Webanalyse: Umami führt Zwei-Faktor-Login ein

Was geschehen ist – die Kernmeldung ausführlich

Die Webanalyse-Software Umami hat mit der Veröffentlichung der Version 3.3.0 ein bedeutendes Update erhalten, das vor allem die Sicherheit und die analytische Tiefe der Anwendung erweitert. Die wichtigste Neuerung ist die Implementierung einer Zwei-Faktor-Authentifizierung (2FA), die nun auch für selbst gehostete Instanzen der quelloffenen Software zur Verfügung steht. Damit reagieren die Entwickler auf den wachsenden Bedarf nach einer sichereren Zugriffskontrolle für Webanalyse-Tools, die auf eigener Infrastruktur betrieben werden. Neben diesem Sicherheitsaspekt hat das Projektteam grundlegende Änderungen an der Art und Weise vorgenommen, wie Nutzersitzungen erfasst und ausgewertet werden. Durch die Verknüpfung von Sitzungen über verschiedene Geräte hinweg können Betreiber nun ein präziseres Bild des Nutzerverhaltens erhalten, ohne dabei auf die datenschutzfreundliche Ausrichtung des Projekts zu verzichten. Ergänzt wird dieses Update durch eine Reihe von funktionalen Verbesserungen, darunter die Möglichkeit, Dashboards zu kopieren, sowie eine verfeinerte Absprungerkennung, die besonders für moderne Single-Page-Applications von hoher Relevanz ist. Mit diesen Neuerungen festigt Umami seine Position als datenschutzorientierte Alternative zu marktdominierenden Lösungen wie Google Analytics.

Die Einzelheiten – Zahlen, Namen und technische Details

Die technische Umsetzung der 2FA in Umami 3.3.0 basiert auf dem TOTP-Standard (Time-based One-Time Password). Nutzer haben die Wahl, den zweiten Faktor entweder über einen QR-Code oder durch die manuelle Eingabe eines Schlüssels in einer Authenticator-App zu konfigurieren. Für den Fall eines Zugriffsverlustes generiert das System zehn einmalig verwendbare Backup-Codes. Administratoren erhalten umfassende Kontrollrechte: Sie können die 2FA global oder für spezifische Benutzergruppen erzwingen und bei Bedarf zurücksetzen. Um Missbrauch zu verhindern, wurde ein Rate-Limit implementiert, das nach fünf Fehlversuchen eine Sperre von 15 Minuten verhängt. Für die Verschlüsselung der 2FA-Geheimnisse nutzt Umami den AES-256-GCM-Algorithmus, wofür Betreiber vorab den Konfigurationswert TWO_FACTOR_ENCRYPTION_KEY definieren müssen. Ein Verlust dieses Schlüssels führt zum unwiderruflichen Verlust der 2FA-Registrierungen. Weitere Neuerungen betreffen die Datenbank-Performance und die Benutzeroberfläche. So wurden Sparklines in Tabellen integriert, die Trends visualisieren. Zudem wurde der Tracker in TypeScript neu geschrieben, was die Code-Qualität durch explizite Typdefinitionen erhöht. Auch die Abhängigkeiten wurden aktualisiert, darunter auf Next.js 16.3.0 und Prisma 7.9.1.

Hintergrund – Die Entwicklung des Projekts

Umami hat sich als quelloffene und datenschutzorientierte Alternative zu herkömmlichen Analysewerkzeugen etabliert. Die Software zeichnet sich dadurch aus, dass sie vollständig auf eigener Infrastruktur betrieben werden kann, was Unternehmen und Entwicklern die volle Kontrolle über ihre Analysedaten gibt. In der Vergangenheit hat das Projekt kontinuierlich Funktionen hinzugefügt, um den Funktionsumfang an professionelle Anforderungen anzupassen. Ein wesentlicher Meilenstein war die Version 3.0, mit der das Projekt den Wechsel auf PostgreSQL als exklusive Datenbanktechnologie vollzog. Dies legte den Grundstein für komplexere Abfragen und eine stabilere Datenhaltung. Mit der Version 3.2 wurden bereits Heatmaps und erweiterte Auswertungsmöglichkeiten eingeführt, was den Trend zur funktionalen Anreicherung unterstreicht. Die aktuelle Version 3.3.0 setzt diesen Weg konsequent fort, indem sie nicht nur Sicherheitsfeatures wie 2FA nachrüstet, sondern auch die Datenqualität durch die Sitzungsverknüpfung verbessert. Die Entwicklung zeigt, dass das Projekt auf das Feedback der Community hört, insbesondere im Hinblick auf die Anforderungen von Teams, die mit komplexeren Webanwendungen und Single-Page-Applications arbeiten und präzisere Daten für ihre Entscheidungsfindung benötigen.

