2FA bei balena: So richtest du eine Authenticator-App für balenaCloud ein

Ein balenaCloud-Konto steuert ganze Flotten vernetzter Geräte: den Code, den sie ausführen, den SSH-Zugang zu ihnen und die API-Schlüssel, die all das ändern können. Deshalb verdient es mehr als ein Passwort. Die Zwei-Faktor-Authentifizierung (2FA) von balena ist freiwillig und nutzt eine Methode, einen zeitbasierten Code aus einer Authenticator-App (TOTP). Eine Option per SMS gibt es laut Dokumentation nicht (balena, balena). Diese Anleitung verwendet Authenticator App - Novaz auf dem iPhone, aber jede Authenticator-App funktioniert genauso.

Wie wir diese Anleitung geprüft haben: Die Schritte für balena stammen aus der eigenen Dokumentation von balena (unten verlinkt), die wir am 21. Oktober 2026 gelesen haben. Zum Thema Aussperrung haben wir außerdem Antworten des balena-Teams im offiziellen Forum gelesen. Wir haben nichts davon mit einem balenaCloud-Konto getestet, daher kann ein Label leicht abweichen. Die Schritte für Novaz sind mit der App in Version 1.0.5 geprüft.

2FA mit einer Authenticator-App einschalten

Die Kontodokumentation von balena beschreibt diese Schritte (balena):

1. Melde dich am balenaCloud-Dashboard an. Klicke oben rechts auf dein Profil und öffne die Seite Preferences (Einstellungen).
2. Öffne den Tab Two-factor Authentication (Zwei-Faktor-Authentifizierung) und klicke auf Enable two-factor authentication (Zwei-Faktor-Authentifizierung aktivieren).
3. balena zeigt einen QR-Code und ein Feld Pairing code (Kopplungscode). Tippe in Novaz auf +, dann auf QR-Code scannen, und richte die Kamera auf den Code auf deinem Monitor. Wenn das Dashboard auf demselben iPhone geöffnet ist, mach ein Bildschirmfoto, tippe auf + und dann auf Foto auswählen. Siehe QR-Code auf demselben iPhone scannen.
4. Gib den 6-stelligen Code aus Novaz unter Pairing code ein.
5. balena zeigt dann deine Wiederherstellungscodes. Lade sie herunter, bewahre sie an einem sicheren Ort auf und klicke dann auf OK.

Die Dokumentation weist darauf hin, dass 2FA erst eingeschaltet wird, wenn die Kopplung gelingt, du kannst dich also nicht aussperren, indem du mittendrin abbrichst.

Die Dokumentation von balena erwähnt keinen Schlüssel als Text, den du statt des Scannens eintippen könntest, und sagt nicht, wie oft sich die Codes ändern. Scanne den QR-Code: Er überträgt die Code-Einstellungen an deine App. Falls du doch einen Schlüssel findest und ihn über Schlüssel manuell eingeben eintippst, geht Novaz von 6 Ziffern alle 30 Sekunden aus. Siehe Was ist ein 2FA-Einrichtungsschlüssel?

Die Liste geprüfter Apps von balena nennt Google Authenticator, Authy und 1Password. Novaz steht nicht darauf, erzeugt aber dieselben standardmäßigen TOTP-Codes.

Wenn du dich per SAML anmeldest

Wenn du das Single Sign-on deines Unternehmens nutzt und bei jedem Versuch, 2FA zu aktivieren, einen Fehler bekommst, empfiehlt balena, dich abzumelden, wieder anzumelden und es sofort erneut zu versuchen (balena).

Wann balena nach einem Code fragt

Nach der Einrichtung fragt balena bei der nächsten Anmeldung nach dem Code aus deiner App, sobald du Benutzername und Passwort eingegeben hast (balena). Gemerkte oder vertrauenswürdige Geräte erwähnt die Dokumentation nicht.

