS-Zweifaktor-Authentifizierung kann also als Sprungbrett dienen – vorausgesetzt, der Administrator stellt sie nicht als die ultimative Lösung dar, sondern als das, was sie ist: ein Mindestmaß an zusätzlicher Sicherheit.
Ein weiterer Punkt, der zugunsten der SMS spricht, ist die sehr einfache Administration. Ein Administrator, der prüfen möchte, ob die SMS-Zustellung funktioniert, muss nicht erst den Schlüsselbund eines mobilen Geräts verstehen oder den QR-Code-Scanner des Benutzers bemühen. Er gibt eine Test-Telefonnummer ein, löst eine SMS aus und sieht sofort, ob der Code ankommt. Diese Einfachheit mag profan klingen, aber sie ist in der betrieblichen Praxis ein immenser Vorteil. Gerade in kleinen und mittleren Unternehmen, in denen die IT-Abteilung oft aus einer oder zwei Personen besteht, zählt der Faktor der schnellen Debugging-Möglichkeit mehr als die hochtheoretische Bedrohung durch ein manipuliertes Telefonnetz.
Nicht zuletzt ist die SMS auch ein Thema der Benutzerfreundlichkeit auf dem falschen Gerät. Die Anmeldung an Nextcloud über einen geteilten Rechner im Empfangsbereich oder über einen Arbeitsplatz-PC, der keine Smartphone-Anbindung hat, funktioniert mit SMS deutlich eleganter als mit TOTP. Man tippt die Telefonnummer ein, erhält den Code, gibt ihn ein – fertig. Kein Blick auf das Handy, kein Öffnen der Authenticator-App, kein Abtippen von sechsstellige Zahlen, das bei schlechten Lichtverhältnissen oder auf einem abgenutzten Display zur Geduldsprobe wird. Diejenigen, die eine TOTP-basierte Anmeldung schon einmal auf einem öffentlichen Rechner mit eingeschränkter Tastaturbelegung durchführen mussten, werden wissen, wovon die Rede ist.
Der Blick auf die User: Einrichtung und Alltag
Aus der Perspektive der Benutzer betrachtet, unterscheidet sich die SMS-gestützte Zweifaktor-Authentifizierung erheblich von den anderen Verfahren. Während bei TOTP ein Einrichtungsprozess mit mehreren Schritten zu absolvieren ist – App installieren, Bluetooth-Berechtigung erteilen, QR-Code scannen, Bestätigungscode abtippen –, gestaltet sich die SMS-Einrichtung denkbar einfach. In den Nextcloud-Benutzereinstellungen unter dem Reiter „Sicherheit“ findet der Benutzer die Option zur Aktivierung des SMS-basierten zweiten Faktors. Er hinterlegt seine Mobilfunknummer, und das System sendet umgehend einen Bestätigungscode, der eingetragen werden muss. Einmal bestätigt, ist die Nummer verifiziert und der zweite Faktor aktiv. Das dauert keine fünf Minuten und kann von Benutzern ohne technisches Vorwissen durchgeführt werden – was man von der Einrichtung eines Sicherheitsschlüssels nicht unbedingt behaupten kann.
Im täglichen Anmeldevorgang wiederholt sich dann diese Einfachheit. Der Benutzer trägt seinen Benutzernamen und sein Passwort ein, und auf dem Anmeldebildschirm erscheint der Hinweis, dass ein Code per SMS an das hinterlegte Gerät gesendet wurde. Dieser Code wird abgetippt, und schon ist man drin. Die Nextcloud-Oberfläche gibt dabei eine gewisse Systemzeit vor, die für die Gültigkeit des Codes sorgt. Wer den Code zu langsam eintippt oder durch weitere Verzögerungen abgelenkt wird, hat möglicherweise das Problem, dass die SMS abläuft, bevor der Code eingegeben wird. In der Praxis ist das allerdings selten ein Problem – die Codes sind in der Regel zehn Minuten gültig, was ausreichend Spielraum bietet. Trotzdem sollte man als Benutzer nicht zu trödeln beginnen und der Anmeldebildschirm sollte nicht in einem Browser-Tab offen stehen bleiben, während man sich in einer völlig anderen Anwendung aufhält.
