---
title: Sicherheit
description: Schützen Sie das Admin-Panel mit 2FA und IP-Filtern, verwalten Sie Rollen und konfigurieren Sie Kunden-Logins mit Passkeys, Google, GitHub, Captcha.
url: https://nexcmp.com/de/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Sicherheit {#security}

> **Wo im Admin:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`).

## Admin-Konsole {#admin-console}

### Zwei-Faktor-Authentifizierung (TOTP) {#two-factor-authentication-totp}

Die Konsole ist aus dem Internet erreichbar, aktivieren Sie daher TOTP.

1. Öffnen Sie **System › Admin › Console security**.
2. Klicken Sie unter **Two-factor authentication (TOTP)** auf **Start setup**.
3. Scannen Sie den QR-Code mit Google Authenticator, Authy, 1Password oder Bitwarden und geben Sie dann den 6-stelligen Code ein.

### Erlaubte Konsolen-IP-Bereiche {#allowed-console-ip-ranges}

Geben Sie unter **Allowed console IP ranges** eine IP oder CIDR (IPv4 oder IPv6) pro Zeile ein. **Leer bedeutet von überall.** Außerhalb des Bereichs sind sowohl die Anmeldung als auch die Admin-API blockiert.

::: warning Sperren Sie sich nicht selbst aus
Die Seite zeigt Ihre aktuelle IP an und erfordert, dass die neue Liste diese enthält. Verwenden Sie **+ Add my IP**. Wenn Sie dennoch ausgesperrt sind, nutzen Sie den [emergency access](https://nexcmp.com/de/docs/getting-started/cli-reference/#emergency-access) vom Server.
:::

### Passwort ändern {#change-password}

Füllen Sie **Current password**, **New password** und **Confirm new password** aus. Verwenden Sie ein langes, eindeutiges Passwort (12 Zeichen oder mehr; der Setup-Assistent erzwingt 12 für den ersten Administrator).

### Administratorenkonten und -rollen {#administrator-accounts-and-roles}

Öffnen Sie **System › Admin › Admin users** und verwenden Sie **+ Create account**.

| Rolle | Zugriff |
|---|---|
| `admin` | Vollzugriff auf die Admin-API |
| `staff` | Schreibgeschützt im gesamten System |
| `user` | Schreibgeschützte Ansicht der Ressourcen eines Kunden |

Das Root-Konto ist das im [setup wizard](https://nexcmp.com/de/docs/getting-started/setup-wizard/) erstellte Konto. Zeilenaktionen: **Edit**, **Reset PW**, **Key**, **Delete**. Passwörter werden als Salted Hashes gespeichert; das Ändern oder Sperren eines Kontos beendet dessen Sitzungen sofort.

## Kundenanmeldung {#customer-sign-in}

Öffnen Sie **System › Settings › Customer logins**.

| Einstellung | Funktion |
|---|---|
| **Google-Anmeldung** | Aktivieren Sie die Funktion und geben Sie die OAuth-Client-ID sowie das Geheimnis ein. Kopieren Sie die auf der Seite angezeigte **Callback URL** in *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs*. Verwenden Sie **Test configuration**. |
| **GitHub login** | Entsprechend mit *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | Anmeldung per Fingerabdruck, PIN oder Hardware-Schlüssel; standardmäßig aktiv. Passkeys sind an die Domain gebunden, jede Reseller-Domain funktioniert separat. Tragen Sie nach einem Rebranding eine alte Domain unter *Legacy passkey Domain* ein, damit Kunden einen hilfreichen Hinweis erhalten |
| **Erneut authentifizieren beim Hinzufügen von Anmeldemethoden** | Erneut zur Passworteingabe auffordern, bevor ein Passkey hinzugefügt oder Google/GitHub verknüpft wird (standardmäßig aus) |
| **Captcha** | Cloudflare Turnstile oder Google reCAPTCHA bei der Registrierung: aktivieren, Anbieter auswählen, Site-Key und Secret-Key eingeben |
| **Block e-mail domains** | Eine Domain pro Zeile (max. 2000). Übereinstimmende Adressen werden bei der Registrierung abgelehnt mit `email_domain_blocked` |

![Die Anmeldeseite für Kunden mit Google-Anmeldung und zugehöriger Callback-URL](https://nexcmp.com/de/docs/images/administration/security-01-customer-logins.webp)

### Integrierte Richtlinien {#built-in-policies}

| Richtlinie | Wert |
|---|---|
| Kundenpasswort | Mindestens 10 Zeichen, Buchstaben und Ziffern |
| Kunden-Sitzung | 30 Tage; Sitzungen bei „Als Kunde anmelden“ dauern 1 Stunde |
| E-Mail-Bestätigung | Erforderlich vor dem Erstellen einer VM, wenn *require e-mail verified* in den Verkaufseinstellungen aktiv ist |
| Anti-Carding | Konten mit weniger als dem Mindestguthaben können nur eine begrenzte Anzahl von VMs erstellen |

## Server-Härtung {#server-hardening}

- Port 3000 wird nach der Einrichtung und TLS geschlossen; siehe [Installation](https://nexcmp.com/de/docs/getting-started/installation/#the-panel-port-3000).
- Der Dienst läuft als unprivilegierter `nexcmp`-Benutzer in einer eingeschränkten systemd-Sandbox.
- API-Schlüssel, Zahlungsdaten und SMTP-Passwörter werden verschlüsselt gespeichert; der Master-Schlüssel befindet sich in `/var/lib/nexcmp/secrets` — schützen Sie Ihre [backups](https://nexcmp.com/de/docs/getting-started/backup-and-restore/).
- Releases werden vor der Installation mit SHA-256 und einer Ed25519-Signatur verifiziert.