Zwei-Faktor-Authentifizierung in der Werkstatt: Leitfaden

Die Zwei-Faktor-Authentifizierung (2FA) schützt die Konten Ihrer Werkstatt mit einem zweiten Nachweis zusätzlich zum Passwort. Das kann ein Code aus einer App sein, ein Sicherheitsschlüssel oder ein Passkey auf dem Smartphone. Wer Ihr Passwort kennt, kommt damit allein nicht mehr an Werkstattsoftware, E-Mail-Postfach, Online-Banking oder Herstellerportal. In diesem Leitfaden lesen Sie, welche Konten in einem Kfz-Betrieb zuerst an der Reihe sind, welche Methode zu ölverschmierten Händen und wechselnden Arbeitsplätzen passt und wie Sie 2FA einführen, ohne dass am Montagmorgen die Auftragsannahme stillsteht.

Kurz gesagt

• 2FA verlangt beim Login zwei unabhängige Nachweise, meist Passwort plus Code oder Gerät. Ein gestohlenes Passwort reicht dann nicht mehr aus.
• In der Werkstatt gehören zuerst E-Mail, Online-Banking, Werkstattsoftware, Herstellerportale und Teilehändler-Zugänge unter 2FA.
• Authenticator-Apps, Sicherheitsschlüssel und Passkeys sind sicherer und bequemer als SMS- oder E-Mail-Codes.
• Jeder Mitarbeiter braucht ein eigenes Konto mit eigenem zweiten Faktor. Geteilte Zugänge machen 2FA wirkungslos.
• Legen Sie Wiederherstellungscodes und einen Notfallablauf fest, bevor ein Handy verloren geht, nicht danach.

Inhaltsverzeichnis

• 1. Was Zwei-Faktor-Authentifizierung ist und wie sie funktioniert
• 2. Warum Kfz-Werkstätten besonders profitieren
• 3. Ist 2FA sicher?
• 4. Welche Methode zum Werkstattalltag passt
• 5. 2FA in der Werkstatt einführen: Schritt für Schritt
• 6. Wiederherstellungscodes und Ersatzzugänge sicher verwahren
• 7. Handy verloren: der Notfallplan
• 8. Mitarbeiterwechsel und gemeinsam genutzte Geräte
• Unsere Sicht: Sicherheit, die den Ablauf nicht bremst
• CarsKeeper ausprobieren
• Häufige Fragen
• Quellen

1. Was Zwei-Faktor-Authentifizierung ist und wie sie funktioniert

Bei einer klassischen Anmeldung prüft ein System nur eines: ob Sie das richtige Passwort kennen. Bei der Zwei-Faktor-Authentifizierung kommt ein zweiter Nachweis aus einer anderen Kategorie hinzu. Fachlich unterscheidet man drei Arten von Faktoren:

Echte 2FA kombiniert zwei verschiedene Kategorien. Zwei Passwörter hintereinander sind keine 2FA, denn beide fallen unter Wissen und lassen sich auf dieselbe Weise abgreifen.

Der Ablauf ist in der Praxis kurz. Sie geben wie gewohnt Benutzername und Passwort ein. Danach fragt das System nach dem zweiten Faktor: Sie öffnen die Authenticator-App und tippen den sechsstelligen Code ein, bestätigen eine Push-Nachricht, stecken einen Sicherheitsschlüssel ein oder entsperren einen Passkey per Fingerabdruck. Erst dann sind Sie angemeldet.

Bei Authenticator-Apps arbeitet ein Verfahren namens TOTP (zeitbasiertes Einmalpasswort). Bei der Einrichtung scannen Sie einen QR-Code, der einen geheimen Schlüssel enthält. App und Server berechnen daraus unabhängig voneinander alle 30 Sekunden denselben Code. Der Code verlässt das Gerät nur, wenn Sie ihn eintippen, und ist kurz danach wertlos.

Merksatz: 2FA ersetzt kein gutes Passwort. Sie ergänzt es um eine zweite Hürde, die ein Angreifer aus der Ferne kaum überwinden kann.