Ein interessanter Aspekt, den viele Benutzer erst in einer Notlage zu schätzen wissen, sind die sogenannten Backup-Codes, die Nextcloud beim Aktivieren des SMS-Systems auch anbietet. Diese Einmalcodes sind praktisch ein Notausgang: Sie können anstelle der SMS verwendet werden und sind auch dann gültig, wenn das Telefon nicht empfangsbereit ist. Ein weiser Administrator folgt deshalb der stets gleichen Empfehlung: den Benutzern dringend nahezulegen, sich diese Codes herunterzuladen und an einem sicheren Ort aufzubewahren – nicht auf dem Smartphone selbst, sondern etwa in einem Notizbuch oder in einem Tresor. Der Grund dafür ist offensichtlich: Ein verlorenes oder gestohlenes Telefon führt sonst zwangsläufig zum Aussperren aus dem eigenen Konto. Und die Reaktivierung eines gesperrten Kontos ist für den Administrator eine unangenehme Aufgabe, die er nicht tagtäglich erledigen möchte.
Wer die SMS-Zweifaktor-Authentifizierung aus der Perspektive des Benutzers nüchtern betrachtet, der wird feststellen: Sie ist nicht das eleganteste Verfahren, aber sie ist mit Abstand das zugänglichste. Die Einstiegshürde, die bei vielen Sicherheitslösungen das eigentliche Hindernis darstellt, wird hier quasi auf null reduziert. Das ist kein trivialer Vorteil. In einer Zeit, in der Cyber-Sicherheit allzu oft mit Komplexität und Verzicht gleichgesetzt wird, ist eine Lösung, die funktioniert und die Benutzer akzeptieren, mehr wert als eine hochkomplexe Lösung, die zwar alle theoretischen Anforderungen erfüllt, aber in der Praxis umgangen wird. Man muss das manchmal aussprechen: Die beste Sicherheitstechnologie ist wirkungslos, wenn sie nicht genutzt wird.
Betriebliche Realität: Wartung, Logs, Notfälle
Für den Administrator, der eine Nextcloud-Instanz mit SMS-Zweifaktor-Authentifizierung betreibt, beginnt die Arbeit erst nach der Grundkonfiguration. Es ist nicht damit getan, das Gateway einzurichten und die Benutzer zu aktivieren. Vielmehr muss der laufende Betrieb im Blick behalten werden. Dazu gehört die Überwachung der SMS-Versandprotokolle – nicht, um einzelne Nachrichten zu prüfen, wohl aber, um Auffälligkeiten zu erkennen. Ein plötzlicher Anstieg des SMS-Versandvolumens kann ein Hinweis darauf sein, dass ein Angreifer versucht, sich mit erratenen Passwörtern anzumelden und dabei jedes Mal den SMS-Versand auszulösen. Auch, wenn die Anmeldeversuche letztlich scheitern, verursachen sie Kosten und sind ein Zeichen für einen gezielten Angriff. Die Nextcloud-Logs liefern hier die notwendigen Daten, aber man muss sie eben auch lesen und auswerten.
Die Themen Wartung und Ausfallsicherheit hängen unmittelbar mit der Wahl des SMS-Providers zusammen. Bietet der verwendete Gateway-Dienst keine ausreichende Erreichbarkeit, kann auch eine perfekt konfigurierte Nextcloud-Instanz den Benutzern die Anmeldung nicht ermöglichen. Deshalb empfiehlt es sich, den SMS-Provider nicht als reine Kostenposition zu betrachten, sondern ihn als kritisches Infrastrukturelement zu behandeln. Das beinhaltet auch die Frage nach Redundanz: Was passiert, wenn der Hauptanbieter ausfällt? Die meisten Nextcloud-SMS-Apps unterstützen standardmäßig nur einen Anbieter, sodass ein Wechsel in einem Notfall manuelle Eingriffe erfordert. In größeren Installationen kann es daher sinnvoll sein, zwei unterschiedliche Provider zu konfigurieren und die Auswahl über eine vorgeschaltete Routing-Logik zu steuern. Dafür eignet sich nicht jede App, aber diejenigen, die mit generischen Schnittstellen arbeiten, lassen sich oft zu einem solchen Failover umbauen.
