Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung - oder kurz 2FA - ist eine zusätzliche Sicherheitsmaßnahme, um Benutzerkonten vor unberechtigtem Zugriff zu schützen. Anwender können 2FA über eine Authentifizierungsanwendung aktivieren, z. B. die Google Authenticator App oder Apples Safari Keychain, sich den Code per E-Mail zusenden zu lassen, oder integrierte Authentifikatoren wie Fingerabdruck oder Gesichtserkennung auf Basis von WebAuth verwenden.

Die Aktivierung der 2FA-Authentifizierung ist ganz einfach:

  1. Gehen Sie zu Ihrem Benutzermenü in der oberen rechten Ecke
  2. Wählen Sie Meine Daten bearbeiten
  3. Öffnen Sie den Eintrag Login
  4. Wählen Sie den entsprechenden zweiten Faktor und folgen Sie den Anweisungen

Nach der Aktivierung werden die 2FA-Informationen ab dem nächsten Anmeldezyklus vom Benutzer angefordert. Die Abfrage des 2FA-Codes wird unabhängig von der eigentlichen Benutzeranmeldung angezeigt. Im Falle eines Single-Sign-On mit einem MS Windows-Konto wird nur die 2FA-Anmeldung angezeigt.

Hinweis: Die Authentifizierung wird vom Browser für 28 Tage seit dem letzten Zugriff gespeichert. 2FA wird nur zusammen mit einer erzwungenen Anmeldung nach dem Ausloggen, dem Ablauf des Cookies oder dem Entfernen der Sitzungsinformationen aus den Benutzerdaten erneut angefordert.

Hinweis: Benutzer mit Zugriff auf den Benutzer und Gruppen-Manager können die 2FA-Informationen eines Anwenders entfernen, z.B. für den Fall, dass dieser den 2FA-Generator verloren hat. Sie sind jedoch nicht in der Lage, den Code der registrierten 2FA-Authentifizierungsanwendung zu verändern.

Authenticator App

Die Authentifizierungsanwendung 2FA-Methode basiert auf einem zeitbasierten Einmal-Passwort. Ein QR-Code muss gescannt werden, z.B. mit Google Authenticator oder mit der Kamera-App.

Alternativ, z.B. bei Verwendung eines Passwort-Aggregators eines Drittanbieters, können Anwender den Registrierungscode unter dem QR-Code kopieren und einfügen.

Beide Codes können ausgedruckt und als Sicherheitskopie aufbewahrt werden.

E-Mail

Die E-Mail-Authentifizierung erfordert, dass der Server von einem administrativen Benutzer mit einem E-Mail-Konto konfiguriert wird. Außerdem müssen die Benutzer eine gültige E-Mail-Adresse in ihrem Konto eingerichtet haben.

2FA-Codes, die per E-Mail gesendet werden, sind 15 Minuten lang gültig.

WebAuthn

Die Web-Authentifizierung via webauthn erfordert ein zusätzliches hardwarebasiertes Element, wie z. B. einen Fingerabdrucksensor oder einen YubiKey, um einen Benutzer erfolgreich zu authentifizieren. Anwender können mehrere Sicherheitsschlüssel einrichten und jedem von ihnen einen beschreibenden Namen geben.

Die Web-Authentifizierung arbeitet Hand in Hand mit anderen Industriestandards wie Credential Management Level 1 und FIDO 2.0 Client to Authenticator Protocol 2 (siehe https://webauthn.me/introduction).

Hinweis: Jeder zusätzliche Sicherheitsschlüssel kann nur einmal hinzugefügt werden.

Hinweis: Weitere Voraussetzungen sind eine HTTPS/SSL-gesicherte Serververbindung und eine feste Domänen-Adresse (FQDN) für die Anmeldung.