Schnittstellen, API & Automationen › Anmeldung & 2FA (API)

Anmeldung & 2FA (API)

API-GruppeLive✓ Geprüft am Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit)

BüroChefSystem

Bild folgt

Der Login prüft zuerst ein echtes Benutzerkonto in der Datenbank, erst wenn keines passt, greift als Rückfallebene das alte, einzelne Umgebungs-Passwort — dieser Weg lässt sich pro Betrieb auch ganz abschalten. Ist am Konto die Zwei-Faktor-Absicherung aktiv, verlangt der Login zusätzlich einen Code aus einer Authenticator-App, bevor die Sitzung entsteht; falsche Codes werden gezählt und irgendwann gesperrt. Zu viele Fehlversuche pro IP-Adresse UND pro Gerät bremsen den Login unabhängig vom Konto, damit niemand quer über mehrere Benutzernamen ausprobiert. Die Zwei-Faktor-Einrichtung selbst läuft nur für angemeldete, echte Benutzerkonten: Das Geheimnis verlässt den Server einmalig als QR-Code, danach kennt nur noch die Authenticator-App und der Server den laufenden Code.

Login lehnt trotz richtigem Passwort ab → Zwei-Faktor ist aktiv, der Authenticator-Code fehlt oder ist falsch eingetippt; erneut mit aktuellem Code versuchen.
„Zu viele Login-Versuche" → Sperre läuft nach einigen Minuten automatisch ab, in der Zeit hilft nur Warten.
2FA lässt sich nicht einrichten → betrifft nur Legacy-Zugänge ohne eigenes Benutzerkonto; ein echtes Benutzerkonto im Bereich „Benutzer" anlegen lassen.

Gehört zu

Admin-Login & Sitzungen Live
Arbeitsplatz-Modell (CRM-Redesign, laufend) Konzept

app/api/admin/login
app/api/admin/logout
app/api/admin/2fa
lib/admin-auth.ts
lib/db/sessions.ts

aufrufer	Browser-Admin
routen	~3
auth	Login selbst ist öffentlich, aber mit IP- und Geräte-Rate-Limit (10 Versuche/5 Min); 2FA-Verwaltung verlangt eine bestehende Admin-Session und ein echtes Benutzerkonto

Beleg: app/api/admin/login/route.ts, app/api/admin/logout/route.ts, app/api/admin/2fa vorhanden; lib/admin-auth.ts (Sessions + Legacy-HMAC-Cookie)

Tiefer fragen

Deine Frage

Kontext aus dem KFZ-Bozo-Handbuch
Knoten: api-auth-login (API-Gruppe · Schnittstellen, API & Automationen · live · geprüft Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit) @ 0f0406a1)
Kurz: Login, Logout und Zwei-Faktor-Bestätigung für Büro-Zugänge.
Lies zuerst (Lesebereich, nicht der ganze Baum):
  app/api/admin/login
  app/api/admin/logout
  app/api/admin/2fa
  lib/admin-auth.ts
  lib/db/sessions.ts
Hängt zusammen mit:
  sec-admin-login (lib/admin-auth.ts) · feat-arbeitsplatz-modell-redesign (MEM:arbeitsplatz-modell-konzept-2026-09-02.md)
Offene Fragen der Seite:
  keine
Hausregel 2: Vault-Daten sind für diese Session unsichtbar; Quellpfade auf Vault-Code sind keine Freigabe.

Frage: {{DEINE FRAGE}}

Antworte nur mit Belegen: nenne Datei und Zeile für jede Aussage.
Wenn die Quellen die Frage nicht beantworten, sag das und nenne, was du zusätzlich lesen müsstest.
Weicht die Seite vom Code ab, schlage den Seiten-Patch vor (wiki/seiten/schnittstellen-automation/api-auth-login.md).

Schnittstellen, API & AutomationenSeite bearbeiten: wiki/seiten/schnittstellen-automation/api-auth-login.md