Ein weiteres betriebliches Thema ist die periodische Überprüfung der hinterlegten Telefonnummern. Mitarbeiter wechseln ihre Mobilfunknummern, seltener als man meinen möchte, aber es kommt vor. Und alte Nummern, die nicht mehr existieren, führen dazu, dass die SMS-Zustellung einfach fehlschlägt. Ein System, das nicht mehr genutzt wird, ist nicht nur ein Sicherheitsproblem, sondern auch ein Support-Problem. Der Administrator sollte deshalb regelmäßig alle Benutzerkonten daraufhin überprüfen, ob die hinterlegten Nummern noch aktuell sind. Automatisierte Lösungen sind möglich, aber selten unter den Standardfunktionen von Nextcloud. Der manuelle Aufwand ist, ehrlich gesagt, überschaubar, wenn die Benutzerbasis nicht gerade einige tausend Konten umfasst.
Nicht zuletzt stellt sich die Frage, was im Verlustfall zu tun ist. Ein gestohlenes Handy, eine deaktivierte SIM-Karte oder eine verlorene Telefonnummer – all das sind Szenarien, die die Anmeldung an Nextcloud blockieren können. In solchen Fällen liegt es am Administrator, den Benutzer in einer Notfallprozedur wieder zugänglich zu machen. Der Weg führt dabei über die administrativen Funktionen der Nextcloud-Instanz, die es dem Administrator erlaubt, den zweiten Faktor eines Benutzers zurückzusetzen. Das ist eine mächtige Funktion, die man nicht leichtfertig einsetzen sollte, aber sie ist eben auch eine notwendige Funktion. Sie gehört in ein Berechtigungskonzept, das streng regelt, wer diese Rücksetzung durchführen darf. Sonst wird die höchste Sicherheitsebene schnell zur höchsten Angriffsfläche, wenn ein unberechtigter Administrator auf dieser Ebene Schaden anrichten kann.
Ein interessanter Aspekt in diesem Zusammenhang ist die Verknüpfung von SMS-Versand und den Benutzerinformationen in Nextcloud. Die Aktivierung der SMS-Zweifaktor-Authentifizierung setzt voraus, dass die Telefonnummer sauber und eindeutig im System gepflegt ist. Manche Benutzer hinterlegen mehrere Nummern, andere gar keine. Eine konsequente Datenpflege ist daher eine Grundvoraussetzung für einen funktionierenden SMS-Betrieb. Wer die Benutzerverwaltung in Nextcloud nicht ohnehin schon sauber strukturiert hat, wird an dieser Stelle dazu gezwungen. Das ist ein positiver Nebeneffekt der Einführung, auch wenn er sich nicht direkt in einem Sicherheitsgewinn ausdrücken lässt, sondern vielmehr in einem Organisationsgewinn.
Ein Perspektivwechsel – und ein Plädoyer für Redundanz
Wenn man sich die Debatte um die Zweifaktor-Authentifizierung heute anschaut, dann fällt auf, dass sie sich stark auf die Wahl des richtigen Verfahrens versteift. Soll es TOTP sein, WebAuthn oder doch SMS? Diese Fragmentierung führt zuweilen dazu, dass man sich in Details verliert, die für die praktische Sicherheit nur eine untergeordnete Rolle spielen. Was zählt, ist am Ende nicht das einzelne Verfahren, sondern die Bereitschaft, überhaupt eine zweite Ebene einzuziehen und die damit verbundenen Prozesse ernst zu nehmen. In diesem Sinne ist die SMS keine schlechte Wahl – sie ist nur eine Wahl unter mehreren, und sie sollte nicht als alleinige Lösung, sondern als Bestandteil eines Sicherheitskonzepts betrachtet werden, das aus mehreren Schichten besteht.
