{"id":1233664,"date":"2026-08-13T12:03:19","date_gmt":"2026-08-13T12:03:19","guid":{"rendered":"https:\/\/www.europesays.com\/de\/1233664\/"},"modified":"2026-08-13T12:03:19","modified_gmt":"2026-08-13T12:03:19","slug":"webanalyse-umami-fuehrt-zwei-faktor-login-ein","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/de\/1233664\/","title":{"rendered":"Webanalyse: Umami f\u00fchrt Zwei-Faktor-Login ein"},"content":{"rendered":"
    \n
  1. \n

    Webanalyse: Umami f\u00fchrt Zwei-Faktor-Login ein<\/p>\n<\/li>\n<\/ol>\n

    Die Webanalyse-Software Umami erh\u00e4lt mit Version 3.3.0 eine Zwei-Faktor-Authentifizierung und verkn\u00fcpft Sitzungen eines identifizierten Nutzers nun \u00fcber mehrere Besuche und Ger\u00e4te hinweg. Weitere Neuerungen sind Filter f\u00fcr Sitzungs- und Ereigniseigenschaften, kopierbare Dashboards, Mini-Diagramme in Tabellen sowie eine \u00fcberarbeitete Absprungerkennung f\u00fcr Single-Page-Applications.<\/p>\n

    Weiterlesen nach der Anzeige<\/p>\n

    Umami ist eine quelloffene, datenschutzorientierte Alternative zu Google Analytics<\/a>. Die Software l\u00e4sst sich auf eigener Infrastruktur betreiben und erfasst unter anderem Seitenaufrufe, Events, Referrer und Sitzungsdaten. Seit Umami 3.0<\/a> setzt das Projekt ausschlie\u00dflich auf PostgreSQL; zuletzt hatte Version 3.2<\/a> Heatmaps und erweiterte Auswertungen erg\u00e4nzt.<\/p>\n

    Zweiter Faktor auch f\u00fcr selbst gehostete Instanzen<\/p>\n

    Die zentrale Neuerung von Umami 3.3.0 ist die Unterst\u00fctzung f\u00fcr TOTP-basierte Zwei-Faktor-Authentifizierung. Nutzer k\u00f6nnen den zweiten Faktor per QR-Code oder manuell eingegebenem Schl\u00fcssel in einer Authenticator-App einrichten. Geht der zweite Faktor verloren, erzeugt Umami zehn einmal nutzbare Backup-Codes.<\/p>\n

    Administratoren k\u00f6nnen die 2FA nicht nur global, sondern auch f\u00fcr einzelne Nutzer oder Teams erzwingen. Bei Bedarf k\u00f6nnen sie den zweiten Faktor zur\u00fccksetzen. Wiederholte Fehlversuche begrenzt die Anwendung per Rate Limit; nach f\u00fcnf fehlgeschlagenen Eingaben sperrt Umami weitere Versuche f\u00fcr 15 Minuten. Weitere Informationen hierzu gibt es in der Dokumentation<\/a>.<\/p>\n

    F\u00fcr selbst betriebene Installationen ist allerdings eine Konfigurationsanpassung n\u00f6tig: Vor der Aktivierung muss der Betreiber den geheimen Konfigurationswert TWO_FACTOR_ENCRYPTION_KEY setzen. Umami verschl\u00fcsselt die gespeicherten 2FA-Geheimnisse damit per AES-256-GCM. Geht der Schl\u00fcssel verloren oder wird er ersetzt, lassen sich vorhandene 2FA-Registrierungen nicht mehr lesen; betroffene Nutzer m\u00fcssen den zweiten Faktor erneut einrichten.<\/p>\n

    Zusammengef\u00fchrte Sitzungen und pr\u00e4zisere Filter<\/p>\n

    Umami f\u00fchrt Sitzungen jetzt nachtr\u00e4glich zusammen, wenn eine Anwendung einen Besucher identifiziert. Das betrifft etwa Webanwendungen, die nach dem Login eine interne Nutzer-ID an den Tracker \u00fcbergeben. \u00d6ffnet ein Nutzer die Anwendung sp\u00e4ter auf einem zweiten Ger\u00e4t, kann Umami die Aktivit\u00e4ten beider Sitzungen in einem gemeinsamen Profil anzeigen.<\/p>\n

    Weiterlesen nach der Anzeige<\/p>\n

    Die zugrunde liegenden Sitzungen bleiben dabei getrennt. Umami verkn\u00fcpft sie \u00fcber die sogenannte Distinct ID und zeigt im Profil die Zahl verkn\u00fcpfter IDs an. F\u00fcr Betreiber entsteht so ein vollst\u00e4ndigerer Verlauf \u00fcber mehrere Ger\u00e4te und Besuche. Sie sollten allerdings weiterhin m\u00f6glichst interne oder gehashte Kennungen statt E-Mail-Adressen verwenden, um unn\u00f6tige personenbezogene Daten in der Analyse zu vermeiden.<\/p>\n

