Sicherheit & 2FA

Warum Zwei-Faktor-Authentifizierung?

Dein Waidwart-Konto enthält sensible Daten — Erlegungs-Protokolle mit GPS-Positionen, Personendaten von Mitjägern, Wildbret-Verkäufe und behördliche Meldungen. Zwei-Faktor-Authentifizierung (2FA) schützt dein Konto auch dann, wenn dein Passwort durch Phishing oder Datenpannen Dritter bekannt wird. Du brauchst zum Login zusätzlich einen zeitlich begrenzten 6-stelligen Code, der nur auf deinem Smartphone generiert wird.

2FA aktivieren

1. Authenticator-App installieren

Waidwart nutzt sechsstellige Einmal-Codes, die deine Authenticator-App alle 30 Sekunden neu erzeugt — kompatibel mit allen gängigen Apps:

• Google Authenticator (iOS / Android, kostenlos)
• Microsoft Authenticator (iOS / Android, mit Cloud-Backup)
• Authy (iOS / Android / Desktop, mit Multi-Device-Sync)
• 1Password (Premium-Passwort-Manager mit integriertem 2FA)
• Bitwarden (Premium-Passwort-Manager, Open Source)
• jede andere Authenticator-App, die den verbreiteten Standard für Einmal-Codes unterstützt (TOTP / RFC 6238)

Wenn du bereits einen Passwort-Manager (1Password, Bitwarden) nutzt, spar dir die separate App und integriere 2FA direkt im Manager — so liegen Passwort und Code an einem Ort, sind aber durch das Master-Passwort des Managers doppelt gesichert.

2. QR-Code im Profil scannen

Im Waidwart-Menü unter Mein Profil → Sicherheit → 2FA einrichten wird dir ein QR-Code angezeigt. Öffne deine Authenticator-App, wähle „neuen Account hinzufügen" und scanne den Code mit der Kamera. Falls Scannen nicht möglich ist, kannst du den darunter angezeigten 32-stelligen Geheim-Schlüssel manuell eingeben.

3. Bestätigungs-Code eingeben

Deine Authenticator-App zeigt jetzt einen 6-stelligen Code, der alle 30 Sekunden wechselt. Gib den aktuellen Code in Waidwart ein und bestätige. Damit ist 2FA aktiviert — beim nächsten Login wirst du nach Passwort + Code gefragt.

4. Backup-Codes ausdrucken / sichern

Direkt nach der Aktivierung erzeugt Waidwart 10 einmalig verwendbare Backup-Codes. Diese sind dein Notausgang, falls du dein Smartphone verlierst oder die App nicht funktioniert. Speichere sie an einem sicheren Ort:

• Ausdrucken und im Tresor / sicheren Schrank ablegen
• Im Passwort-Manager als verschlüsselte Notiz speichern
• Nicht im Cloud-Speicher in Klartext, nicht per E-Mail an sich selbst (Mail-Konten werden Phishing-Ziel #1)

Login mit 2FA

1. E-Mail-Adresse und Passwort wie gewohnt eingeben
2. Waidwart fragt im zweiten Schritt nach dem 6-stelligen Code
3. Aktuellen Code aus deiner Authenticator-App eintippen

Bei aktivem 2FA wird der Code bei jeder neuen Anmeldung abgefragt. Solange deine Sitzung besteht (Option „Angemeldet bleiben" beim Login), musst du den Code nicht erneut eingeben.

2FA deaktivieren

Unter Profil → Sicherheit → 2FA deaktivieren. Zur Bestätigung musst du einen aktuellen 2FA-Code (oder einen Backup-Code) eingeben — das verhindert, dass jemand mit Zugriff auf eine geöffnete Session 2FA still abschalten kann. Nach Deaktivierung sind alle Backup-Codes ungültig.

Wir empfehlen, 2FA dauerhaft aktiviert zu lassen — gerade wenn du HG-Admin, Revier-Inhaber mit Mitjägern oder Wildbret-Vermarkter bist. Der Komfort einer zusätzlichen Code-Eingabe steht in keinem Verhältnis zum Schaden eines Konto-Diebstahls.