Diese Mehrschichtigkeit, im Englischen gerne als „Defense in Depth“ bezeichnet, lässt sich bei Nextcloud gut umsetzen. Der Schlüssel liegt in der Kombination: Der Benutzer wählt bei der Anmeldung aus mehreren möglichen zweiten Faktoren aus, und die Auswahl wird je nach Kontext, nach Risikoprofil oder nach Benutzergruppe getroffen. So kann ein Benutzer, der sich aus dem Büro anmeldet, den sicheren WebAuthn-Schlüssel verwenden, während er unterwegs auf die SMS mit ihrem etwas geringeren Sicherheitsniveau zurückgreift. Diese Flexibilität ist kein Schwachpunkt, sondern eine Stärke – sie untergräbt die klassische Angriffsmethode des „einen Faktors für alles“ und gibt dem Benutzer eine Alternative auf dem Weg zur besseren Sicherheit. Man sollte sie nutzen.
Die nächste Stufe der Entwicklung wird ohnehin an der SMS vorbeigehen. Passkeys, die auf öffentlicher Schlüsselkryptographie basieren und nicht mehr auf einer kurzen Zahl, die ein Benutzer abtippen muss, werden in den nächsten Jahren an Bedeutung gewinnen. Auch Nextcloud arbeitet an einer besseren Unterstützung dieser Verfahren – erste Versionen sind bereits sichtbar, und die Konzepte reichen bis hin zur vollwertigen Passwort-Anmeldung mit Hilfe von biometrischen Geräten oder Sicherheitsschlüsseln. Doch bis diese Technologien standardmäßig in allen Unternehmen angekommen sind, wird noch eine Weile vergehen. Und für eine Übergangszeit – das sollte man realistisch sehen – wird die SMS auch weiterhin eine wichtige Rolle spielen, gerade in den Bereichen, in denen Schnelligkeit und Einfachheit über der theoretischen Perfektion stehen. Daran ist nichts Verwerfliches.
Wer sich mit der Materie auseinandersetzt, sollte deshalb nicht der Versuchung erliegen, die SMS als unsicheren Ladenhüter abzustempeln und die Einführung einer Zweifaktor-Authentifizierung hinauszuzögern, nur weil das „perfekte“ Verfahren noch nicht verfügbar ist. Die Vorstellung, dass es eine perfekte Lösung ohne Kompromisse gibt, ist eine Illusion. Jedes Authentifizierungsverfahren hat seine Tücken, seine Umgehungsmöglichkeiten und seine Benutzerwiderstände. Was letztlich zählt, ist, dass die Sicherheit nicht beim ersten Hindernis aufhört, sondern dass sie – gegen den Widerstand der Bequemlichkeit – durchgesetzt wird. Die SMS ist dafür ein durchaus taugliches Werkzeug. Nicht mehr, aber auch nicht weniger. Und genau das sollte man bei der Planung der eigenen Nextcloud-Sicherheitsarchitektur im Hinterkopf behalten.
Ein letzter, praktischer Hinweis sei noch gestattet. Wer die SMS-gestützte Zweifaktor-Authentifizierung als Standard für seine Organisation einführen möchte, sollte einen sauberen Einführungszeitpunkt wählen und die Benutzer rechtzeitig informieren. Eine unerwartete zweite Anmeldeebene, die plötzlich in einer stressigen Arbeitswoche auftaucht, erzeugt Widerstand. Eine kommunizierte Einführung, die den Nutzen verdeutlicht und die Schritte transparent erklärt, dagegen erzeugt Akzeptanz und damit ein Stück weit auch Sicherheitsbewusstsein. Insofern ist die Einführung des SMS-Zweifaktors nicht nur ein technisches Projekt, sondern auch ein menschliches. Man tut gut daran, diesen Aspekt nicht zu unterschätzen. Die Technik funktioniert zuverlässig; die Kunst besteht darin, die Menschen mitzunehmen. Wer das schafft, hat mehr gewonnen als einen sicheren Anmeldevorgang – er hat eine Sicherheitskultur geschaffen, die auf Dauer trägt. Dafür lohnt sich der ganze Aufwand allemal.