> ## Knowledge Base Index > Fetch the complete knowledge base index at: https://help.fotostudio.io/sitemap.xml > Use this file to discover available pages before exploring further. > Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash). # Sicherheit und Zwei-Faktor-Authentifizierung # Kontosicherheit: Zwei-Faktor-Authentifizierung und verdächtige Anmeldungen ## Einführung Fotostudio integriert jetzt mehrere Mechanismen zum Schutz deines Kontos: Zwei-Faktor-Authentifizierung (MFA), Erkennung ungewöhnlicher Anmeldungen, Anmeldeverlauf und automatische Sitzungsungültigkeit bei Passwortänderung. --- ## Zwei-Faktor-Authentifizierung (MFA) ### Was ist das? Die Zwei-Faktor-Authentifizierung fügt einen zweiten Schritt zu deiner Anmeldung hinzu. Nachdem du dein Passwort eingegeben hast, musst du einen 6-stelligen Code eingeben, der von einer Authentifizierungs-App auf deinem Telefon generiert wird. Selbst wenn jemand dein Passwort stiehlt, kann er ohne dein Telefon nicht auf dein Konto zugreifen. ### Welche App verwenden? Die MFA von Fotostudio basiert auf dem TOTP-Protokoll (offener Standard RFC 6238), kompatibel mit allen Authentifizierungs-Apps auf dem Markt: * **Google Authenticator** (iOS / Android) * **Authy** * **Microsoft Authenticator** * **1Password**, **Bitwarden**, etc. ### MFA aktivieren 1. Gehe zu **Mein Konto → Sicherheit → Zwei-Faktor-Authentifizierung** 2. Installiere eine Authentifizierungs-App auf deinem Telefon 3. Scanne den angezeigten QR-Code mit deiner App 4. Gib den von der App generierten 6-stelligen Code zur Bestätigung ein 5. Wähle die Überprüfungshäufigkeit (siehe unten) 6. **Speichere deine Wiederherstellungscodes** (kritischer Schritt, siehe dedizierter Abschnitt) ### Überprüfungshäufigkeit Bei der Aktivierung wählst du, wann der Code angefordert wird: | Option | Verhalten | | ---- | | **Bei jeder Anmeldung** | Der Code wird immer angefordert, ohne Ausnahme | | **Bei Anmeldung von einem unbekannten Browser** | Der Code wird **90 Tage** in diesem Browser über ein sicheres Cookie gespeichert. Er wird erneut angefordert, wenn du den Browser oder das Gerät wechselst, deine Cookies löschst, dein Passwort änderst oder dich aus einem ungewöhnlichen Land anmeldest | > **Hinweis**: Im Modus "unbekannter Browser", wenn du immer zum selben Browser zurückkehrst ohne deine Cookies zu löschen, wird der Code 90 Tage lang nicht mehr angefordert. Das ist eine bewusste Komfortentscheidung, ähnlich dem Verhalten großer Websites wie Google. ### MFA deaktivieren Gehe zu **Mein Konto → Sicherheit → Zwei-Faktor-Authentifizierung** und klicke auf **Deaktivieren**. Eine Bestätigung wird angefordert. --- ## Wiederherstellungscodes ### Warum das wichtig ist Wenn du den Zugriff auf dein Telefon verlierst (Diebstahl, Defekt, neue App), sind die Wiederherstellungscodes **die einzige Möglichkeit** dich anzumelden. Ohne sie wäre dein Konto unzugänglich. ### Wie es funktioniert * Bei MFA-Aktivierung werden **10 Wiederherstellungscodes** generiert und **nur einmal** angezeigt * Jeder Code hat das Format `XXXX-XXXX-XXXX` * Ein Code ist **nur einmal verwendbar**: einmal benutzt, ist er dauerhaft ungültig * Sie werden anstelle des TOTP-Codes auf der MFA-Anmeldeseite verwendet ### Wie speichern * In deinem Passwort-Manager (1Password, Bitwarden…) * In einer verschlüsselten Datei * Ausgedruckt und an einem sicheren Ort aufbewahrt ### Codes neu generieren Wenn du dich 0 verbleibenden Codes näherst oder denkst, dass deine Codes kompromittiert wurden: 1. Gehe zu **Mein Konto → Sicherheit → Zwei-Faktor-Authentifizierung** 2. Klicke auf **Wiederherstellungscodes neu generieren** 3. Die alten Codes werden **sofort ungültig** 4. Speichere die neuen Codes > Die Anzahl der verbleibenden Codes wird auf der Sicherheitsseite angezeigt. Eine Warnung erscheint automatisch, wenn 2 oder weniger übrig sind. --- ## Erkennung ungewöhnlicher Anmeldungen