2. Warum Kfz-Werkstätten besonders profitieren

Eine freie Werkstatt verwaltet heute mehr Online-Zugänge, als vielen Inhabern bewusst ist. Dazu gehören typischerweise:

• das E-Mail-Postfach, über das Rechnungen, Angebote und Passwort-Resets laufen
• das Online-Banking und eventuell ein Zahlungsdienst für Kartenzahlung
• die Werkstattsoftware mit Kunden-, Fahrzeug- und Auftragsdaten
• Herstellerportale für Diagnose, Reparaturinformationen und Software-Updates
• Bestellportale von Teilegroßhändlern, oft mit hinterlegten Zahlungsdaten
• der Austausch mit Steuerberatung und Buchhaltung

Die Verbraucherzentrale beschreibt, dass 2FA den Fremdzugriff erschwert, weil ein gestohlenes Passwort allein nicht mehr genügt, und empfiehlt sie vor allem für sensible Konten wie Online-Banking und E-Mail. Genau diese Konten sind in der Werkstatt das Rückgrat des Geschäfts.

Das E-Mail-Postfach verdient besondere Aufmerksamkeit. Wer es übernimmt, kann bei fast jedem anderen Dienst das Passwort zurücksetzen lassen. Ein typisches Szenario: Eine täuschend echte Mail scheinbar vom Teilehändler fordert zur Anmeldung auf, ein Mitarbeiter gibt sein Passwort auf einer gefälschten Seite ein. Ohne 2FA hat der Angreifer damit Zugriff. Mit 2FA fehlt ihm der zweite Faktor.

Dazu kommt die Verantwortung für personenbezogene Daten. Ihre Werkstattsoftware enthält Namen, Adressen, Telefonnummern, Kennzeichen und Fahrzeug-Identifizierungsnummern Ihrer Kunden. Laut Microsoft unterstützt 2FA die Einhaltung der DSGVO, weil sie das Risiko von Datenpannen senkt. Welche weiteren Schritte im Datenschutz sofort umsetzbar sind, zeigt unser Beitrag zur DSGVO in der Kfz-Werkstatt.

Auch Fahrzeughersteller setzen inzwischen auf mehrstufige Anmeldung. Für die XENTRY-Applikationen nennt Mercedes-Benz in seinem MFA-Leitfaden für B2B Connect eine Smartphone-App, eine Windows-App und einen USB-Sicherheitsschlüssel als Methoden. Wer mit Herstellerportalen arbeitet, kommt um das Thema ohnehin nicht herum. Es lohnt sich, alle Zugänge einheitlich zu organisieren.

3. Ist 2FA sicher?

Kurz: deutlich sicherer als ein Passwort allein, aber nicht unverwundbar. Nach Microsoft verringert 2FA die Folgen von Phishing, Credential Stuffing (dem automatisierten Durchprobieren geleakter Zugangsdaten) und Brute-Force-Angriffen. Die Sicherheitsfachleute des OWASP-Projekts empfehlen sogar, bei der Planung grundsätzlich davon auszugehen, dass Passwörter kompromittiert werden, und mehrstufige Anmeldung als zusätzliche Verteidigungsebene einzuplanen.

Die Schwachstellen liegen an anderer Stelle:

• Schwache Methoden: SMS-Codes lassen sich abfangen oder per Täuschung beim Mobilfunkanbieter umleiten.
• Echtzeit-Phishing: Gefälschte Login-Seiten fragen auch den Code ab und reichen ihn sofort weiter. Gegen diese Masche helfen Sicherheitsschlüssel und Passkeys, weil sie an die echte Webadresse gebunden sind.
• Push-Müdigkeit: Wer jede Bestätigungsanfrage reflexhaft freigibt, öffnet die Tür selbst. Bestätigen Sie nur Anmeldungen, die Sie gerade selbst ausgelöst haben.
• Wiederherstellung: Laut OWASP werden Prozesse zum Umgehen oder Zurücksetzen von 2FA selbst von Angreifern als Einfallstor genutzt. Ein zu großzügiger Notfallablauf hebelt also den Schutz aus.

Merksatz: Die Methode entscheidet über die Stärke. Ein Code per SMS ist besser als nichts, ein Passkey oder Sicherheitsschlüssel ist besser als ein Code.

