Dragonia Login 2026: 2FA, Biometrie, Sicherheits-Setup

Markus Eberlein· Account-Security-Tester

9 Jahre Auth-Audits · Mai 2026

30

Logins getestet

0

Fehlversuche

Markus arbeitet seit 2017 als Penetration-Tester für Identity-Provider und prüft seit 2023 Casino-Login-Implementierungen. Für diesen Bericht hat er 30 Logins über 14 Tage durchgeführt, 2FA mit drei Apps konfiguriert, Brute-Force-Versuche ausgelöst und Session-Handling per DevTools mitgeschnitten.

Pen-Tester für Auth0, Okta-Implementierungen seit 2017
OWASP-Mitglied, Vortragender BSides Hamburg 2024
Eigene 30-Login-Stichprobe mit DevTools-Tracing
Keine Affiliate-Beziehung zu Dragonia

Kurzfazit nach 30 Logins

Dragonia macht Login richtig. 30 Logins, 0 Fehlversuche, 0 Crashes, keine zufälligen 2FA-Aussetzer. Standard-Login mit Passwort dauert 12-18 Sekunden inkl. 2FA-Code, Biometrie unter 2 Sekunden. Die Sitzungsverwaltung ist sauber: bis zu 3 parallele Sessions erlaubt, ältere werden beim Login auf einem 4. Gerät automatisch beendet.

Sicherheits-Architektur überzeugt: TOTP-2FA (kein anfälliges SMS), IP-basiertes Cookie-Invalidating, automatische 15-Min-Sperre nach 5 Fehlversuchen, sicheres Passwort-Reset über Mail-Link mit 30-Min- Ablauf. Touch-ID und Face-ID werden ab dem zweiten Login angeboten und sind in 2 Sekunden eingerichtet.

Was uns stört: Nach 30 Tagen Inaktivität wird Biometrie auf Mobile zurückgesetzt - verständlich aus Sicherheits-Sicht, aber bei Wiederkehr nervig. Außerdem fehlt eine Hardware-Key-Option (YubiKey) für Profi-Sicherheit.

Was den Login gut macht

0 Fehlversuche in 30 Tests
TOTP-2FA statt unsicheres SMS
Biometrie in 2 s ab Login 2
3 parallele Sessions erlaubt - Multi-Device-tauglich
IP-basiertes Cookie-Invalidating
Passwort-Reset per Mail-Link, 30-Min-Ablauf

Was uns stört

Keine YubiKey/Hardware-Key-Option
Biometrie-Reset nach 30 Tagen Inaktivität
Login-Verlauf nur 30 Tage rückwirkend einsehbar
VPN-Login vor Cashier kann KYC auslösen

Login in 30 Sekunden

1

Header → „Einloggen“

Oben rechts der Button „Einloggen“. Mobile: Hamburger-Menü → „Einloggen“.
2

E-Mail + Passwort

Beide case-sensitive. Bei E-Mail Tippfehler hilft „Passwort vergessen“.
3

2FA-Code (falls aktiviert)

6-stelliger Code aus Authenticator-App. Gültig 30 s, automatischer Timer in der App.
4

Optional: „Eingeloggt bleiben“

30 Tage Cookie-Lebensdauer. Auf öffentlichen Geräten NICHT aktivieren.

2FA einrichten und nutzen

Empfehlung: Authy oder Google Authenticator. Setup in 4 Schritten:

1

Profil → Sicherheit → 2FA aktivieren

QR-Code erscheint. Authenticator-App öffnen, „Konto hinzufügen“ via QR scannen.
2

Konto-Name vergeben (z. B. „Dragonia“)

Hilft bei mehreren Konten in der Authenticator-App.
3

Erst-Code eingeben

App generiert sofort 6-stelligen Code → in Dragonia bestätigen.
4

Backup-Codes ausdrucken

8 Backup-Codes erscheinen einmalig. Ausdrucken oder im Passwort-Manager speichern - bei Geräteverlust einzige Möglichkeit, ohne 2FA einzuloggen.

Touch-ID & Face-ID auf Mobile

Ab dem zweiten Login auf einem Gerät bietet die PWA Biometrie-Login an. Vorgehen: Login mit Passwort + 2FA → Pop-up „Touch-ID verwenden?“ → Bestätigen mit Fingerabdruck/Face. Beim nächsten Login reicht Tap auf Login-Button + Biometrie-Authentifizierung - Dauer 2 Sekunden.

Sicherheits-Hinweis: Biometrie ersetzt das Passwort, NICHT 2FA bei Cashier-Operationen. Auszahlungen erfordern weiterhin manuell den 6-stelligen 2FA-Code.

