INHALTSVERZEICHNIS
- Zwei-Faktor-Authentifizierung aktivieren
- Anmeldung mit Zwei-Faktor-Authentifizierung
- Zwei-Faktor-Authentifizierung administrativ deaktivieren
- Zwei-Faktor-Authentifizierung als Benutzer deaktivieren
- Rollenbasierte Startansicht in sIdentity
Zur Erhöhung der Kontosicherheit wird sIdentity um eine Zwei-Faktor-Authentifizierung (aktuell TOTP) erweitert.
TOTP erzeugt zeitlich begrenzt gültige Codes, die beispielsweise mit Microsoft Authenticator oder Google Authenticator verwendet werden können. Nach der Anmeldung mit Benutzername und Passwort wird zusätzlich ein sechsstelliger Code abgefragt.
Zwei-Faktor-Authentifizierung aktivieren
In der persönlichen Profilverwaltung von sIdentity steht der Bereich„Zwei-Faktor-Authentifizierung“ zur Verfügung.
Ist noch keine Zwei-Faktor-Authentifizierung eingerichtet, wird dort die Schaltfläche „Aktivieren“ angezeigt. Nach Auswahl der Schaltfläche öffnet sich ein Einrichtungsdialog.
Nach Auswahl von„Aktivieren“ wird zunächst erneut das Kennwort des angemeldeten Benutzers abgefragt.
Eine bereits bestehende Sitzung reicht für die Aktivierung nicht aus. Die TOTP-Einrichtung wird erst geöffnet, nachdem das Kennwort erfolgreich über sIdentity geprüft wurde.
Authenticator-App verbinden und Code eingeben
Nach erfolgreicher Kennwortprüfung wird die TOTP-Einrichtung angezeigt.
Der QR-Code kann mit einer kompatiblen Authenticator-App eingelesen werden, beispielsweise mit Microsoft Authenticator oder Google Authenticator.
Alternativ kann der angezeigte geheime Schlüssel manuell in der Authenticator-App eingetragen werden.
Hinweis: Der QR-Code und der geheime Schlüssel dürfen nicht weitergegeben oder ungeschützt gespeichert werden. Mit diesen Informationen können gültige TOTP-Codes erzeugt werden.
Zur Verifizierung wird der von der Authenticator-App erzeugte sechsstellige Code eingegeben. Ist der Code gültig, wird die Zwei-Faktor-Authentifizierung aktiviert.
Recovery-Codes sichern
Nach erfolgreicher Aktivierung werden zehn Recovery-Codes angezeigt. Die Recovery-Codes ermöglichen die einmalige Authentifizierung, wenn kein Zugriff auf die Authenticator-App besteht. Sie können insbesondere verwendet werden, um:
- sich bei Verlust des Geräts anzumelden,
- die Zwei-Faktor-Authentifizierung zurückzusetzen oder
- sich gegenüber dem Betreiber zu authentifizieren.
Der Benutzer muss die sichere Speicherung der Recovery-Codes ausdrücklich bestätigen. Ohne Bestätigung kann die Einrichtung nicht abgeschlossen werden.
Hinweis: Die Recovery-Codes werden nach dem Ausblenden nicht erneut im Klartext angezeigt. Jeder Code kann nur einmal verwendet werden.
Nach Abschluss der Einrichtung werden in der Profilverwaltung folgende Informationen angezeigt:
- Zwei-Faktor-Authentifizierung aktiv
- Verfahren: TOTP
- Funktion zum Deaktivieren der Zwei-Faktor-Authentifizierung
Anmeldung mit Zwei-Faktor-Authentifizierung
Nach erfolgreicher Prüfung von Benutzername und Passwort wird die Eingabemaske für den sechsstelligen Authentifizierungscode geöffnet. Der aktuelle Code wird aus der eingerichteten Authenticator-App übernommen. Ist der Authentifizierungscode nicht verfügbar, kann alternativ ein noch nicht verwendeter Recovery-Code eingegeben werden.
Eingeschränkter Zugriff während der Authentifizierung
Solange die Zwei-Faktor-Authentifizierung nicht erfolgreich abgeschlossen wurde, besteht kein Zugriff auf geschützte Bereiche der Anwendung. Insbesondere ist es nicht möglich:
- zum Dashboard zu navigieren,
- andere Benutzer aufzurufen,
- Daten anderer Benutzer einzusehen oder
- weitere geschützte Funktionen zu verwenden.
Zwei-Faktor-Authentifizierung administrativ deaktivieren
Meldet sich ein administrativer Benutzer an, wird das Dashboard unter Berücksichtigung der Hauptmandantenregelung und der zugewiesenen Zugriffsrechte angezeigt. Besitzt der Administrator die erforderliche Berechtigung, kann er die Zwei-Faktor-Authentifizierung eines anderen Benutzers deaktivieren.