4. Welche Methode zum Werkstattalltag passt

Im Büro ist die Wahl einfach, in der Halle weniger. Handschuhe, Schmutz, Lärm und geteilte Tablets stellen eigene Anforderungen. Die Verbraucherzentrale stuft SMS- und E-Mail-Codes als weniger sicher und weniger komfortabel ein als Authenticator-Apps, biometrische Verfahren oder Hardware-Tokens. Die folgende Übersicht ordnet die Methoden für Kfz-Betriebe ein:

Für die meisten Werkstätten bewährt sich eine Kombination:

1. Inhaber und Büro: Passkey oder Sicherheitsschlüssel für E-Mail, Banking und Buchhaltung, dazu eine Authenticator-App als Reserve.
2. Serviceannahme: Authenticator-App oder Passkey auf dem eigenen Smartphone. Push-Bestätigungen sparen am Tresen Zeit, wenn Kunden warten.
3. Mechaniker in der Halle: persönliches Konto mit Passkey oder App. Wer Handschuhe trägt, entsperrt per Gesichtserkennung oft schneller als per Fingerabdruck.

Moderne Verfahren wie Push-Benachrichtigungen erhöhen laut Microsoft den Komfort für die Anwender. Das ist kein Nebenaspekt: Ein Verfahren, das im Alltag nervt, wird umgangen.

5. 2FA in der Werkstatt einführen: Schritt für Schritt

Die Einrichtung finden Sie bei fast jedem Dienst in den Benutzer- oder Sicherheitseinstellungen. Manche Dienste bieten 2FA schon bei der Registrierung an oder schreiben sie vor, andere unterstützen sie noch nicht, so die Verbraucherzentrale. Damit die Umstellung den Betrieb nicht ausbremst, gehen Sie in dieser Reihenfolge vor:

1. Bestandsaufnahme machen. Listen Sie alle Online-Zugänge des Betriebs auf, mit Verantwortlichem und genutzter Anmeldemethode. Eine einfache Tabelle genügt.
2. Geteilte Zugänge auflösen. Jeder Mitarbeiter erhält ein eigenes Benutzerkonto. Nur so lässt sich nachvollziehen, wer einen Auftrag geändert oder eine Rechnung storniert hat, und nur so kann ein persönlicher zweiter Faktor greifen.
3. Mit dem E-Mail-Postfach beginnen. Es ist der Generalschlüssel für alle Passwort-Resets. Danach folgen Online-Banking, Werkstattsoftware und Herstellerportale.
4. Methode festlegen. Entscheiden Sie pro Rolle, welche Methode Standard ist (siehe Abschnitt 4). Einheitliche Regeln vereinfachen die Unterstützung im Team.
5. Einrichtung gemeinsam durchführen. Planen Sie eine ruhige Viertelstunde, etwa vor Arbeitsbeginn. Bei Authenticator-Apps scannt jeder den QR-Code mit dem eigenen Gerät und bestätigt den angezeigten Code einmal zur Kontrolle.
6. Übergangsphase nutzen. Viele Systeme erlauben, 2FA zunächst für einzelne Personen oder Geräte zu aktivieren und erst später für alle verpflichtend zu machen. So fallen Probleme auf, bevor sie den ganzen Betrieb betreffen.
7. Wiederherstellungscodes sichern. Direkt nach der Einrichtung, nicht irgendwann (siehe Abschnitt 6).
8. Verpflichtend schalten. Sobald alle eingerichtet sind, aktivieren Sie 2FA für sämtliche Konten. Ein freiwilliges Angebot wird erfahrungsgemäß von einem Teil des Teams nie genutzt.

Wie Sie den Zugriff auf die Werkstattsysteme von unterwegs oder vom Büro zu Hause zusätzlich absichern, beschreiben wir im Beitrag zum sicheren Zugriff von zuhause.

6. Wiederherstellungscodes und Ersatzzugänge sicher verwahren

Bei der Aktivierung von 2FA zeigen die meisten Dienste einmalig eine Liste mit Wiederherstellungscodes an. Jeder Code ersetzt einmal den zweiten Faktor. Damit sind diese Codes so wertvoll wie ein Generalschlüssel für die Werkstatttür.