Passwort ändern

Unter Profil → Sicherheit → Passwort ändern. Du gibst dein aktuelles Passwort sowie zweimal das neue Passwort ein. Mindest-Anforderungen:

• Mindestens 8 Zeichen
• Mindestens ein Buchstabe und eine Ziffer

Bei aktivem 2FA wirst du nach Passwort-Wechsel nicht automatisch abgemeldet — alle bestehenden Sessions bleiben gültig. Wenn du gehackte oder geteilte Geräte vermutest, vergib ein neues Passwort und aktiviere 2FA — neue Anmeldungen erfordern dann wieder den zweiten Faktor.

Konto löschen (DSGVO Art. 17)

Du hast jederzeit das Recht auf Löschung deiner personenbezogenen Daten nach DSGVO Art. 17. Unter Profil → Konto löschen startest du den Lösch-Vorgang:

Ablauf

1. Unter Profil → Konto löschen bestätigst du die Löschung in einem Sicherheitsdialog
2. Die Löschung erfolgt sofort und unwiderruflich — es gibt keine Karenzzeit und keinen Widerruf, lege bei Bedarf vorher einen Datenexport an (Profil → Datenexport)
3. Alle personenbezogenen Daten werden unmittelbar gelöscht; bereits an Behörden eingereichte Streckenmeldungen bleiben aus jagdrechtlicher Aktenführungspflicht anonymisiert erhalten („Gelöschter Nutzer")

Bist du Admin einer Hegegemeinschaft, ist die Löschung erst möglich, nachdem du die Admin-Rolle an ein anderes Mitglied übergeben hast — das verhindert eine führerlose Hegegemeinschaft.

Was wird gelöscht?

• Profil-Daten (Name, Adresse, Telefon, E-Mail)
• Anmelde-Daten (verschlüsseltes Passwort, 2FA-Einrichtung, aktive Sitzungen)
• Abrechnungs-Daten (Rechnungs-Adresse und Kundennummer beim Zahlungsdienstleister)
• Foto-Anhänge mit Personenbezug

Was bleibt erhalten (anonymisiert)?

Aus rechtlichen Gründen müssen bestimmte Daten auch nach Konto-Löschung erhalten bleiben, dann aber anonymisiert (Stichwort: „Gelöschter Nutzer"):

• Streckeneinträge in Revier-Akten anderer Nutzer (für Streckenmeldungen)
• Wildschäden, die bereits an einen Grundeigentümer gemeldet wurden (Streit- und Beweissicherung)
• Trichinen-Untersuchungs-Nachweise (gesetzliche 2-Jahres-Aufbewahrung)
• Wildursprungs-Belege bei Wildbret-Verkauf (Rückverfolgbarkeit nach LMHV)
• Aggregierte Statistiken (anonymisiert, ohne Rückschluss auf Einzelperson)

Häufige Fragen

Was, wenn ich mein Smartphone und die Backup-Codes verliere?

Stelle eine Support-Anfrage mit deinen Konto-Daten. Wir prüfen deine Identität (Personalausweis-Kopie, Jagdschein, eine bekannte Rechnungs-Adresse) und setzen 2FA manuell zurück. Bearbeitungs-Zeit 1–3 Werktage. Für die Zeit ohne 2FA: nutze ein starkes Passwort.

Wird 2FA pro Account oder pro Gerät eingerichtet?

Pro Account. Der QR-Code beim Setup wird einmal generiert; alle Authenticator-Apps, die diesen Code scannen, erzeugen dieselben Einmal-Codes — du kannst also parallel auf mehreren Geräten dieselben Codes empfangen.

Kann ich SMS-2FA nutzen statt App?

Nein — Waidwart unterstützt bewusst nur App-basierte Einmal-Codes. SMS gilt mittlerweile als unsicher (Stichworte SIM-Tausch und Mobilfunk-Protokoll-Lücken) und wird auch von US-Sicherheitsbehörden seit 2017 nicht mehr empfohlen.