Auf der Kommandozeile nimmt balena login deine E-Mail-Adresse, dein Passwort und einen 2FA-Code entgegen, lässt dich die CLI über das Dashboard autorisieren oder akzeptiert ein Sitzungstoken oder einen API-Schlüssel (balena). API-Schlüssel laufen nie ab, solange sie nicht widerrufen werden, und haben deine vollen Berechtigungen (balena), schütze sie also wie deine Wiederherstellungscodes.

Bewahre deine Wiederherstellungscodes auf

Wiederherstellungscodes sind das einzige Backup, das balena dokumentiert. Sie sind dein Weg zurück ins Konto, wenn das Handy weg ist und du kein Backup von Novaz hast oder nur eines, das vor dem Hinzufügen von balena erstellt wurde. Bewahre sie in einem Passwort-Manager oder auf Papier auf, getrennt vom Handy. Mehr dazu unter 2FA-Backup-Codes.

Wenn balena deinen Code ablehnt

Laut Dokumentation von balena funktioniert ein Code nicht mehr, sobald der Countdown in deiner App abgelaufen ist, gib ihn also ein, solange er noch angezeigt wird. Wenn auch neue Codes immer wieder scheitern, prüfe die Uhr deines iPhone: Einstellungen › Allgemein › Datum & Uhrzeit › Automatisch einstellen. Novaz warnt dich, wenn die Uhr um 15 Sekunden oder mehr abweicht. Andere Ursachen findest du unter Authenticator-Code funktioniert nicht?

Handy wechseln

Die Dokumentation von balena beschreibt nicht, wie du die 2FA auf ein neues Handy überträgst. Die Schritte, die sie nennt, sind Aus- und Wiedereinschalten. Solange du das alte Handy noch hast, deaktiviere 2FA, aktiviere sie dann wieder und scanne den neuen QR-Code mit dem neuen iPhone. Wenn du das iCloud-Backup von Novaz eingeschaltet oder eine Backup-Datei gesichert hast, ist die Wiederherstellung auf dem neuen iPhone der einfachere Weg: Die Codes funktionieren weiter. Siehe So überträgst du deine Authenticator-App auf ein neues iPhone.

Wenn du deine Authenticator-App verlierst

Melde dich mit einem deiner Wiederherstellungscodes an. Ohne sie bietet die Dokumentation von balena keinen Self-Service-Weg. Der dokumentierte Ort für Hilfe ist der Produkt-Support-Bereich in den Foren von balena (balena).

In einem Forenthread von 2023 haben Antworten des balena-Teams, darunter von einem als solchen geführten Forenmoderator, den Ablauf beschrieben. Wiederherstellungscodes sind der schnellste Weg zu beweisen, dass das Konto dir gehört. Andernfalls prüft balena, ob du den privaten Teil eines SSH-Schlüssels besitzt, den du deinem balenaCloud-Konto hinzugefügt hast. Du signierst eine Zeichenfolge, die du von balena bekommst, und schickst das Ergebnis privat an ein Mitglied des balena-Teams, niemals in einem öffentlichen Beitrag. Sobald die Signatur geprüft ist, entfernt balena die 2FA, damit du dich nur mit deinem Passwort anmelden kannst (balena forums). Das stammt aus Forenantworten, nicht aus der Dokumentation, und balena sagt nicht, wie lange es dauert. Wenn du SSH mit deinen Geräten nutzt, behalte diesen Schlüssel. Mehr dazu unter Handy mit der Authenticator-App verloren?

2FA ausschalten

Gehe in deinen Einstellungen zurück zum Tab Two-factor Authentication und klicke auf Disable two-factor authentication (Zwei-Faktor-Authentifizierung deaktivieren). balena fragt vorher nach deinem Kontopasswort (balena). Wenn du dich mit GitHub oder Google registriert und nie ein Passwort festgelegt hast, kannst du im Tab Account details (Kontodetails) derselben Seite eines hinzufügen.

Offizielle Hilfe von balena

• Account management
• Security
• Enterprise Single Sign-On (SSO): Introduction
• Balena CLI reference (latest)
• Getting Help
• Disable 2FA Reset without recovery codes (Thread in den balenaForums mit Antworten des balena-Teams)