# Bestätigung in zwei Schritten

> Neben dem Passwort verlangt die Anmeldung einen Code, der per WhatsApp (oder SMS) an dein Telefon geht. Wie du sie unter Mein Konto › Sicherheit aktivierst, die 10 Wiederherstellungscodes, das Gerät 90 Tage merken, der zusätzliche Schritt vor sensiblen Aktionen, die Pflicht für das Team und die Voreinstellung für Mitglieder.

Die **Bestätigung in zwei Schritten** schützt dein Konto mit einem zweiten Schritt bei der Anmeldung: Nach dem Passwort schickt Memberfy einen **6-stelligen Code per WhatsApp an dein Telefon** (oder per SMS), und du kommst nur mit ihm hinein. Selbst wenn jemand dein Passwort kennt, kommt er ohne den Code von deinem Telefon nicht hinein.

Du brauchst keine Authenticator-App, und es kostet nichts: **Memberfy bezahlt die Nachrichten**, und der Code zählt nicht zum SMS- und WhatsApp-Kontingent der Community.

Da es pro Community ein [Konto](/conceitos/conta-e-perfil) gibt, gilt das auch für die Bestätigung: Hier aktiviert, gilt sie für deine Anmeldung in dieser Community.

## Wofür es gut ist

| Wer | Was sich ändert |
|---|---|
| Owner, Administrator und Finanzen | Guthaben, Auszahlungen, Auszahlungskonto und Mitgliederdaten hängen nicht mehr nur am Passwort |
| Moderator | Moderation und Mitgliederdaten liegen hinter einem zweiten Schritt |
| Mitglied | Das Konto und deine Käufe bleiben geschützt, auch wenn das Passwort bekannt wird |
| Community eines Unternehmens oder einer Personalabteilung | Erfüllt die Vorgabe eines zweiten Faktors für alle, die auf Personendaten zugreifen |

## So funktioniert es

### Wer sie haben muss

| Wer | Regel |
|---|---|
| **Team** (Owner, Administrator, Moderator und Finanzen) | Immer Pflicht. Wer sie noch nicht hat, bekommt **7 Tage** Frist, mit einem Hinweis oben auf dem Bildschirm: *„Aktiviere die Bestätigung in zwei Schritten bis zum {Datum}. Danach sind die Seiten und Aktionen des Teams gesperrt, bis du sie aktivierst.“* |
| **SuperAdmin** (der Memberfy-Support) | Immer Pflicht |
| **Mitglied** | Freiwillig. Hat der Owner die Voreinstellung für Mitglieder eingeschaltet, wird die Person **gebeten**, sie zu aktivieren, aber nie gesperrt |

Die Frist des Teams beginnt, wenn die Person zum ersten Mal eine Seite oder Aktion des Teams ohne die Bestätigung nutzt. Nach Ablauf der Frist sind die Seiten und Aktionen des Teams gesperrt (*„Die Seiten und Aktionen des Teams sind gesperrt: Aktiviere die Bestätigung in zwei Schritten, um fortzufahren.“*), und auch die [API-Schlüssel](/configuracoes/integracoes-e-apis) dieser Person erreichen die Routen des Teams nicht mehr. Der Weg zum Aktivieren bleibt immer offen: **Mein Konto › Sicherheit** und die Schaltfläche **Jetzt aktivieren** im Hinweis. Nach dem Aktivieren funktioniert sofort wieder alles.

### Die Voreinstellung für Mitglieder

Unter **Einstellungen › Zugang und Registrierung** hat die Karte **Bestätigung in zwei Schritten für Mitglieder** die Option **Bestätigung in zwei Schritten von Mitgliedern verlangen**. Nur der Owner ändert sie (*„Nur der Owner ändert diese Option.“*).

- **Aus** (Standard): Jedes Mitglied entscheidet selbst, ob es sie aktiviert.
- **An**: Mitglieder ohne Bestätigung sehen die Bitte *„Diese Community bittet dich, die Bestätigung in zwei Schritten zum Schutz deines Kontos zu aktivieren.“*, mit **Jetzt aktivieren** und **Nicht jetzt**. Niemand wird gesperrt. Wer sie aktiviert, kann sie nicht mehr ausschalten, solange die Option an ist.

