Zwei-Faktor-Anmeldung (TOTP) einrichten und nutzen

Aktivieren mit Passwortbestätigung

Die Aktivierung ist eine sicherheitskritische Kontoänderung und verlangt deshalb eine frische Passwortbestätigung (Step-up), genau wie die Deaktivierung. Danach zeigt die Plattform das Einrichtungsgeheimnis genau einmal an. Zum Abschalten brauchen Sie zusätzlich zum Passwort einen aktuellen Code aus der App oder einen Wiederherstellungscode.

1. Sicherheitsseite öffnen und Zwei-Faktor-Anmeldung aktivieren.
2. Passwort im Bestätigungsdialog eingeben.
3. Geheimnis oder otpauth-Link in die Authenticator-App übernehmen.
4. Den aktuellen sechsstelligen Code eingeben und bestätigen.
5. Die angezeigten Recovery-Codes sicher speichern; sie erscheinen nur einmal.

• Das Geheimnis wird verschlüsselt gespeichert und kann später nicht erneut angezeigt werden. Bei Verlust hilft nur eine Neuaktivierung.

Anmelden mit Einmalcode

Nach Passwort-Login fragt die Plattform den sechsstelligen Code aus der Authenticator-App ab. Die Code-Abfrage ist zeitlich begrenzt; läuft sie ab, beginnt die Anmeldung von vorn.

1. E-Mail und Passwort wie gewohnt eingeben.
2. Sechsstelligen Code aus der App eintragen.
3. Alternativ einen ungenutzten Recovery-Code verwenden.

• Jeder Code ist nur einmal gültig: Ein bereits benutzter Code wird auch innerhalb seines Zeitfensters abgelehnt (Replay-Schutz).
• Zu viele Fehlversuche werden vorubergehend gebremst (Rate-Limit). Kurz warten und mit einem frischen Code erneut versuchen.
• Weicht die Geräteuhr stark ab, passen Codes nicht: Uhrzeit des Geräts auf automatisch stellen.

Recovery-Codes

Bei der Aktivierung entstehen zehn Einmal-Wiederherstellungscodes. Sie ersetzen den Authenticator-Code, wenn das Gerät nicht verfügbar ist. Jeder Recovery-Code funktioniert genau einmal und wird danach automatisch entwertet.

• Recovery-Codes wie Passwörter behandeln: nicht per E-Mail oder Chat teilen.
• Die Plattform speichert nur Prüfsummen der Codes; verlorene Codes können nicht wieder angezeigt werden.

Anmeldung mit Single Sign-on verknüpfen

Sobald der Betreiber Single Sign-on freigeschaltet hat, können Betriebsadministratoren, Betriebsmitglieder und Plattform-Admins ihr Konto mit einem Unternehmenskonto verknüpfen und sich danach ohne Passwort anmelden. Rechte und Rollen kommen weiter aus der Plattform. Verknüpfen und Entfernen verlangen Ihr Passwort und - bei aktiver Zwei-Faktor-Anmeldung - zusätzlich einen Code, damit niemand mit einem fremden Konto den zweiten Faktor umgehen kann.

1. Sicherheitsseite öffnen und im Abschnitt „Anmeldung mit Single Sign-on“ Passwort (und Code) eingeben.
2. Beim Anbieter einmal neu anmelden; danach führt die Plattform zurück zur Sicherheitsseite.
3. Künftig auf der Anmeldeseite „Mit Single Sign-on anmelden“ wählen.

• Ein unverknüpftes Unternehmenskonto legt kein Konto an; die Zuordnung läuft nie über die E-Mail-Adresse.
• Für den Admin-Bereich muss der Anbieter einen zweiten Faktor verlangen. Ohne zweiten Faktor beim Anbieter fragt das Web den eigenen Code ab.
• Eine Anmeldung beim Anbieter gilt höchstens eine Stunde (Admin: 15 Minuten); danach fragt der Anbieter erneut. Das Abmelden in der Plattform beendet die Sitzung beim Anbieter nicht.
• Ein Passwort-Reset entfernt alle Verknüpfungen des Kontos. Kundenkonten melden sich weiter mit E-Mail und Passwort an.

Deaktivieren und Grenzen

Die Deaktivierung verlangt ebenfalls eine frische Passwortbestätigung. Danach gilt wieder die reine Passwort-Anmeldung.

• Es gibt bewusst keinen SMS- oder E-Mail-Faktor; unterstützt wird TOTP per Authenticator-App.
• Nach dem Aktivieren oder Deaktivieren, nach einem Passwort-Reset und nach dem Verknüpfen oder Entfernen von Single Sign-on erhalten Sie einen Sicherheitshinweis per E-Mail. Waren Sie das nicht, setzen Sie sofort Ihr Passwort zurück.
• Support und Admins können weder Geheimnis noch Recovery-Codes einsehen.
• Der Verlust von App und allen Recovery-Codes erfordert die dokumentierte Konto-Wiederherstellung außerhalb dieser Selbsthilfe.