UGREEN NAS Zwei-Faktor-Anmeldung einrichten: 2FA Schritt für Schritt

Ein Passwort allein schützt eine NAS nur so gut, wie es geheim bleibt. Wird es abgegriffen, etwa über eine gefälschte Anmeldeseite oder einen kompromittierten Rechner, hat ein Angreifer freie Bahn. Mit der Zwei-Faktor-Anmeldung, kurz 2FA, verlangt eine UGREEN NAS zusätzlich einen sechsstelligen Einmalcode vom Smartphone. Diese Anleitung zeigt Schritt für Schritt, wie Sie 2FA für Ihr Konto einschalten, sie für andere Konten erzwingen, vertrauenswürdige Geräte verwalten und was Sie tun, wenn das Smartphone verloren geht.

Die Abläufe folgen den Handbüchern von UGREEN, die Screenshots stammen von einer UGREEN DXP4800 Pro mit UGOS Pro 1.21.0.0190.

Voraussetzungen

• UGOS Pro, laut UGREEN ab Version 1.16.0.0042
• Ein Smartphone mit einer Authenticator-App, die das OTP-Verfahren unterstützt, laut UGREEN etwa Microsoft Authenticator oder Google Authenticator
• Das Passwort des Kontos, das 2FA erhalten soll
• Eine E-Mail-Adresse für den Notfall
• Etwa 10 Minuten

Schritt 1: Die Uhrzeit prüfen

Die Einmalcodes sind zeitabhängig. Laut UGREEN müssen NAS und Smartphone deshalb synchron laufen, sonst werden gültige Codes abgelehnt. Öffnen Sie die Systemsteuerung, Uhrzeit & Sprache, Reiter Uhrzeit.

Bei uns steht die Uhrzeit auf „Mit Zeitserver automatisch synchronisieren“ mit dem Server pool.ntp.org. Genau so soll es sein. Auf dem Smartphone muss die automatische Uhrzeit ebenfalls eingeschaltet sein, das ist bei aktuellen Geräten Standard.

Verifizieren: Die NAS synchronisiert ihre Uhrzeit automatisch.

Planen Sie außerdem, wer im Notfall Zugriff auf die NAS braucht. In kleinen Büros ist es sinnvoll, wenn zwei Personen ein eigenes Administratorkonto mit eigener 2FA haben. Fällt eine Person aus oder verliert ihr Smartphone, kann die andere das Konto über die Systemsteuerung entsperren, ohne dass jemand an die RESET-Taste muss.

Schritt 2: Eine Authenticator-App installieren

Installieren Sie auf dem Smartphone eine Authenticator-App. UGREEN nennt Microsoft Authenticator und Google Authenticator, laut UGREEN eignet sich auch jede andere App, die das OTP-Protokoll unterstützt. Wichtig ist, dass die App ihre Einträge sichern kann. Sonst ist bei einem neuen Smartphone der Zugang weg. UGREEN verweist dazu auf die Anleitung von Microsoft zum Sichern und Wiederherstellen der Konten in Microsoft Authenticator.

Verifizieren: Die App ist installiert und, falls möglich, die Sicherung der Einträge eingeschaltet.

Schritt 3: 2FA für das eigene Konto einschalten

Klicken Sie oben rechts auf dem Desktop auf das Benutzersymbol und im Menü auf Ihren Benutzernamen. Es öffnen sich die Einstellungen des lokalen Kontos.

Unter Kontosicherheit steht der Schalter Zwei-Faktor-Authentifizierung (2FA). UGOS erklärt darunter: Nach der Aktivierung ist bei der Anmeldung sowohl eine Passwort- als auch eine OTP-Authentifizierung erforderlich. Bei unserem Administratorkonto ist der Schalter aus. Laut UGREEN geht es so weiter:

1. Schalter einschalten.
2. Zur Bestätigung das Passwort des angemeldeten Kontos eingeben.
3. Im Fenster „2FA aktivieren“ auf Weiter klicken. UGOS zeigt einen QR-Code.
4. In der Authenticator-App „Konto hinzufügen“ und „QR-Code scannen“ wählen und den Code scannen. Die App legt einen Eintrag für die NAS an und zeigt einen sechsstelligen Code.
5. Diesen Code in UGOS eingeben und auf Weiter klicken.

Lassen Sie das Fenster mit dem QR-Code nicht offen, wenn andere zusehen können. Wer den QR-Code abfotografiert, kann dieselben Codes erzeugen.

