Zwei-Faktor-Authentifizierung für einen Benutzer aktivieren

Die Zwei-Faktor-Authentifizierung (2FA) bietet eine zusätzliche Sicherheitsebene für ein octoja-Konto — nach der Passworteingabe wird zusätzlich ein Code aus einer Authenticator-App benötigt. octoja unterstützt zwei Wege: jeder Benutzer kann 2FA für sein eigenes Konto einrichten, und Administratoren können 2FA für eine andere Person aktivieren oder eine bestehende 2FA-Einrichtung entfernen, damit sich der Benutzer mit einem neuen Gerät erneut registrieren kann.

Was du brauchst

• Eine Authenticator-App auf deinem Smartphone (Google Authenticator, Microsoft Authenticator oder Authy)

Was ist eine Authenticator-App? Eine kostenlose Smartphone-App, die alle 30 Sekunden einen neuen 6-stelligen Code generiert. Installiere eine beliebige TOTP-Authenticator-App aus dem App-Store deines Geräts, falls du noch keine hast.

2FA für dein eigenes Konto einrichten

Dies ist der Selbstbedienungsweg. Jeder Benutzer kann sein eigenes Konto über die Profilseite absichern.

1. Klicke unten in der Seitenleiste auf deinen Namen, um dein Profil zu öffnen.
2. Scrolle nach unten zum Abschnitt Authentifizierung.
3. Klicke auf 2FA einrichten.
4. Scanne den QR-Code (oder gib den Schlüssel für manuelle Eingabe ein) mit einer beliebigen TOTP-Authenticator-App — Google Authenticator, Microsoft Authenticator, 1Password, Authy und so weiter.
5. Gib den 6-stelligen Code aus deiner App ein.
6. Klicke auf Bestätigen & Aktivieren. 2FA ist jetzt für dein Konto aktiv.

QR-Code lässt sich nicht scannen? Der Einrichtungsdialog zeigt auch einen Schlüssel für manuelle Eingabe — gib diesen Schlüssel manuell in deiner Authenticator-App ein, statt zu scannen.

Ab der nächsten Anmeldung wirst du nach einem Code aus deiner Authenticator-App zusätzlich zum Passwort gefragt.

2FA für alle Benutzer erzwingen

Mitglieder einer Administratorgruppe können unter Einstellungen → Authentifizierung die Option Zwei-Faktor-Authentifizierung erzwingen aktivieren und mit Speichern übernehmen. Benutzer ohne eingerichteten Authenticator müssen die Einrichtung dann während ihrer nächsten Anmeldung abschließen — auch bei SSO.

Wenn keine instanzweite 2FA-Pflicht gilt, kannst du eine bestehende Einrichtung über 2FA entfernen im Bereich Authentifizierung und im Bestätigungsdialog entfernen. Danach kannst du die Einrichtungsschritte oben erneut ausführen, um dich mit einem neuen Gerät zu registrieren.

Bei verpflichtender 2FA kannst du den Authenticator nicht über dein Profil entfernen. Bitte jemanden mit der Berechtigung Benutzerverwaltung, ihn über die Benutzerverwaltung zurückzusetzen.

Admin: 2FA für einen anderen Benutzer aktivieren oder entfernen

Mit der Berechtigung Benutzerverwaltung kannst du 2FA für einen anderen Benutzer einrichten oder dessen Authenticator zurücksetzen. Das Zurücksetzen ist auch bei verpflichtender 2FA möglich. Die Pflicht bleibt dabei für die gesamte Instanz aktiviert. Prüfe vor dem Zurücksetzen, dass die Anfrage tatsächlich vom betroffenen Benutzer stammt.

1. Gehe in der linken Seitenleiste zu Administration → Benutzer.
2. Klicke auf den Benutzer, dessen 2FA du aktivieren oder entfernen möchtest.
3. Zum Zurücksetzen klicke auf 2FA entfernen und bestätige den Dialog mit einem weiteren Klick auf 2FA entfernen.
4. Bei verpflichtender 2FA meldet sich der Benutzer anschließend mit Passwort oder SSO an. Vor Abschluss der Anmeldung muss er einen neuen Authenticator einrichten und einen gültigen Code daraus eingeben. Ohne 2FA-Pflicht kann er sich ohne Authenticator anmelden und 2FA über sein Profil erneut einrichten.

Für die unterstützte Ersteinrichtung kannst du weiterhin 2FA einrichten wählen und den Benutzer den QR-Code scannen und den Bestätigungscode eingeben lassen.

Das Zurücksetzen wird im Audit-Log als Authenticator zurückgesetzt protokolliert. Bestehende Sitzungen bleiben aktiv; auch bereits begonnene SSO-Anmeldungen können die neue Einrichtung abschließen. Das Zurücksetzen ist keine Abmeldung aller Sitzungen.

Bereits ausgestellte Zugriffstoken bleiben bis zu ihrem Ablauf gültig. Bei verpflichtender 2FA ist die Token-Erneuerung nach dem Zurücksetzen jedoch gesperrt (HTTP 403), bis der Benutzer den neuen Authenticator mit einem gültigen Code bestätigt hat. Danach ist die Token-Erneuerung wieder möglich.

Smartphone verloren?

Wenn du den Zugriff auf deine Authenticator-App verlierst, bitte jemanden mit der Berechtigung Benutzerverwaltung, deinen Authenticator über den Admin-Weg oben zurückzusetzen. Du kannst ihn dann mit einem neuen Gerät erneut einrichten, ohne die 2FA-Pflicht für alle Benutzer abzuschalten.

Tipp: Einige Authenticator-Apps (wie Authy oder Microsoft Authenticator) unterstützen Cloud-Backups, mit denen du deine Codes auf einem neuen Smartphone wiederherstellen kannst. Falls deine App dies anbietet, aktiviere die Funktion bei der Einrichtung, um dich für den Fall zu schützen, dass dein Smartphone verloren geht oder ersetzt wird.