### Die Anmeldung mit Code

Mit aktivierter Bestätigung öffnet die Anmeldung mit dem richtigen Passwort den Schritt **Bestätigung in zwei Schritten**:

- *„Wir haben dir einen Code per WhatsApp an {Telefon} gesendet.“*, mit maskierter Nummer. Gib die 6 Ziffern unter **6-stelliger Code** ein und tippe auf **Anmelden**.
- **Per SMS erhalten** schickt den Code per SMS. Wenn WhatsApp die Nummer nicht annimmt, geht der Code direkt per SMS.
- **Dieses Gerät 90 Tage lang merken**: In diesem Browser verlangen die nächsten Anmeldungen nur das Passwort, bis die Frist abläuft.
- **Wiederherstellungscode verwenden**: Anmeldung mit einem der [Wiederherstellungscodes](#die-wiederherstellungscodes), wenn du dein Telefon nicht dabeihast.

Ein falsches Passwort löst keinen Code aus. Ein falscher Code zeigt, wie viele Versuche übrig sind; sind sie aufgebraucht, fordere einen neuen Code an. Läuft die Code-Anfrage ab, bittet der Bildschirm dich, dich erneut mit dem Passwort anzumelden. Die Verbindung eines [KI-Assistenten](/mcp/seguranca#bestatigung-in-zwei-schritten) läuft über dieselbe Anmeldung und verlangt ebenfalls den Code.

### Die Wiederherstellungscodes

Beim Aktivieren zeigt der Bildschirm **10 Wiederherstellungscodes**, **nur ein einziges Mal**, mit **Kopieren** und **Herunterladen**. Er schließt erst ab, wenn du **Ich habe die Codes sicher gespeichert** anhakst. Jeder Code gilt einmal, anstelle des Codes vom Telefon.

- Meldest du dich mit einem Wiederherstellungscode an, verliert er seine Gültigkeit, der Bildschirm zeigt, wie viele übrig sind, und du bekommst eine Warn-E-Mail.
- Sind nur noch wenige Codes übrig, weist **Mein Konto › Sicherheit** darauf hin. **Neue Wiederherstellungscodes erstellen** ersetzt alle 10: Die alten verlieren ihre Gültigkeit.

### Die gemerkten Geräte

Unter **Mein Konto › Sicherheit** listet **Gemerkte Geräte** die Browser, in denen die Anmeldung keinen Code verlangt, mit Browser und System, letzter Nutzung und Gültigkeit. **Entfernen** vergisst eines; **Alle entfernen** vergisst alle (die aktuelle Sitzung bleibt bestehen). Das Passwort zu ändern oder die Bestätigung zu deaktivieren entfernt ebenfalls alle.

### Der zusätzliche Schritt

Mit aktivierter Bestätigung verlangen einige Aktionen **sofort einen neuen Code**, auch wenn du schon angemeldet bist: Das Fenster **Bestätige, dass du es bist** schickt den Code an das Telefon und macht erst danach weiter.

| Aktion | Wo |
|---|---|
| Die Bestätigung deaktivieren | **Mein Konto › Sicherheit** |
| Das Telefon der Bestätigung ändern | **Mein Konto › Sicherheit** |
| Neue Wiederherstellungscodes erstellen | **Mein Konto › Sicherheit** |
| Einen API-Schlüssel erstellen | [Integrationen und APIs](/configuracoes/integracoes-e-apis) und **Mein Konto › API-Schlüssel** |
| Eine Auszahlung anfordern | [Auszahlung](/pagamentos/saque) |
| Das Auszahlungskonto ändern | **Einstellungen › Auszahlung** |

Nach der Bestätigung verlangen die nächsten Aktionen der Liste einige Minuten lang keinen weiteren Code. In der Support-Sitzung von Memberfy (das **Anmelden** des SuperAdmins) stehen diese Aktionen nicht zur Verfügung: Nur die Person selbst führt sie in ihrem Konto aus.

### Die Sicherheitsaktivität

**Sicherheitsaktivität** zeigt die letzten Ereignisse der Bestätigung deines Kontos: aktiviert, deaktiviert, Telefon geändert, Gerät gemerkt oder entfernt, Wiederherstellungscode verwendet, neue Codes erstellt und Bestätigung vom Support zurückgesetzt. Aktivieren, Deaktivieren, das Verwenden eines Wiederherstellungscodes und das Zurücksetzen durch den Support schicken dir außerdem eine E-Mail.