Verifizieren: Der Schalter steht auf ein, und die App zeigt einen Eintrag für die NAS.

Schritt 4: Die Notfall-E-Mail-Adresse festlegen

Direkt nach dem Code fragt UGOS laut UGREEN nach einer Notfall-E-Mail-Adresse. Geben Sie sie ein, klicken Sie auf Anfordern und tragen Sie den Bestätigungscode aus der E-Mail ein. Der Schritt ist optional, wir raten aber dringend dazu: Laut UGREEN können Sie sich über diese Adresse anmelden, wenn die App nicht verfügbar ist. Ohne Notfall-Adresse bleibt im Ernstfall nur der Weg über ein vertrauenswürdiges Gerät, ein anderes Administratorkonto oder einen Reset. Laut UGREEN müssen Sie 2FA aus- und wieder einschalten, wenn Sie die Notfall-Adresse später nachtragen wollen.

Prüfen Sie nach dem Einrichten, ob die Bestätigungsmail ankommt, auch im Spam-Ordner.

Verifizieren: Die Notfall-E-Mail-Adresse ist bestätigt.

Schritt 5: Anmelden mit 2FA

Bei der nächsten Anmeldung geben Sie wie gewohnt Benutzername und Passwort ein. Laut UGREEN wechselt UGOS danach zur Eingabe des Codes. Öffnen Sie die App, tippen Sie den aktuellen sechsstelligen Code ab und klicken Sie auf Einloggen.

Auf der Anmeldeseite gibt es die Option „Vertraue auf die aktuelle Ausrüstung“. Laut UGREEN überspringt UGOS auf diesem Gerät dann künftig die Abfrage. Nutzen Sie das nur auf Ihrem eigenen Rechner und nie auf fremden oder gemeinsam genutzten Geräten. Die Liste der vertrauenswürdigen Geräte finden Sie laut UGREEN in den Einstellungen des lokalen Kontos unter Kontosicherheit. Zum Öffnen fragt UGOS das Kontopasswort ab. Dort heben Sie das Vertrauen für Geräte auf, die Sie nicht mehr nutzen.

Verifizieren: Die Anmeldung verlangt nach dem Passwort einen Code.

Schritt 6: 2FA für andere Konten erzwingen

Als Administrator können Sie festlegen, dass bestimmte Konten 2FA nutzen müssen. Öffnen Sie die Systemsteuerung, Sicherheit, Reiter Kontosicherheit.

Unter „Authentifizierung bei Anmeldung“ stehen zwei Einträge. Zwei-Faktor-Authentifizierung mit der Schaltfläche Verwalten führt zu den Einstellungen des eigenen Kontos aus Schritt 3. Darunter steht der Schalter „Erzwungene Zwei-Faktor-Authentifizierung (2FA)“ mit der Beschreibung „Erzwingt die 2FA für bestimmte Benutzer“. Bei uns ist er aus.

Laut UGREEN schalten Sie ihn ein und wählen dann neben „Benutzer mit verpflichtender 2FA“ über Verwalten die Konten aus. Diese Konten müssen bei ihrer nächsten Anmeldung eine Authenticator-App verknüpfen, bevor sie die NAS nutzen können. In der mobilen App UGREEN NAS geben sie dafür laut UGREEN den angezeigten geheimen Schlüssel von Hand in die Authenticator-App ein. Eine Notfall-E-Mail-Adresse können sie dort festlegen oder überspringen.

Erzwingen Sie 2FA zuerst für alle Administratorkonten und für Konten, die von außen zugreifen.

Verifizieren: Die gewählten Konten werden bei der nächsten Anmeldung zur Verknüpfung aufgefordert.

Schritt 7: Für den Verlust des Smartphones vorsorgen

UGREEN beschreibt vier Wege zurück ins Konto, wenn kein Code mehr erzeugt werden kann:

1. Notfall-E-Mail: Auf der Code-Seite „Kann nicht über OTP verifiziert werden“ wählen, Code aus der E-Mail eingeben.
2. Vertrauenswürdiges Gerät: Dort ist kein Code nötig. Danach 2FA in den Kontoeinstellungen ausschalten und neu einrichten.
3. Anderes Administratorkonto: Es schaltet in der Systemsteuerung unter Benutzer, Bearbeiten, die 2FA des betroffenen Kontos aus.
4. RESET-Taste: Rund 5 Sekunden drücken, bis ein Piepton kommt. Laut UGREEN werden dabei einige Netzwerk- und Administratoreinstellungen zurückgesetzt, danach meldet man sich mit dem Standardkonto admin ohne Passwort an und setzt das Passwort neu.