Fotostudio analysiert automatisch jede Anmeldung und vergleicht das Land der aktuellen IP-Adresse mit dem der letzten bekannten Anmeldung. ### Was passiert bei einer verdächtigen Anmeldung? **Automatische Warn-E-Mail** - du erhältst eine E-Mail mit: * Dem erkannten Land * Der IP-Adresse * Datum und Uhrzeit der Anmeldung * Einem direkten Link zum Ändern deines Passworts * Einem Link zur MFA-Aktivierung, falls noch nicht geschehen **Wenn du MFA aktiviert hast** - selbst wenn dein Browser als "vertrauenswürdig" markiert war, wird der TOTP-Code bei einer Anmeldung aus einem anderen Land automatisch erneut angefordert. ### Was keine Warnung auslöst * Gleiches Land, andere IP-Adresse (Netzwerkwechsel, 4G → WLAN, etc.) * Anmeldungen von lokalen Adressen (internes Netzwerk, Entwicklung) > Wenn du eine Warn-E-Mail erhältst und nicht der Urheber dieser Anmeldung bist, ändere sofort dein Passwort über den Link in der E-Mail. --- ## Anmeldeverlauf und Sicherheitsseite Die Seite **Mein Konto → Sicherheit** zentralisiert alle Sicherheitsinformationen deines Kontos: ### MFA-Status * Wenn MFA aktiv ist: Aktivierungsdatum, Anzahl verbleibender Wiederherstellungscodes, Link zur Verwaltung * Wenn MFA inaktiv ist: Einladung zur Aktivierung mit direktem Link ### Anmeldeverlauf Zeigt die letzten 50 Anmeldungen bei deinem Konto mit: | Spalte | Detail | | ---- | | **Datum** | Datum und Uhrzeit der Anmeldung | | **Land** | Über IP-Adresse erkanntes Land | | **IP-Adresse** | Bei der Anmeldung verwendete IP | | **Browser** | User-Agent des Browsers | | ⚠️ | Anmeldung aus einem ungewöhnlichen Land | | 🔒 | MFA-Code bei dieser Anmeldung verifiziert | --- ## Passwort ändern Wenn du dein Passwort unter **Mein Profil** änderst, werden automatisch mehrere Sicherheitsmaßnahmen ausgelöst: 1. **Alle anderen aktiven Sitzungen werden beendet** – jede Person, die auf einem anderen Gerät mit deinem Konto angemeldet ist, wird sofort abgemeldet. 2. **Das Vertrauen für alle MFA-Geräte wird aufgehoben** – der TOTP-Code wird bei der nächsten Anmeldung auf allen Geräten erneut abgefragt, auch auf zuvor als vertrauenswürdig gespeicherten Geräten. --- ## Schutz vor Brute-Force-Angriffen Zusätzlich zur MFA begrenzt Fotostudio automatisch die Anzahl der Anmeldeversuche: | Zugangspunkt | Limit | | ---- | ---- | | Anmeldeseite (pro IP-Adresse) | 5 Versuche pro Minute | | Anmeldeseite (pro E-Mail-Adresse) | 10 Versuche innerhalb von 10 Minuten | | MFA-Code | 5 Versuche innerhalb von 5 Minuten | | Passwort zurücksetzen | 10 Versuche innerhalb von 10 Minuten | Werden diese Grenzwerte überschritten, wird der Zugriff vorübergehend gesperrt. Wenn beim Anmelden die Meldung erscheint, dass dein Konto gesperrt ist, musst du entweder eine Stunde warten, bis es automatisch entsperrt wird, oder den Support kontaktieren, damit dein Konto sofort entsperrt wird. --- ## FAQ **F: Mein TOTP-Code wird nicht akzeptiert.** Überprüfe, ob die Uhrzeit auf deinem Smartphone automatisch synchronisiert wird. Eine falsche Uhrzeit verhindert die Validierung des Codes. Besteht das Problem weiterhin, verwende einen Wiederherstellungscode und aktiviere die MFA erneut. **F: Ich habe mein Smartphone verloren und besitze keine Wiederherstellungscodes mehr.** Kontaktiere den Fotostudio-Support. Zur Deaktivierung der MFA auf deinem Konto ist eine Identitätsprüfung erforderlich. **F: Ich erhalte bei jeder Anmeldung eine Warn-E-Mail, obwohl ich mich von zu Hause aus anmelde.** Möglicherweise vergibt dein Internetanbieter regelmäßig eine neue IP-Adresse (dynamische IP). Solange das erkannte Land gleich bleibt, wird keine E-Mail versendet. Wenn du ein VPN verwendest, kann das erkannte Land je nach VPN-Server variieren. **F: Ist MFA verpflichtend?** Nein, sie ist optional. Wir empfehlen sie jedoch dringend, insbesondere wenn dein Konto Kundendaten, Rechnungsinformationen oder verknüpfte Bankzugänge enthält.