Die Zwei-Faktor-Authentifizierung (Two-Factor Authentication, kurz 2FA) bietet eine zweite Sicherheitsebene für Ihr cPanel-Konto: Zusätzlich zum Passwort müssen Sie zur Anmeldung einen zeitabhängigen Einmalcode eingeben, der von einer Authentifizierungs-App auf Ihrem Smartphone generiert wird. Auf diese Weise bleibt Ihr Konto auch dann geschützt, wenn jemand Ihr Passwort in Erfahrung bringt, beispielsweise durch eine Phishing-E-Mail oder über einen gehackten Computer.

Was benötigen Sie?

Eine TOTP-kompatible Authentifizierungs-App auf Ihrem Smartphone, beispielsweise Google Authenticator, Microsoft Authenticator, Aegis (Android, Open Source, ohne Konto nutzbar), Duo Mobile oder der integrierte Code-Generator eines Passwort-Managers.

Schritte zur Aktivierung

1. Melden Sie sich bei Ihrem cPanel-Konto an.

2. Klicken Sie in der Gruppe „Sicherheit“ auf das Symbol „Two-Factor Authentication“ (Zwei-Faktor-Authentifizierung).

   

3. Klicken Sie auf die Schaltfläche „Set Up Two-Factor Authentication“.
4. Scannen Sie den angezeigten QR-Code mit der Authentifizierungs-App oder geben Sie die daneben angezeigten Werte „Konto“ und „Schlüssel“ manuell ein.
5. Geben Sie den von der App generierten sechsstelligen Code in das Feld „Sicherheitscode“ ein, bevor er abläuft (der Code ändert sich alle 30 Sekunden).
6. Klicken Sie auf die Schaltfläche „Zwei-Faktor-Authentifizierung konfigurieren“.

Ab sofort müssen Sie bei jeder Anmeldung zusätzlich zum Passwort den Code eingeben, der gerade in der Anwendung angezeigt wird.

Einrichtung der Authentifizierungs-App auf Android

Die Schritte bei der telefonischen Anmeldung sind bei allen Anwendungen ähnlich; die folgenden Abbildungen wurden mit der Version 3.4.3 von Aegis auf einem Android 17-System unter Verwendung eines Beispielschlüssels erstellt.

1. Installieren Sie die Authentifizierungs-App. Beim ersten Start von Aegis werden Sie aufgefordert, eine Schutzoption auszuwählen: Wählen Sie die Option „Passwort“, damit nur Sie Zugriff auf die Codes haben.

2. Tippen Sie auf die Schaltfläche „+“ in der unteren rechten Ecke, wählen Sie anschließend den Punkt „QR-Code scannen“ aus und scannen Sie den im cPanel angezeigten Code ein. Sollte dies mit der Kamera nicht gelingen, wählen Sie die Option „Manuelle Eingabe“: Geben Sie im Feld „Name“ einen erkennbaren Namen ein, im Feld „Aussteller“ den Eintrag „cPanel“ und im Feld „Geheimnis“ den im cPanel angezeigten Schlüsselwert ein. Tippen Sie anschließend auf die Schaltfläche „SPEICHERN“.

   

3. In der Liste wird der Eintrag mit dem sechsstelligen Code angezeigt. Geben Sie diesen in das Feld „cPanel Security Code“ ein. Der Code ändert sich alle 30 Sekunden; das Leerzeichen muss nicht eingegeben werden.

   

Aegis verhindert standardmäßig das Erstellen von Screenshots, um zu verhindern, dass die Codes nach außen gelangen. Die rote Leiste „Keine Backup-Sicherung der Änderungen“ weist darauf hin, dass noch kein Backup der Codes vorliegt: Richten Sie dies bitte im Menü „Backups“ der App ein, da sonst bei Verlust des Telefons auch die Codes verloren gehen.

Überprüfung

Melden Sie sich ab und melden Sie sich anschließend erneut an. Wenn das System nach der Eingabe des Passworts einen sechsstelligen Code anfordert und Sie sich damit anmelden können, funktioniert die 2FA. Auf der Seite „Zwei-Faktor-Authentifizierung“ können Sie die Funktion später erneut einrichten (beispielsweise bei einem neuen Mobiltelefon) oder deaktivieren.

Eine Sicherheitsmaßnahme für den Fall, dass Sie Ihr Mobiltelefon verlieren

cPanel stellt keine Backup-Codes zur Verfügung. Daher empfiehlt es sich, bereits bei der Einrichtung für eine Sicherungskopie zu sorgen:

• Notieren Sie sich den Schlüsselwert und bewahren Sie ihn an einem sicheren Ort auf (z. B. in einem Passwort-Manager), da Sie damit denselben Code-Generator auch auf einem neuen Smartphone einrichten können,
• Oder scannen Sie den QR-Code gleichzeitig auf zwei Geräten.

Falls Sie weder das Telefon noch den Schlüssel zur Hand haben, erstellen Sie bitte ein Support-Ticket im Kundenbereich: Wir deaktivieren die 2FA für Ihr Konto, anschließend können Sie diese Funktion erneut einrichten.

Häufige Fehler

• „Der Sicherheitscode ist ungültig“: Meistens ist die Uhrzeit Ihres Telefons ungenau. Aktivieren Sie die automatische Zeit- und Zeitzoneneinstellung auf Ihrem Telefon. Sollte der Fehler weiterhin bestehen, schreiben Sie uns bitte, da möglicherweise auch die Serverzeit die Ursache sein könnte.
• Veralteter Code: Sollte sich der Code während der Eingabe ändern, warten Sie bitte, bis der nächste angezeigt wird, und geben Sie diesen ein.

Wofür gilt dies nicht?

• Die cPanel-2FA schützt den Zugang zu cPanel. Für den Zugriff auf das Webmail-System melden sich die Nutzer mit ihrem jeweiligen Passwort an; dort kann die 2FA in den Webmail-Einstellungen für jedes Konto einzeln aktiviert werden.
• API-Aufrufe mit Passwort werden nicht automatisch durch 2FA geschützt; für Integrationen empfiehlt es sich, ein API-Token zu verwenden.

Ein starkes, individuelles Passwort ist ebenso wichtig; ein separater Artikel befasst sich mit der Änderung des cPanel-Passworts.