Zweiter Authentifizierungsfaktor (MFA)

Der zweite Authentifizierungsfaktor ist eine Option des Premium-Tarifs, die Omniscol auf Anfrage aktiviert. Ihre Einrichtung wählt anschließend die betroffenen Rollen und die zweiten Authentifizierungsfaktoren, die sie zulässt.

Den zweiten Authentifizierungsfaktor aktivieren

In Verwaltung → Parameter, Abschnitt Sicherheit, öffnet die Schaltfläche Konfigurieren in der Zeile Zweiter Authentifizierungsfaktor (MFA) die Konfiguration:

• Betroffene Rollen — die Rollen, deren Konten einen zweiten Authentifizierungsfaktor nachweisen: Administrator, Personal, Lehrkraft. Ist keine Rolle gewählt, ist die Option inaktiv. Schüler müssen nie einen zweiten Authentifizierungsfaktor nachweisen.
• Zugelassene zweite Authentifizierungsfaktoren — was ein Konto registrieren kann: Passkey, Authenticator-App oder Code per E-Mail. Mindestens einer.
• Browser merken — bietet beim Nachweis des zweiten Authentifizierungsfaktors an, ihn auf diesem Browser für die von Ihnen festgelegte Anzahl von Tagen, von 1 bis 90, nicht mehr abzufragen. Das Passwort wird weiterhin abgefragt.

Neben der Schaltfläche zeigt ein Statushinweis an, ob die Option aktiv ist und für welche Rollen.

Sobald die Option gespeichert ist, wird die Sitzung eines Kontos mit einer gewählten Rolle, die ohne zweiten Authentifizierungsfaktor geöffnet wurde, bei der nächsten Aktion unterbrochen: Die Person meldet sich erneut an und registriert ihren eigenen. Die Anwendungen, die sie zuvor autorisiert hatte, zum Beispiel ein über MCP verbundener Assistent, müssen erneut autorisiert werden.

Bei der Anmeldung

Nach seinem Passwort durchläuft ein Konto mit einer gewählten Rolle einen zweiten Schritt.

Erste Anmeldung: einen zweiten Authentifizierungsfaktor registrieren

Bei der ersten Anmeldung registriert das Konto einen zweiten Authentifizierungsfaktor aus den Faktoren, die die Einrichtung zulässt:

• Passkey — die Schaltfläche Passkey erstellen registriert einen Passkey auf dem Gerät; Fingerabdruck, Gesicht oder Sperrcode des Geräts bestätigen anschließend jede Anmeldung;
• Authenticator-App — die Person scannt einen QR-Code mit einer Authenticator-App auf ihrem Telefon und gibt dann den sechsstelligen Code ein, den die App anzeigt;
• Code per E-Mail — die Schaltfläche Code per E-Mail erhalten sendet einen sechsstelligen Code, zehn Minuten gültig, an die E-Mail-Adresse des Kontos. Ein Konto ohne E-Mail-Adresse kann ihn nicht wählen.

Ein Konto registriert genau einen zweiten Authentifizierungsfaktor und behält ihn, auch wenn die Einrichtung diese Art später nicht mehr zulässt.

Administratoren erhalten zusätzlich zehn Backup-Codes, die nur einmal angezeigt werden. Jeder ersetzt den zweiten Authentifizierungsfaktor für eine Anmeldung, falls das Gerät verloren geht: Bewahren Sie sie sicher auf.

Folgende Anmeldungen

Jede weitere Anmeldung verlangt den registrierten zweiten Authentifizierungsfaktor: den Passkey, den Code der App oder den per E-Mail gesendeten Code, der automatisch verschickt wird. Ein Administrator kann auch einen Backup-Code eingeben.

Wenn die Einrichtung es erlaubt, kann ein Kontrollkästchen dafür sorgen, dass er auf diesem Browser für die festgelegte Anzahl von Tagen nicht mehr abgefragt wird. Ein anderer Browser fragt ihn immer ab, ebenso wie eine Anmeldung nach seinem Zurücksetzen.

Mit SSO

Nach einer Anmeldung über den Identitätsanbieter (OIDC / SSO) erscheint derselbe Schritt auf der Anmeldeseite: Der zweite Authentifizierungsfaktor kommt zum SSO hinzu.

Einen zweiten Authentifizierungsfaktor zurücksetzen

Ein Konto, das seinen zweiten Authentifizierungsfaktor verloren hat — Telefon gewechselt, Passkey gelöscht —, registriert nach einem Zurücksetzen einen neuen:

• für ein Konto: die Schaltfläche Zweiten Authentifizierungsfaktor zurücksetzen in seiner aufgeklappten Zeile, neben Passwort, in der Liste seiner Rolle: Administratoren, Lehrkräfte oder Personal;
• für alle Konten: Zweiten Faktor aller Konten zurücksetzen, am Ende der Konfiguration des zweiten Authentifizierungsfaktors.

Das Zurücksetzen aller Konten verlangt, wie das Zurücksetzen eines Administratorkontos, dass Sie Ihre Identität bestätigen. Das Konto registriert bei seiner nächsten Anmeldung einen neuen zweiten Authentifizierungsfaktor, und die gemerkten Browser werden vergessen. Seine bereits geöffneten Sitzungen laufen weiter: Um sie zu unterbrechen, deaktivieren Sie das Konto.

Ein Administrator, der seinen zweiten Authentifizierungsfaktor verloren hat, meldet sich mit einem Backup-Code an, oder ein anderer Administrator setzt ihn zurück. Der Omniscol-Support kann den zweiten Authentifizierungsfaktor des letzten Administrators zurücksetzen.

Gut zu wissen

• Der Code per E-Mail ist der schwächste zweite Authentifizierungsfaktor: Das Zurücksetzen des Passworts läuft über dasselbe Postfach. Für einen stärkeren Schutz lassen Sie nur den Passkey und die Authenticator-App zu.
• Ein Passkey ist an die Adresse der Einrichtung gebunden, auf der er erstellt wurde: Von einer anderen Adresse aus funktioniert er nicht.