Die Beteiligten – Wer entscheidet und wer ist betroffen

Die primären Akteure in diesem Szenario sind die Betreiber von Umami-Instanzen, die für die Konfiguration und Wartung der Software auf ihren eigenen Servern verantwortlich sind. Sie sind direkt von den Änderungen betroffen, insbesondere da sie für die Aktivierung der 2FA-Funktion die notwendigen Konfigurationsschritte, wie das Setzen des Verschlüsselungsschlüssels, selbst durchführen müssen. Auch Administratoren in größeren Teams profitieren von den neuen Möglichkeiten, 2FA-Richtlinien für einzelne Nutzer oder ganze Gruppen zu erzwingen. Entwickler, die Umami in ihre Webanwendungen integrieren, sind ebenfalls eine zentrale Zielgruppe, da sie nun die Möglichkeit haben, interne Nutzer-IDs an den Tracker zu übergeben, um die geräteübergreifende Sitzungsverknüpfung zu nutzen. Die Entwickler des Umami-Projekts selbst fungieren als Instanz, die durch die Bereitstellung der Software-Updates und der begleitenden Dokumentation den Rahmen für die Anwendung setzen. Sie haben mit der Umstellung auf TypeScript und der Bereitstellung von Typdefinitionen zudem die Arbeit für andere Entwickler erleichtert, die Umami in ihre eigenen Projekte einbetten oder erweitern wollen.

Einordnung – Was das bedeutet

Einzuordnen ist das Update als ein strategischer Schritt in Richtung Enterprise-Readiness. Während Umami ursprünglich als schlanke und einfache Alternative begann, zwingt die zunehmende Verbreitung in professionellen Umgebungen das Projekt dazu, Sicherheitsstandards zu implementieren, die in Unternehmensnetzwerken als obligatorisch gelten. Die Einführung von 2FA ist hierbei ein entscheidendes Signal an professionelle Anwender, dass die Software auch für sensible Umgebungen geeignet ist. Den Berichten zufolge stellt die Sitzungsverknüpfung über eine Distinct ID eine Balance zwischen präziser Analyse und Datensparsamkeit dar. Es wird betont, dass Betreiber weiterhin dazu angehalten sind, keine E-Mail-Adressen, sondern gehashte Kennungen zu verwenden. Diese Empfehlung zeigt, dass das Projekt trotz der neuen Möglichkeiten zur tieferen Datenanalyse weiterhin einen starken Fokus auf den Datenschutz legt. Die Kombination aus verbesserter Sicherheit, technischer Modernisierung durch TypeScript und funktionalen Erweiterungen wie den kopierbaren Dashboards deutet darauf hin, dass Umami versucht, die Lücke zu kommerziellen Analyse-Plattformen zu schließen, ohne dabei die Vorteile einer quelloffenen Lösung aufzugeben.

Offene Fragen – Was der Quelltext nicht beantwortet

Obwohl die Dokumentation und die Release Notes viele technische Aspekte abdecken, bleiben einige Fragen für Anwender offen. Der Quelltext macht keine expliziten Angaben dazu, wie sich die neue Sitzungsverknüpfung auf die langfristige Datenbankgröße auswirkt, insbesondere bei sehr hohen Besucherzahlen. Auch wird nicht detailliert beschrieben, welche spezifischen Sicherheitsrisiken bei der Migration von älteren Datenbankstrukturen auf das neue Format bestehen, abgesehen von der allgemeinen Empfehlung, Backups zu erstellen. Es bleibt zudem unklar, inwieweit die neuen Funktionen zur Sitzungsanalyse mit bestehenden Plugins oder Drittanbieter-Erweiterungen kompatibel sind, die möglicherweise auf älteren Datenstrukturen basieren. Des Weiteren werden keine Angaben zu den Auswirkungen der neuen 2FA-Implementierung auf den Workflow bei automatisierten Deployments gemacht, bei denen keine manuelle Interaktion für die Einrichtung von Authenticator-Apps vorgesehen ist. Diese Aspekte müssten Betreiber in einer Testumgebung selbst evaluieren, da der Quelltext hierzu keine spezifischen Erfahrungswerte oder Best-Practice-Empfehlungen liefert.

Wie es weitergeht – Angekündigte Schritte und Vorbereitungen

Für Betreiber bestehender Umami-Installationen steht nun die Vorbereitung des Updates auf Version 3.3.0 an. Der wichtigste Schritt ist hierbei die Erstellung eines vollständigen Backups der Datenbank, da die automatischen Migrationen für 2FA und die Sitzungsdaten tiefgreifende Änderungen vornehmen. Administratoren, die die 2FA-Funktion nutzen möchten, müssen zwingend vorab den Konfigurationswert für den Verschlüsselungsschlüssel in ihrer Umgebung hinterlegen. Die Entwickler betonen, dass nach dem Update die Datenbankmigrationen automatisch beim Build-Prozess ausgeführt werden. Es ist davon auszugehen, dass das Projekt in den kommenden Wochen weiteres Feedback aus der Community sammeln wird, um eventuelle Fehler in den neuen Funktionen zu beheben. Nutzer sollten zudem die Dokumentation konsultieren, um die neuen Möglichkeiten der Filterung und die korrekte Einbindung der internen Nutzer-IDs für die Sitzungsverknüpfung zu verstehen. Da das Projekt nun auf TypeScript setzt und Typdefinitionen bereitstellt, ist in Zukunft mit einer verbesserten Integration in andere JavaScript-basierte Projekte zu rechnen, was die Wartbarkeit für Entwickler weiter erhöhen dürfte.