Authentication Manager (3.3.2)
Ein kompromittiertes Admin-Konto, und euer Server kann in Sekunden zerstört werden. Die Identität der Mitglieder bei jedem Zugriff auf eine sensible Rolle zu überprüfen, wird unverzichtbar. Authentication Manager schließt diese echte Lücke in Discord.
❓ Das Problem
Ein Admin-Konto wird kompromittiert. Innerhalb von Sekunden: Massenbans, gelöschte Kanäle, offengelegte Daten. Selbst wenn Discord-2FA aktiviert ist, reicht ein durch Malware oder Phishing gestohlener Token aus, um diesen Schutz zu umgehen — der Angreifer ist bereits eingeloggt, die 2FA wird nie abgefragt.
Discord bietet keinen Mechanismus, um zu überprüfen, wer sich tatsächlich hinter einer Rolle mit sensiblen Berechtigungen verbirgt. Jeder mit Zugang zum Konto kann mit vollen Rechten handeln, ohne dass irgendetwas ihn daran hindert.
Ein einziger Kanal, der durch den Hack eines Admin-Kontos gelöscht wird, ist bereits einer zu viel.
🔐 Die Lösung: Authentication Manager
Mit dem Authentication Manager (AM) werden Rollen mit sensiblen Berechtigungen nicht mehr dauerhaft vergeben — sie werden erst nach einer zusätzlichen Authentifizierungsschicht zugewiesen. Kombiniert mit temporären Sitzungen, die automatisch ablaufen, wird das Zeitfenster drastisch reduziert: Rollen werden am Ende der Sitzung automatisch entzogen.
Selbst wenn ein Angreifer ein Discord-Konto stiehlt, kann er die destruktiven Berechtigungen des Servers nicht nutzen: Die Rolle ist schlicht nicht da, und sie zu erhalten erfordert eine Authentifizierung, die er nicht besitzt.
✨ Was enthalten ist
🛡️ 4 Authentifizierungsmethoden
| Methode | Beschreibung | Grad |
|---|---|---|
| Einfacher PIN-Code | Klassische Eingabe, 4 bis 12 Ziffern | E bis D |
| Anti-Blick-PIN-Code | Numerische Tastatur mit zufälliger Anordnung, 6 bis 12 Ziffern | C bis B |
| OTP (2FA) | Temporärer 6-stelliger Code über Google Authenticator, Authy, 1Password... | A |
| Passkey (WebAuthn) | Fingerabdruck, Gesichtserkennung oder physischer Schlüssel (YubiKey) | S |
🔑 Sicherheitsgrade
Jede Methode entspricht einem Grad (E bis S). Ihr wählt den Mindestgrad pro Rolle: Ein interner Zugang kann sich mit einem PIN begnügen, eine Admin-Rolle wird einen Passkey erfordern.
⏱️ Temporäre Sitzungen
Rollen sind nicht mehr permanent. Jede Authentifizierung eröffnet eine zeitlich begrenzte Sitzung (konfigurierbar bis zu 8 Stunden). Nach Ablauf wird die Rolle automatisch entzogen.
⚙️ Manager-System
Gebt einem Mitglied Admin-Berechtigungen, ohne ihm Zugriff auf das Authentifizierungssystem zu geben. Manager müssen sich selbst authentifizieren und können nur Rollen unterhalb ihrer Obergrenze verwalten, was die Erstellung von Backdoors und Rechteeskalation verhindert.
📋 Audit-Logs und Sitzungen
Jede Authentifizierung, Rollenzuweisung und Aktion wird direkt im Bot gespeichert. Im Gegensatz zu Discord-Logs kann sie niemand löschen — selbst ein kompromittierter Admin kann seine Spuren nicht verwischen.
🚫 Brute-Force-Schutz
5 Fehlversuche: eine Stunde Sperre. 10 Fehlversuche: vollständiger Konto-Reset.
Die vollständige Liste der Neuerungen in 3.3.2 findet ihr im Changelog.