## Schritt für Schritt

### Die Bestätigung aktivieren

*Rolle: jede Person, im eigenen Konto.*

1. Öffne **Mein Konto › Sicherheit** (`/account?tab=security`).
2. Tippe unter **Bestätigung in zwei Schritten** auf **Bestätigung in zwei Schritten aktivieren**.
3. Gib das **Telefon** ein (eine Nummer mit WhatsApp), wähle unter **Code senden per** WhatsApp oder SMS und tippe auf **Code senden**.
4. Gib den Code ein und tippe auf **Aktivieren**. Die Nummer wird zum bestätigten Telefon deines Kontos.
5. Bewahre die 10 Wiederherstellungscodes auf (**Kopieren** oder **Herunterladen**), hake **Ich habe die Codes sicher gespeichert** an und tippe auf **Fertig**.

Der Abschnitt zeigt dann **Aktiviert**, das Telefon, das Datum, die verbleibenden Wiederherstellungscodes und die gemerkten Geräte. In einem Land ohne unterstütztes WhatsApp oder SMS lässt sie sich nicht aktivieren, und der Bildschirm erklärt den Grund.

### Das Telefon ändern

1. Tippe unter **Mein Konto › Sicherheit** auf **Telefon ändern** und bestätige mit dem Code des aktuellen Telefons, dass du es bist.
2. Gib die neue Nummer ein, erhalte dort den Code und bestätige. Die nächsten Codes gehen an die neue Nummer.

### Die Bestätigung deaktivieren

*Nur wer nicht verpflichtet ist: Mitglied in einer Community ohne eingeschaltete Voreinstellung.*

Tippe auf **Deaktivieren**, bestätige mit dem Code, dass du es bist, und bestätige erneut. Die Anmeldung verlangt wieder nur das Passwort, die Wiederherstellungscodes verlieren ihre Gültigkeit und die gemerkten Geräte werden entfernt. Für das Team und den SuperAdmin erklärt der Abschnitt, dass die Bestätigung immer genutzt wird, ohne die Schaltfläche.

### Von den Mitgliedern verlangen

*Rolle: Owner.*

1. Öffne **Einstellungen › Zugang und Registrierung**.
2. Schalte auf der Karte **Bestätigung in zwei Schritten für Mitglieder** die Option **Bestätigung in zwei Schritten von Mitgliedern verlangen** ein.

### Ich habe mein Telefon verloren

1. Tippe im Code-Schritt auf **Wiederherstellungscode verwenden** und gib einen der gespeicherten Codes ein.
2. Ändere danach unter **Mein Konto › Sicherheit** das Telefon und erstelle neue Codes.

Ohne Telefon und ohne Wiederherstellungscode wende dich an den Memberfy-Support. Es gibt keinen Code per E-Mail: Der SuperAdmin prüft vorher deine Identität, deaktiviert die Bestätigung des Kontos mit dokumentiertem Grund, und du bekommst eine E-Mail. Verlangt deine Rolle die Bestätigung, aktiviere sie bei der nächsten Anmeldung wieder.

## Beispiele

**Neue Administratorin.** Ana wird Administratorin. Beim Öffnen des Dashboards sieht sie den Hinweis mit der Frist von 7 Tagen, tippt auf **Jetzt aktivieren**, bestätigt WhatsApp und bewahrt die Codes auf. Auf dem Büro-Laptop hakt sie **Dieses Gerät 90 Tage lang merken** an.

**Geschützte Auszahlung.** Der Owner fordert eine Auszahlung an. Vor dem Senden verlangt das Fenster **Bestätige, dass du es bist** den WhatsApp-Code; damit geht die Auszahlung weiter.

**Community, die es von allen verlangt.** Der Owner schaltet die Voreinstellung für Mitglieder ein. Wer hereinkommt, sieht die Bitte, aktiviert sie in einer Minute und meldet sich ab dann mit Code an.

