Zwei-Faktor-Authentifizierung
Anmeldung mit zwei unabhängigen Nachweisen, meist Passwort plus Code oder Freigabe auf dem Handy. Schützt Vereinskonten, auch wenn ein Passwort in falsche Hände gerät.
Bei der Zwei-Faktor-Authentifizierung (2FA) reicht das Passwort allein nicht mehr aus. Wer sich anmeldet, weist sich mit einem zweiten, unabhängigen Faktor aus — typischerweise mit etwas, das er besitzt (ein Smartphone mit Authenticator-App), oder mit einem biometrischen Merkmal (Fingerabdruck, Gesichtserkennung). Ein gestohlenes oder erratenes Passwort genügt Angreifern dann nicht mehr.
Warum das für Vereine wichtig ist
Vorstände, Kassenwarte und Geschäftsstellen verwalten Anschriften, Geburtsdaten, Bankverbindungen und manchmal Gesundheitsangaben ihrer Mitglieder. Nach Art. 32 DSGVO muss der Verein diese Daten mit geeigneten technischen Maßnahmen schützen. Viele Datenpannen beginnen mit einem wiederverwendeten Passwort oder einer Phishing-Mail. Ein zweiter Faktor schließt genau diese Lücke — mit wenigen Sekunden Aufwand pro Anmeldung.
Die gängigen Verfahren
- Einmalcode aus einer Authenticator-App (TOTP): Die App erzeugt alle 30 Sekunden einen sechsstelligen Code, der nur zusammen mit dem Passwort gilt.
- Push-Freigabe: Das Handy meldet die Anmeldung, man bestätigt mit einem Tipp — bequemer als ein Code und mit Angabe, wer sich wo anmeldet.
- Passkey: kryptografischer Schlüssel auf dem Gerät, entsperrt mit Fingerabdruck, Gesicht oder Geräte-PIN.
- SMS-Code: verbreitet, aber schwächer, weil SMS umgeleitet werden können.
Wiederherstellung nicht vergessen
Geht das Handy verloren, braucht es einen Rückweg: Wiederherstellungscodes, die bei der Einrichtung einmal angezeigt und sicher aufbewahrt werden, ein zweites Gerät oder ein Passkey. Für Vereine bewährt sich zusätzlich, dass ein anderer Admin den zweiten Faktor einer Person zurücksetzen kann — nachvollziehbar im Audit-Log.
So ist es in innoverein gelöst
Für jedes Konto der Vereinsverwaltung ist der zweite Faktor Pflicht. Zur Wahl stehen die eigene App „innoverein Authenticator“ mit Push-Freigabe, jede andere Authenticator-App und Passkeys. Für Mitglieder kann der Verein den zweiten Faktor zusätzlich verpflichtend machen. Sensible Aktionen wie Rollenvergabe oder das Ändern der Bankverbindung fragen den zweiten Faktor erneut ab.