Passwort vergessen - 4 Schritte

1

„Passwort vergessen“ klicken

Auf der Login-Seite. E-Mail eingeben, Captcha lösen.
2

Mail-Link öffnen

Link 30 Min gültig. Nach Ablauf neue Anforderung nötig.
3

Neues Passwort vergeben

Mindestens 12 Zeichen, Groß-/Kleinbuchstaben, Zahl, Sonderzeichen. Pwned-Passwords-Check eingebaut - bekannte geleakte Passwörter werden abgelehnt.
4

Login mit neuem Passwort + 2FA

Alle aktiven Sessions werden beim Reset automatisch beendet - also auf allen Geräten neu einloggen.

Sicherheits-Architektur

Login-Sicherheit Dragonia, Mai 2026

Schutz	Implementierung	Bewertung
Passwort-Hashing	Argon2id mit Salt	State-of-the-Art
2FA	TOTP (RFC 6238), 30 s Code-Lebensdauer	Sehr gut, kein SMS
Brute-Force-Schutz	5 Fehlversuche → 15 Min Sperre	Standard, ausreichend
Session-Handling	Max. 3 parallele Sessions, IP-Cookie-Bindung	Über Branchenstandard
TLS	TLS 1.3 mit HSTS, OCSP-Stapling	Modern
Passwort-Reset	Mail-Link, 30 Min, Single-Use-Token	Sehr gut
Biometrie	WebAuthn-API (FIDO2)	Modern, Hardware-gebunden

Häufige Login-Probleme

„Captcha fehlgeschlagen“ - meist VPN-Block oder Tor-Erkennung. VPN aus, andere Verbindung, neuer Versuch.

„Konto gesperrt - 15 Min“ - 5 Fehlversuche. 15 Min warten oder Live-Chat für sofortige Entsperrung.

„2FA-Code ungültig“ - Geräteuhr nicht synchron. Authenticator-App: Settings → „Zeit synchronisieren“ tippen.

„KYC erforderlich“ - vor Cashier-Aktion blockiert der Login das Cashier-Modul. Dokumente nachreichen, dann normal cashen.

Was sich zuletzt geändert hat

10. Mai 2026

Pwned-Passwords-Check beim Reset eingeführt - geleakte Passwörter werden abgelehnt.
29. April 2026

Biometrie-Login auf iOS aktiviert (vorher Android-only). Voraussetzung iOS 16.4+.
12. April 2026

Brute-Force-Sperre von 10 auf 15 Min erhöht - DDoS-Mitigation.
01. April 2026

Login-Verlauf in Profil → Sicherheit eingeführt - letzte 30 Tage einsehbar.

Häufig gestellte Fragen

Wie schnell ist der Login?

Mit Passwort 12-18 Sekunden inkl. 2FA-Code. Mit Biometrie 2 Sekunden. Im Test 30 Logins über 14 Tage: kein Login fehlgeschlagen, keine Sitzung mitten im Spiel abgebrochen.

Ist 2FA Pflicht?

Nicht erzwungen, aber bei Auszahlungen ab 500 € verpflichtend abgefragt. Wir empfehlen Aktivierung sofort nach Registrierung - verhindert 99 % der Account-Übernahmen laut Dragonia-Sicherheitsbericht 2026.

Welcher 2FA-App wird unterstützt?

Authy, Google Authenticator, Microsoft Authenticator, 1Password OTP. SMS-2FA wird NICHT angeboten - bewusst ausgeschlossen wegen SIM-Swap-Risiko. TOTP-Standard, Setup mit QR-Code.

Wie funktioniert „Eingeloggt bleiben“?

Cookie-basiert, 30 Tage Gültigkeit. Bei Wechsel der IP-Adresse wird das Cookie automatisch invalidiert - Schutz vor Session-Hijacking. Auf öffentlichen Geräten den Haken nicht setzen.

Was tun bei „Konto gesperrt“-Meldung?

Drei Ursachen: (1) 5 Fehlversuche → 15 Min Sperre, automatisch aufgehoben. (2) Verdächtige Aktivität (z. B. Login aus 3 Ländern in 1 Stunde) → Live-Chat kontaktieren. (3) Ausstehende KYC blockiert Login nach Auszahlungs-Anfrage - KYC-Dokumente per Mail-Link nachreichen.

Funktioniert der Login mit VPN?

Ja, kein automatisches Block. Aber: bei Auszahlung wird die Login-IP mit der Registrierungs-IP abgeglichen - VPN-IP-Wechsel kann KYC-Verifizierung auslösen. Empfohlen: VPN aus für Cashier-Operationen.

Kann ich auf mehreren Geräten gleichzeitig eingeloggt sein?

Ja, bis zu 3 Sessions parallel. Bei der 4. Session wird die älteste Session beendet. Login-Verlauf einsehbar unter Profil → Sicherheit → Aktive Sessions.