Vertrauenswürdige Geräte (Gerät merken bei 2FA)

3 Min. Lesezeit

Wenn Sie 2FA aktiviert haben und beim Login von Ihrem gewöhnlichen Rechner oder Mobiltelefon den sechsstelligen Code überspringen möchten, aktivieren Sie "Dieses Gerät merken" - 30 Tage lang fragen wir Sie nicht erneut nach dem TOTP.

So funktioniert es

Aktivieren Sie beim ersten erfolgreichen 2FA-Login auf dem Gerät die Option "Dieses Gerät merken"
Wir speichern im Browser ein HTTP-only Cookie mit einem signierten Token (HMAC, nicht manipulierbar)
Beim nächsten Login (gleicher Browser, gleiches Gerät) erkennen wir dieses Cookie und überspringen den 2FA-Schritt
Nach 30 Tagen läuft der Token ab und Sie müssen den TOTP erneut eingeben

Verwaltung vertrauenswürdiger Geräte

In den Einstellungen -> Bereich Sicherheit -> Vertrauenswürdige Geräte sehen Sie die Liste:

Gerätename (aus dem User-Agent - z. B. "Chrome auf Windows 11")
IP und Land der letzten Anmeldung
Datum des Hinzufügens und der letzten Verwendung
Schaltfläche Entfernen - hebt das Vertrauen sofort auf (das Cookie wird bei der nächsten Anfrage abgelehnt)

Wann ein Gerät entfernen

Wenn Sie sich an einem fremden oder öffentlichen Rechner angemeldet haben (Café, Bibliothek)
Wenn Sie das Notebook oder Mobiltelefon verloren oder verkauft haben
Wenn Sie in der Liste ein Gerät sehen, das Sie nicht kennen (prüfen Sie IP / Land)

Sicherheitsmaßnahmen

HMAC-Signatur: der Token wird mit einem serverseitigen Secret signiert - ein Angreifer kann ohne Bruch des Secrets kein gültiges Cookie fälschen
HTTP-only: JavaScript auf der Seite sieht das Cookie nicht (Schutz vor XSS-Exfiltration)
Secure-Flag: das Cookie wird ausschließlich über HTTPS übertragen
Pro Konto: der Token enthält die User-ID - ein aus Konto A gestohlenes Cookie funktioniert in Konto B nicht
Automatischer Ablauf: 30 Tage Gültigkeit, danach ist der TOTP wieder erforderlich
Bei Passwortänderung (via "Passwort vergessen" oder Passwort-Reset) werden alle vertrauenswürdigen Geräte automatisch entfernt - ein Angreifer mit gestohlenem Cookie kann 2FA nicht mehr umgehen