## Häufige Fehler und wie du sie behebst

| Meldung oder Situation | Was zu tun ist |
|---|---|
| *„Falscher Code. Noch N Versuche.“* | Prüfe den neuesten Code; die vorherigen verlieren ihre Gültigkeit, wenn ein neuer kommt |
| *„Keine Versuche mehr für diesen Code. Fordere unten einen neuen Code an.“* | Fordere einen neuen Code an, per WhatsApp oder per SMS |
| *„Zu viele Codes angefordert. Versuche es später erneut.“* | Warte etwas oder verwende einen Wiederherstellungscode |
| *„Diese Code-Anfrage ist abgelaufen. Melde dich erneut mit deinem Passwort an.“* | Tippe auf **Erneut anmelden** und wiederhole die Anmeldung |
| Der Code kommt per WhatsApp nicht an | Tippe auf **Per SMS erhalten** |
| *„Die Seiten und Aktionen des Teams sind gesperrt…“* | Die 7-Tage-Frist ist abgelaufen: Aktiviere die Bestätigung unter **Mein Konto › Sicherheit** |
| *„Diese Aktion ist in einer Support-Sitzung nicht verfügbar…“* | Die Aktion gehört der Person selbst, in ihrem Konto |

## Häufige Fragen

**Was kostet das?**
Nichts, weder für die Community noch für die Nutzer. Memberfy bezahlt die Nachrichten, außerhalb des Kontingents der Community.

**Brauche ich eine Authenticator-App?**
Nein. Der Code kommt per WhatsApp oder per SMS.

**Muss ich jeden Tag einen Code eingeben?**
Nein, wenn du **Dieses Gerät 90 Tage lang merken** anhakst. Der Code kommt erst nach dieser Frist wieder, wenn du dein Passwort änderst oder das Gerät entfernst.

**Kann der Owner mich verpflichten?**
Das Team (Administrator, Moderator, Finanzen und der Owner selbst) nutzt die Bestätigung immer. Von Mitgliedern kann der Owner sie verlangen, aber niemand wird gesperrt.

**Überspringt das Zurücksetzen des Passworts die Bestätigung?**
Nein. Die nächste Anmeldung mit dem neuen Passwort verlangt den Code.

**Und die API-Schlüssel?**
Ein Schlüssel funktioniert weiter ohne Code. Einen neuen zu erstellen verlangt den zusätzlichen Schritt. Für das Team erreichen die Schlüssel nach Ablauf der Frist ohne Bestätigung auch die Routen des Teams nicht mehr.

## Mit dem Assistenten

Der Assistent prüft deine Bestätigung mit [`get_two_factor_status`](/mcp/ferramentas-membros#get-two-factor-status): ob sie aktiviert ist, ob deine Rolle sie verlangt und bis wann, das maskierte Telefon, die verbleibenden Wiederherstellungscodes und die gemerkten Geräte. Aktivieren, Deaktivieren und Codes eingeben passiert **nur in der App**, nie im Gespräch: Der Assistent gibt den Link zu **Mein Konto › Sicherheit** zurück und fragt nie nach einem Code. Eine Aktion mit zusätzlichem Schritt (etwa eine Auszahlung) kommt mit dem Link zurück, um sie in der App zu erledigen. Siehe [Sicherheit und Grenzen](/mcp/seguranca#bestatigung-in-zwei-schritten).

## In der API

Die Anmeldung mit aktivierter Bestätigung antwortet `twoFactorRequired: true` und eine `challengeId` und endet in `POST /api/auth/login/two-factor`; die Verwaltung liegt unter `/api/auth/two-factor/*`, und der zusätzliche Schritt geht im Header `X-Step-Up-Token`. Siehe [Authentifizierung › Bestätigung in zwei Schritten](/api/autenticacao#bestatigung-in-zwei-schritten) und die [Fehler](/api/respostas-e-erros#bestatigung-in-zwei-schritten).

## Verwandte Artikel

- [Konto und Profil](/conceitos/conta-e-perfil)
- [Rollen und Berechtigungen](/conceitos/papeis-e-permissoes)
- [Auszahlung](/pagamentos/saque)
- [Integrationen und APIs](/configuracoes/integracoes-e-apis)
- [Sicherheit und Grenzen des Assistenten](/mcp/seguranca)