Der vierte Weg ist der letzte Ausweg und setzt körperlichen Zugang zur NAS voraus. Richten Sie deshalb mindestens Weg 1 oder 3 ein. Ein zweites Administratorkonto mit eigenem, sicher verwahrtem Passwort ist dafür die beste Versicherung.

Verifizieren: Notfall-Adresse hinterlegt oder ein zweites Administratorkonto vorhanden.

Was 2FA ergänzt: Kontosperrung und Konto-Aktivität

2FA ist ein Baustein, aber nicht der einzige. Auf derselben Seite Kontosicherheit stehen zwei weitere Schutzfunktionen. Die Kontosperrung ist bei uns eingeschaltet. Die Bedingung lautet: Benutzer mit mehr als 6 fehlgeschlagenen Anmeldeversuchen innerhalb von 5 Minuten werden gesperrt. Das bremst Angreifer aus, die Passwörter durchprobieren, schon bevor die 2FA überhaupt ins Spiel kommt.

Unter Konto-Aktivität verwalten Sie laut UGOS Kontoverbindungen und sehen die Anmeldeprotokolle aller Benutzer der NAS. Werfen Sie nach dem Einrichten von 2FA ab und zu einen Blick hinein. Ungewöhnliche Anmeldezeiten oder fremde Geräte fallen dort auf. Wie Sie das Administratorkonto zusätzlich absichern, zeigt der nächste Teil dieser Serie.

Zusammen ergeben die drei Funktionen einen soliden Grundschutz: Die Sperre bremst das Raten von Passwörtern, die 2FA entwertet ein erbeutetes Passwort weitgehend, und die Konto-Aktivität zeigt, ob jemand es trotzdem versucht hat.

Typische Fehler bei der Zwei-Faktor-Anmeldung

Symptom	Ursache und Lösung
Code wird immer abgelehnt	Uhrzeit von NAS oder Smartphone weicht ab. Automatische Zeitsynchronisierung auf beiden Seiten einschalten.
Neues Smartphone, keine Codes	Einträge der App nicht gesichert. Über Notfall-E-Mail oder anderes Administratorkonto anmelden und 2FA neu einrichten.
Notfall-E-Mail kommt nicht an	Spam-Ordner prüfen.
Abfrage erscheint auf einem Gerät nicht	Gerät ist als vertrauenswürdig gespeichert. In der Liste prüfen und bei Bedarf entfernen.

Häufige Fragen

Brauche ich 2FA, wenn die NAS nur im Heimnetz läuft?

Sie ist auch dort sinnvoll, vor allem für Administratorkonten. Spätestens mit Fernzugriff über UGREENlink oder eine Portfreigabe sollte sie Pflicht sein.

Funktioniert 2FA auch in der App UGREEN NAS?

Ja, laut UGREEN fragt auch die mobile App den Code ab und führt durch die Verknüpfung.

Kann ich 2FA wieder ausschalten?

Ja, in den Einstellungen des lokalen Kontos mit dem Schalter und Ihrem Passwort. Laut UGREEN geht das nur im PC-Client oder im Browser, nicht in der mobilen App.

Welche Authenticator-App ist die beste?

Wichtiger als die Marke ist, dass die App ihre Einträge sichern kann. Prüfen Sie das vor dem Einrichten.

Fazit

Die Zwei-Faktor-Anmeldung ist schnell eingerichtet und schützt auch dann, wenn ein Passwort bekannt geworden ist. Achten Sie auf die richtige Uhrzeit, hinterlegen Sie eine Notfall-E-Mail-Adresse und halten Sie ein zweites Administratorkonto bereit. Für Administratoren und Konten mit Fernzugriff sollten Sie 2FA erzwingen.

Weiterführende Anleitungen und Quellen

• Teil 23: Benutzer anlegen
• Teil 4: Lokales Konto oder UGREEN-Konto
• UGREEN: Zwei-Faktor-Authentifizierung aktivieren
• UGREEN: Erzwungene Zwei-Faktor-Authentifizierung
• UGREEN: Anmeldung bei verlorenem 2FA-Schlüssel