# Webuntis vs. Nextcloud: 2FA mit TOTP-Token, Cloud-, Messenger- und Kalenderfunktionen **URL:** \ **Category:** Nextcloud/Owncloud\ **Created:** [16. September 2019 um 11:14 UTC](https://ask.linuxmuster.net/t/webuntis-vs-nextcloud-2fa-mit-totp-token-cloud-messenger-und-kalenderfunktionen/4157 "2019-09-16T11:14:05Z")\ **Posts on this page:** 1\ **Showing post:** 6
**Author:** ![Tobias](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/tobias/32/85_2.png) [@Tobias](https://ask.linuxmuster.net/u/Tobias)\ **Post date:** [21. November 2022 um 10:49 UTC](https://ask.linuxmuster.net/t/webuntis-vs-nextcloud-2fa-mit-totp-token-cloud-messenger-und-kalenderfunktionen/4157/6 "2022-11-21T10:49:25Z")
Jahre später… ich nutze den Thread gerne mal, weil es hier: [Digitales Klassenbuch \<-\> Verwaltungsnetz](https://ask.linuxmuster.net/t/digitales-klassenbuch-verwaltungsnetz/9419) ja eigentlich mir nur um die Netzwerkeinbindung ging, dort wurde aber auch fleißig über Tokens etc. diskutiert. Ich habe eine Frage zu den recht deutlichen Datenschutzhinweisen des Landes BW: [https://it.kultus-bw.de/site/pbs-bw-km-root/get/documents\_E1870968139/KULTUS.Dachmandant/KULTUS/Dienststellen/it.kultus-bw/Datenschutz%20an%20Schulen%20nach%20neuer%20EU%20DSGVO/dl-hinweise/Datenschutzrechtliche%20Hinweise%20elektronisches%20Tagebuch%20Klassenbuch.pdf](https://it.kultus-bw.de/site/pbs-bw-km-root/get/documents_E1870968139/KULTUS.Dachmandant/KULTUS/Dienststellen/it.kultus-bw/Datenschutz%20an%20Schulen%20nach%20neuer%20EU%20DSGVO/dl-hinweise/Datenschutzrechtliche%20Hinweise%20elektronisches%20Tagebuch%20Klassenbuch.pdf) Unter Abschnitt 5 werden 2FA abgehandelt. Da steht, dass Möglichkeiten wären: „Software-Token, Hardware-Token, One-Time-Password (OTP), Time-based One-time Password (TOTP) usw. bewerkstelligt werden.“ Wisst ihr, was mit Software-Token gemeint ist? Weiter unten ist von „Client-Zertifikaten“ die Rede, ich vermute, dass damit solche Software-Token gemeint sind. Was ich aus dem Dokument nicht herauslesen kann ist, wo diese Softwaretoken gespeichert werden dürfen. Aus der Logik heraus, welche Maßstäbe man an die Hardwaretoken oder TOTP-Generierung anlegt (immer: zweites Gerät), kann es ja nicht sein, dass ein Clientzertifikat auf demselben Gerät liegt, mit dem man sich anmeldet. Andererseits: wie soll das sonst funktionieren? Liegt das auf einem USB-Stick, den ich anstecke und dann das Zertifikat davon (mit Passphrase vermutlich) nutze? Das würde zwar Sinn ergeben, wenn man als Angriffsvektor nur „Diebstahl des Primärgeräts“ und/oder des ersten Faktors in Betracht zieht. Dann hat der Angreifer immer noch keinen zweiten Faktor. Wenn ich aber als Angriffsvektor „Übernahme des primären Geräts“ in Betracht ziehe, kann ich dann nicht als Angreifer zumindest beim ersten Nutzen des Softwarezertifikats selbiges abgreifen (inkl. Passphrase, ich habe das Gerät ja unter Kontrolle)? Also irgendwo habe ich (oder die Ersteller des Dokuments) doch einen Denkfehler, oder? VG, Tobias --- _[View the full topic](https://ask.linuxmuster.net/t/webuntis-vs-nextcloud-2fa-mit-totp-token-cloud-messenger-und-kalenderfunktionen/4157)._