    Neu sind zudem Filter nach Eigenschaften von Sitzungen und Events. Damit lassen sich etwa nur Sitzungen von Kunden eines bestimmten Tarifs oder nur Ereignisse mit einer bestimmten Feature-Flag-Auspr\u00e4gung auswerten. Umami erzwingt eindeutige Eintr\u00e4ge f\u00fcr Sitzungsdaten auf Datenbankebene und optimiert die Abfragen f\u00fcr Sitzungsaktivit\u00e4ten.<\/p>\n

    Dashboards kopieren, Trends schneller erkennen<\/p>\n

    Die frei konfigurierbaren Dashboards, im Projekt \u201eBoards\u201c genannt, lassen sich nun klonen. Teams k\u00f6nnen damit beispielsweise ein vorhandenes Conversion-Dashboard duplizieren und es f\u00fcr eine neue Kampagne oder ein weiteres Produkt anpassen, ohne alle Kacheln neu anzulegen.<\/p>\n

    In den Tabellen f\u00fcr Websites, Links und Tracking-Pixel erscheinen au\u00dferdem Sparklines. Die kleinen Liniendiagramme zeigen direkt in der Tabelle den j\u00fcngsten Trend einer Kennzahl. Sie ersetzen keine ausf\u00fchrliche Zeitreihenanalyse, helfen aber dabei, auff\u00e4llige Projekte schneller zu erkennen. Bereits Umami 3.1<\/a> hatte Boards als flexibel zusammenstellbare Ansichten f\u00fcr Diagramme, Tabellen und Kennzahlen eingef\u00fchrt.<\/p>\n

    Beim Anlegen einer neuen Webseite f\u00fchrt Umami nun durch die Einbindung des Tracking-Codes. Das soll Konfigurationsfehler beim ersten Setup vermeiden. Die \u00fcberarbeitete Absprungerkennung zielt insbesondere auf Single-Page-Applications: Bei diesen Anwendungen wechseln Nutzer h\u00e4ufig Inhalte, ohne dass ein klassischer Seitenaufruf ausgel\u00f6st wird. Eine an herk\u00f6mmlichen Pageviews orientierte Bounce-Rate kann das Verhalten daher falsch einordnen.<\/p>\n

    Migration und Detailverbesserungen<\/p>\n

    Das Update enth\u00e4lt Datenbankmigrationen f\u00fcr die Sitzungsverkn\u00fcpfung, 2FA und \u00fcberarbeitete Sitzungsdaten. Laut Release Notes<\/a> f\u00fchrt Umami diese beim Build automatisch aus. Betreiber sollten dennoch vor dem Update Backups erstellen und insbesondere pr\u00fcfen, ob die neue 2FA-Schl\u00fcsselvariable sicher hinterlegt ist.<\/p>\n

    Daneben behebt Version 3.3.0 Sicherheits- und Bedienungsprobleme. Dazu z\u00e4hlen serverseitige Pr\u00fcfungen f\u00fcr Website-Namen und Domains, geh\u00e4rtete L\u00f6schvorg\u00e4nge f\u00fcr Event-Daten sowie l\u00e4ngere Mindestwerte f\u00fcr Freigabe-Links. Der Tracker ist nun in TypeScript umgesetzt und ver\u00f6ffentlicht passende Typdefinitionen. Auch Referrer-Verarbeitung, CORS-Unterst\u00fctzung f\u00fcr recorder.js, internationale Zeichens\u00e4tze sowie das Layout auf Mobilger\u00e4ten wurden nachgebessert.<\/p>\n

    Umami aktualisiert au\u00dferdem Abh\u00e4ngigkeiten wie Next.js 16.3.0 und Prisma 7.9.1. F\u00fcr bestehende Installationen d\u00fcrfte der Hauptaufwand jedoch bei den Datenbankmigrationen und \u2013 falls gew\u00fcnscht \u2013 bei der Einf\u00fchrung von 2FA liegen.<\/p>\n

    (fo<\/a>)<\/p>\n

    \n Dieser Link ist leider nicht mehr g\u00fcltig.\n <\/p>\n

    Links zu verschenkten Artikeln werden ung\u00fcltig,
    \n wenn diese \u00e4lter als 7\u00a0Tage sind oder zu oft aufgerufen wurden.\n <\/p>\n

    Sie ben\u00f6tigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen \u2013 ohne Verpflichtung!<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"Webanalyse: Umami f\u00fchrt Zwei-Faktor-Login ein Die Webanalyse-Software Umami erh\u00e4lt mit Version 3.3.0 eine Zwei-Faktor-Authentifizierung und verkn\u00fcpft Sitzungen eines…\n","protected":false},"author":2,"featured_media":1233665,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[135],"tags":[1743,10624,29,30,255991,196,24469,190,189,194,191,65359,255992,193,192],"class_list":["post-1233664","post","type-post","status-publish","format-standard","has-post-thumbnail","category-wissenschaft-technik","tag-datenschutz","tag-datensicherheit","tag-deutschland","tag-germany","tag-google-analytics","tag-it","tag-open-source","tag-science","tag-science-technology","tag-technik","tag-technology","tag-tracking","tag-umami","tag-wissenschaft","tag-wissenschaft-technik"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@de\/117088106461966809","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/1233664","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/comments?post=1233664"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/1233664\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media\/1233665"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media?parent=1233664"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/categories?post=1233664"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/tags?post=1233664"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}