So verwahren Sie sie richtig:

• Ausgedruckt im Tresor oder abschließbaren Schrank, getrennt vom Gerät mit dem zweiten Faktor.
• Alternativ in einem Passwort-Manager, der selbst mit 2FA geschützt ist.
• Nicht als Foto auf dem Smartphone, nicht als Datei auf dem Desktop, nicht auf einem Zettel am Monitor in der Annahme.
• Pro Person und Dienst beschriftet, damit im Notfall niemand raten muss.

Für Inhaberkonten empfiehlt sich ein zweiter registrierter Faktor, etwa ein Ersatz-Sicherheitsschlüssel im Tresor oder ein zweites Gerät mit Passkey. So bleibt der Betrieb handlungsfähig, auch wenn das Hauptgerät ausfällt. Weil OWASP Wiederherstellungsprozesse ausdrücklich als mögliches Einfallstor nennt, gilt: Wer Zugriff auf die Codes hat, muss genauso klar geregelt sein wie die Frage, wer einen Schlüssel zur Halle bekommt.

7. Handy verloren: der Notfallplan

Das Risiko, sich auszusperren, und den zusätzlichen Verwaltungsaufwand nennt OWASP als die wesentlichen Nachteile von 2FA. Beides lässt sich mit einem festen Ablauf beherrschen. Verliert ein Mitarbeiter sein Smartphone oder seinen Sicherheitsschlüssel, gehen Sie so vor:

1. Sofort melden. Der Mitarbeiter informiert den Inhaber oder den IT-Verantwortlichen noch am selben Tag.
2. Gerät sperren. Über die Gerätesuche des Smartphone-Herstellers lässt sich das Handy sperren oder aus der Ferne löschen. Die SIM-Karte sperrt der Mobilfunkanbieter.
3. Altes Gerät abmelden. In der Werkstattsoftware und den übrigen Diensten entfernen Sie den verlorenen Faktor bzw. beenden aktive Sitzungen auf dem Gerät.
4. Identität prüfen. Ein Administrator setzt 2FA nur zurück, wenn er sicher weiß, wer anfragt. Persönlich in der Werkstatt ist das einfach. Eine Anfrage per Mail oder Telefon von angeblich verlorenem Handy ist dagegen ein klassischer Trick.
5. Neu einrichten. Der Mitarbeiter registriert das neue Gerät und erhält neue Wiederherstellungscodes. Die alten werden ungültig.
6. Passwörter prüfen. War das Gerät ungesperrt oder waren Passwörter darauf gespeichert, ändern Sie die betroffenen Passwörter.

Für Ihr eigenes Inhaberkonto greifen Sie auf die Wiederherstellungscodes oder den Ersatzfaktor aus dem Tresor zurück. Bei Herstellerportalen oder Banken führt der Weg sonst über deren Support, was Tage dauern kann. Ein zweiter Faktor in Reserve ist deshalb die beste Versicherung gegen Stillstand.

8. Mitarbeiterwechsel und gemeinsam genutzte Geräte

In vielen Betrieben liegt ein Tablet an der Hebebühne, das mehrere Mechaniker nutzen. Das ist praktisch und mit 2FA vereinbar, wenn zwei Regeln gelten:

• Das Gerät ist gemeinsam, die Konten sind es nicht. Jeder meldet sich mit eigenem Konto an und nach der Arbeit wieder ab, oder das System sperrt nach kurzer Inaktivität.
• Rechte nach Rolle vergeben. Ein Mechaniker braucht Aufträge und Fahrzeugdaten, aber nicht unbedingt Buchhaltung, Mahnwesen oder Bankdaten.

Verlässt jemand den Betrieb, deaktivieren Sie sein Konto am letzten Arbeitstag und entfernen seine registrierten Geräte. Bei geteilten Zugangsdaten müssten Sie dagegen jedes Passwort ändern und hätten trotzdem keine Gewissheit. Welche Anforderungen an Software gelten, die auf Tablet, Smartphone und PC gleichermaßen läuft, lesen Sie im Beitrag zur geräteübergreifenden Werkstattsoftware.

