Kundendaten, Baupläne, Projektunterlagen, Mitarbeiterzugänge – in einer modernen Betriebssoftware für Bau und Handwerk wie BauOffice steckt das operative Wissen eines ganzen Betriebs. Dass ein Angreifer Zugang zu diesem System bekommt, klingt abstrakt. Die Realität sieht anders aus: Passwörter werden regelmäßig bei Datenpannen fremder Dienste erbeutet, wiederverwendet und gezielt ausprobiert. Dieser Artikel erklärt, warum Passwörter allein kein ausreichender Schutz sind – und wie Mehr-Faktor-Authentifizierung (MFA) das Risiko drastisch senkt.
Was ist Zwei-Faktor-Authentifizierung?
Zwei-Faktor-Authentifizierung (2FA) – oder allgemeiner Mehr-Faktor-Authentifizierung (MFA) – ergänzt das Passwort um einen zweiten, unabhängigen Faktor. Die drei Kategorien von Faktoren sind:
- Wissen: etwas, das Sie kennen (Passwort, PIN)
- Besitz: etwas, das Sie haben (Smartphone mit Authenticator-App, Hardware-Token)
- Biometrie: etwas, das Sie sind (Fingerabdruck, Gesichtserkennung)
Im Alltag von Handwerksbetrieben hat sich das Verfahren TOTP (Time-based One-Time Password) bewährt: Das Passwort bleibt der erste Faktor; ein zeitbasierter 6-stelliger Code aus einer Authenticator-App ist der zweite. Der Code ändert sich alle 30 Sekunden und ist ohne Zugriff auf das registrierte Smartphone nicht reproduzierbar.
Warum Passwörter allein nicht mehr ausreichen
Drei reale Angriffswege machen einfache Passwortabsicherung heute riskant:
1. Credential Stuffing (Passwort-Leaks aus anderen Diensten)
Milliarden von Zugangsdaten aus früheren Datenpannen kursieren im Netz. Wer dasselbe Passwort bei mehreren Diensten verwendet – und das tun die meisten Menschen –, riskiert, dass ein Datenleck bei Dienst A den Zugang zu Dienst B öffnet. Mit 2FA ist dieser Angriff wirkungslos: Der erbeutete Passwort-Hash allein reicht nicht aus.
2. Phishing
Ein realistisch gestaltetes Login-Formular auf einer gefälschten Domain – fertig ist die Phishing-Falle. Wer sich dort einloggt, übergibt sein Passwort direkt an den Angreifer. Mit TOTP-basierter 2FA ist auch das abgefangene Passwort wertlos: Der Code aus der Authenticator-App ist an ein bestimmtes Gerät gebunden und läuft nach 30 Sekunden ab.
3. Schwache oder wiederverwendete Passwörter
Nicht jeder Mitarbeiter wählt ein sicheres Passwort. Kurze, einfache oder oft verwendete Passwörter (Namen, Jahreszahlen) können durch Wörterbuchangriffe gebrochen werden. 2FA macht dieses Risiko beherrschbar: Auch ein einfaches Passwort nützt dem Angreifer nichts ohne den zweiten Faktor.
Was konkret geschützt wird
In BauOffice schützt MFA den Zugang zu:
- Kundendaten (Name, Adresse, Kontakt): personenbezogene Daten nach DSGVO
- Projektunterlagen und Baupläne: oft vertraulich und im Schadenfall nicht rekonstruierbar
- Mitarbeiterdaten und Zugangsverwaltung: ein kompromittierter Admin-Account kann weitreichende Schäden anrichten
- Tick- und Mängeldokumentation: im Streitfall die wichtigste Beweisgrundlage
Ein kompromittierter Mitarbeiter-Account ist ärgerlich. Ein kompromittierter Admin-Account kann Kundendaten exponieren, Projekte manipulieren und Zugänge blockieren.
DSGVO-Aspekt: MFA als technisch-organisatorische Maßnahme (TOM)
Die DSGVO (Art. 32) fordert technische und organisatorische Maßnahmen (TOM) zum Schutz personenbezogener Daten. Die Aktivierung von MFA für Mitarbeiter mit Zugriff auf Kundendaten ist eine solche Maßnahme – unkompliziert umzusetzen und wirksam dokumentierbar.
Im Verzeichnis der Verarbeitungstätigkeiten (VVT) eines Betriebs kann die MFA-Pflicht als Schutzmaßnahme aufgeführt werden. Bei einer Datenschutzkontrolle oder einem Sicherheitsvorfall zeigt das: Der Betrieb hat angemessene Vorkehrungen getroffen.
MFA in BauOffice aktivieren: Schritt für Schritt
Die Einrichtung dauert unter drei Minuten:
- Authenticator-App installieren – kostenlose Apps wie Google Authenticator, Bitwarden Authenticator oder Aegis (Android) funktionieren sofort.
- Kontoeinstellungen öffnen – in BauOffice unter Einstellungen → Sicherheit → Zwei-Faktor-Authentifizierung.
- QR-Code scannen – die App zeigt danach dauerhaft den zugehörigen Code.
- Ersten Code eingeben – zur Bestätigung und Aktivierung.
- Recovery-Codes sichern – BauOffice generiert Einmal-Recovery-Codes für den Fall, dass das Smartphone verloren geht. Diese sollten sicher aufbewahrt werden (z. B. im Passwort-Manager des Betriebs).
Ab dem nächsten Login wird der Code nach dem Passwort abgefragt.
Empfehlungen für Handwerksbetriebe
Für Inhaber und Administratoren: MFA unbedingt aktivieren. Diese Accounts haben den weitreichendsten Zugriff und sind deshalb besonders attraktive Angriffsziele.
Für Mitarbeiter mit Kundenzugang: MFA empfohlen, insbesondere wenn Mitarbeiter von wechselnden Geräten oder aus dem Homeoffice auf das System zugreifen.
Für alle Accounts: Ein Passwort-Manager für das Team ist sinnvoll, damit Passwörter lang, einzigartig und nicht wiederverwendet werden. MFA und starke Passwörter ergänzen sich.
Recovery-Codes nicht im gleichen System speichern: Wenn der BauOffice-Account das einzige Dokument ist, in dem die Recovery-Codes stehen, und der Account gesperrt ist, hilft das nichts. Ausdrucken oder im Passwort-Manager des Betriebs ablegen.
Fazit
MFA ist die wirksamste Einzelmaßnahme, um unbefugten Zugang zu einer Betriebssoftware für Bau und Handwerk wie BauOffice zu verhindern – und der Einrichtungsaufwand ist minimal. Für Betriebe, die nach DSGVO Kundendaten schützen müssen, ist es gleichzeitig eine dokumentierbare technische Schutzmaßnahme.
BauOffice bietet MFA als optionales TOTP-Verfahren für alle Nutzer an. Die Aktivierung liegt bei jedem Nutzer selbst – der Betrieb kann die Einrichtung aber intern verbindlich empfehlen oder zur Richtlinie machen.
Weiterführende Informationen: Sicherheit & Datenschutz in BauOffice | Glossar: Zwei-Faktor-Authentifizierung