Nach Auswahl von „Deaktivieren“ muss der Administrator zunächst sein eigenes Passwort erneut eingeben. Nach erfolgreicher Passwortprüfung wird die Verifikation über das für den Administrator eingerichtete TOTP-Verfahren geöffnet.
Für die Deaktivierung muss der Administrator seinen eigenen sechsstelligen TOTP-Code eingeben. Dabei gilt:
- Es wird ausschließlich das TOTP-Verfahren des angemeldeten Administrators verwendet.
- Ein TOTP-Code des betroffenen Benutzers darf nicht verwendet werden.
- Recovery-Codes des betroffenen Benutzers dürfen nicht verwendet werden.
- Eigene Recovery-Codes des Administrators dürfen ebenfalls nicht verwendet werden.
Die Deaktivierung kann somit ausschließlich mit dem eigenen Passwort und dem eigenen TOTP-Code des Administrators bestätigt werden.
Nach erfolgreicher Verifikation wird die Zwei-Faktor-Authentifizierung des ausgewählten Benutzers deaktiviert.
Dabei werden:
- die TOTP-Verknüpfung des betroffenen Benutzers aufgehoben,
- das gespeicherte TOTP-Geheimnis entfernt,
- vorhandene Recovery-Codes des betroffenen Benutzers ungültig gemacht,
- der 2FA-Status in der Benutzerverwaltung aktualisiert.
Zwei-Faktor-Authentifizierung als Benutzer deaktivieren
Über die Schaltfläche „Deaktivieren“ kann der Benutzer die eigene Zwei-Faktor-Authentifizierung aufheben.
Da es sich um eine sicherheitsrelevante Aktion handelt, muss sich der Benutzer zunächst sein eigenes Passwort erneut eingeben. Ist die Authenticator-App verfügbar, wird der aktuelle sechsstellige TOTP-Code in der regulären Verifikationsansicht eingegeben. Nach erfolgreicher Prüfung wird die Zwei-Faktor-Authentifizierung deaktiviert.
Ist die Authenticator-App nicht mehr verfügbar, kann die Verknüpfung über einen Recovery-Code aufgehoben werden.
Die Eingabe erfolgt in einer separaten Ansicht. Dadurch bleibt der Recovery-Prozess klar vom regulären TOTP-Verfahren getrennt.
Rollenbasierte Startansicht in sIdentity
Erst nach erfolgreicher Anmeldung erhält der Benutzer Zugriff auf die für ihn zulässigen Inhalte.
Ohne erfolgreiche Authentifizierung ist kein Zugriff auf folgende Bereiche möglich:
- Dashboard
- Benutzerverwaltung
- Mandantenverwaltung
- administrative Funktionen
- weitere geschützte Ansichten
Normaler Benutzer
Meldet sich ein Benutzer ohne die Rolle „Admin“ an, wird unmittelbar die eigene Benutzerverwaltung geöffnet.
Dabei gilt:
- Der Benutzer kann ausschließlich die eigenen Daten einsehen und bearbeiten.
- Ein Zugriff auf andere Benutzer ist nicht möglich.
- Das allgemeine Dashboard wird nicht angezeigt.
- Navigation über das Logo oder die Breadcrumbs ist deaktiviert.
- Weitere administrative Bereiche stehen nicht zur Verfügung.
Der Benutzer verbleibt damit vollständig in seinem persönlichen Benutzerkontext.
Administrativer Benutzer mit Hauptmandant
Meldet sich ein administrativer Benutzer mit hinterlegtem Hauptmandanten an, wird das reguläre Dashboard geöffnet.
Alle Ansichten und Daten werden auf den Hauptmandanten des angemeldeten Benutzers eingeschränkt. Dies gilt insbesondere für:
- Dashboard
- Benutzerverwaltung
- Gruppenverwaltung
- Clientverwaltung
- Rollen und Zugriffsrechte
- weitere mandantenbezogene Ansichten
Administrativer Benutzer ohne Hauptmandant
Meldet sich ein administrativer Benutzer ohne hinterlegten Hauptmandanten an, wird das reguläre mandantenübergreifende Dashboard geöffnet. Der Benutzer kann dort entsprechend seiner administrativen Berechtigungen auf die zulässigen Mandanten und Funktionen zugreifen.
Entfallende Funktionen
Im Zuge der Anpassung entfallen aus der Benutzeroberfläche:
- Discovery Document
- Current Session Claim
Die Funktionen werden in der regulären Navigation und den verfügbaren Ansichten nicht mehr angeboten.
Feature: 19202
War dieser Artikel hilfreich?
Das ist großartig!
Vielen Dank für das Feedback
Leider konnten wir nicht helfen
Vielen Dank für das Feedback
Feedback gesendet
Wir wissen Ihre Bemühungen zu schätzen und werden versuchen, den Artikel zu korrigieren