Unsere Sicht: Sicherheit, die den Ablauf nicht bremst

Wir sehen in vielen Werkstätten dasselbe Muster: Aufträge in einem Programm, Rechnungen in einem zweiten, Buchhaltung in einem dritten, dazu Excel-Listen für die Reifeneinlagerung. Jedes dieser Programme hat eigene Zugänge, eigene Passwörter und im besten Fall eine eigene 2FA. In der Praxis bedeutet das: Je mehr Systeme, desto mehr Konten, die irgendwann ohne zweiten Faktor bleiben, und desto mehr Stellen, an denen Kundendaten liegen.

Deshalb halten wir die Zahl der Systeme für die wichtigste Sicherheitsfrage überhaupt. Ein Konto, das Sie gut absichern, ist besser als fünf, die Sie halbherzig absichern. CarsKeeper führt Kunden- und Fahrzeugverwaltung, Aufträge, Kostenvoranschläge, Rechnungen und Mahnwesen in einer cloudbasierten Anwendung zusammen. Den Zugang schützen Sie mit Passkeys, 2FA und Rollen, sodass jeder Mitarbeiter genau die Bereiche sieht, die er für seine Arbeit braucht.

Unser Rat an jeden Inhaber: Fangen Sie diese Woche mit dem E-Mail-Postfach an. Das dauert wenige Minuten und schließt die größte Lücke. Den Rest erledigen Sie Schritt für Schritt.

— Fabian

CarsKeeper ausprobieren

Wenn Sie Ihre Werkstattprozesse in einem gut geschützten System bündeln möchten, ist CarsKeeper eine naheliegende Wahl: Werkstattmanagement und Rechnungsstellung inklusive E-Rechnung in einer Anwendung, GoBD- und DSGVO-konform, nutzbar auf allen Geräten. Der CarsKeeper Vollzugang kostet 15 € pro Monat und Nutzer. Für die Unterschrift des Kunden direkt am Auftrag gibt es passende Werkstatt-Hardware wie Tablet und Signier-Terminal.

Häufige Fragen

Ist 2FA für Werkstätten gesetzlich vorgeschrieben?

Eine ausdrückliche gesetzliche 2FA-Pflicht für Kfz-Werkstätten gibt es nicht. Die DSGVO verlangt jedoch angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, und 2FA ist dafür ein naheliegender Baustein. Zudem schreiben einzelne Dienste wie Herstellerportale die mehrstufige Anmeldung bereits vor.

Wo finde ich den Geheimschlüssel für die Authenticator-App?

Der Geheimschlüssel steckt im QR-Code, den der Dienst bei der Einrichtung anzeigt. Meist gibt es darunter die Option, ihn als Zeichenfolge anzuzeigen, falls das Scannen nicht klappt. Nach der Einrichtung lässt er sich in der Regel nicht erneut abrufen. Dann deaktivieren Sie 2FA und richten sie neu ein, oder Sie nutzen die Exportfunktion Ihrer App.

Was tun, wenn ich das Passwort für die Authenticator-App vergessen habe?

Viele Apps sichern ihre Konten über das Konto des App-Anbieters oder die Geräte-PIN. Setzen Sie dort zunächst das Passwort zurück. Gelingt das nicht, melden Sie sich bei den einzelnen Diensten mit Ihren Wiederherstellungscodes an und registrieren die App neu.

Reicht ein starkes Passwort nicht aus?

Ein starkes, einzigartiges Passwort bleibt Pflicht, schützt aber nicht, wenn es per Phishing abgegriffen oder bei einem fremden Dienst geleakt wird. Genau dann verhindert der zweite Faktor den Zugriff. Beides zusammen ergibt den Schutz, den die Konten eines Betriebs brauchen.

Quellen

• Verbraucherzentrale: Zwei-Faktor-Authentisierung, so schützen Sie Ihre Accounts
• Microsoft: Was ist die Zwei-Faktor-Authentifizierung (2FA)?
• OWASP Cheat Sheet Series: Multifactor Authentication
• Mercedes-Benz B2B Connect: MFA Guide

Empfehlungen

• Sicherheit und Zugriff: Passkeys, 2FA und Rollen
• Zugriff von überall auf die Werkstatt: So gelingt es sicher
• Zugriff von zuhause auf die Werkstatt: So sichern Sie Ihre IT richtig ab