Zwei-Faktor und Passkeys

Ein zweiter Faktor ist ein zusätzlicher Schritt nach dem Passwort, damit ein gestohlenes Passwort allein nicht genügt. Das kann ein Code aus einer Authenticator-App sein, ein per E-Mail gesendeter Code oder ein Sicherheitsschlüssel, den Sie einstecken oder an das Gerät halten. Ein Passkey ist etwas anderes. Er ersetzt das Passwort durch Fingerabdruck, Gesichtserkennung oder die PIN Ihres Geräts und funktioniert nur dort, wo die Organisation ihn zulässt.

All das gehört Ihnen, so wie Ihr Passwort, und nicht einer Organisation. Einmal eingerichtet, gilt es in jeder Organisation, deren Mitglied Sie sind. Eine Organisation entscheidet, ob sie einen zweiten Faktor verlangt und ob sie Passkeys akzeptiert; welchen zweiten Faktor Sie verwenden, entscheiden Sie selbst.

Ihre Sicherheitseinstellungen liegen auf Ihrer eigenen Mitgliedsseite. Wählen Sie unten in der Navigationsleiste Ihren Namen und dann Profile Settings, oder öffnen Sie People → Members und wählen Sie sich selbst aus. Die Reiter Password, Sign-in und Two-factor erscheinen nur auf Ihrer eigenen Seite, und nur Sie können ändern, was darauf steht. Ein Administrator kann nur eines tun: Ihre Authenticator-App und Ihre Codes per E-Mail zurücksetzen, wenn Sie sie verloren haben, wie weiter unten beschrieben.

Bevor Sie eine Methode ausschalten oder einen Schlüssel oder Passkey entfernen, wird Ihr Passwort abgefragt. Ein Browser, in dem jemand angemeldet geblieben ist, reicht also nicht, um Ihr Konto zu schwächen. Diese Einstellungen setzen außerdem voraus, dass Sie selbst angemeldet sind: Mit einem Zugriffstoken lassen sie sich nicht ändern.

Wählen Sie unter Email code die Schaltfläche Turn on. Es gibt nichts zu scannen und keinen Code zu bestätigen: Ab Ihrer nächsten Anmeldung wird ein Code an die Adresse gesendet, mit der Sie sich anmelden. Er läuft nach fünf Minuten ab, und Send a new code auf dem Anmeldebildschirm sendet einen neuen.

Codes per E-Mail setzen eine bestätigte Adresse voraus. Ist Ihre noch nicht bestätigt, weist der Reiter darauf hin und bietet Send verification email an. Folgen Sie dem Link in dieser Nachricht, und schalten Sie die Codes per E-Mail dann erneut ein.

Ein Passkey meldet Sie per Fingerabdruck, Gesichtserkennung oder Geräte-PIN an statt mit Ihrem Passwort. Er funktioniert nur, wenn Ihre Organisation ihn zulässt; bis dahin steht auf der Karte Passkeys im Reiter Sign-in der Hinweis Passkeys are turned off.

Um einen hinzuzufügen, wählen Sie auf dieser Karte Add a passkey, geben Sie ihm einen Namen, etwa den des Geräts, auf dem er liegt, wählen Sie Register passkey und bestätigen Sie auf Ihrem Gerät. Wählen Sie bei der nächsten Anmeldung Sign in with a passkey. Die Schaltfläche steht unter dem Passwortfeld, und der erste Anmeldebildschirm bietet sie direkt an, wenn dieser Browser weiß, dass zu einer Adresse ein Passkey gehört.

Ihr Passwort funktioniert daneben weiter. Registrieren Sie einen Passkey auf Ihrem Smartphone und auf Ihrem Laptop, dann sperrt Sie der Verlust eines Geräts nicht aus. Verlangt die Organisation Zwei-Faktor-Authentifizierung, ersetzt ein Passkey nur das Passwort, und Sie werden trotzdem nach einem zweiten Faktor gefragt.

Im Reiter Sign-in richten Sie unter Connected sign-in providers die Anmeldung mit Google zusätzlich zu Ihrem Passwort ein. Wählen Sie Connect, melden Sie sich bei Google an, und Sie kehren zu diesem Reiter zurück. Verbinden lässt sich nur ein Google-Konto mit derselben E-Mail-Adresse wie Ihr SXAccess-Konto; solange es nicht verbunden ist, wird Continue with Google für eine Adresse abgelehnt, zu der es schon ein SXAccess-Konto gibt. Disconnect hebt die Verbindung wieder auf.

Um Ihr Passwort zu ändern, öffnen Sie den Reiter Password, geben Sie unter Current password Ihr aktuelles Passwort und dann zweimal das neue ein, und wählen Sie Update password. Das Formular zeigt die Regeln, die ein neues Passwort erfüllen muss, und hakt sie beim Tippen ab. Ein über Google angelegtes Konto hat hier kein Passwort, das sich ändern ließe.

Dieselben Regeln gelten im Dashboard und bei der Anmeldung im Browser, die die Apps und die CLI öffnen.

Eigentümer und Administratoren legen zwei Regeln unter Settings → Authentication fest. Jede Karte dort hat ihre eigene Schaltfläche Save changes.

• Require it to enter this organization auf der Karte Two-factor authentication. Niemand arbeitet ohne zweiten Faktor in der Organisation, auch nicht, wer sich mit Google anmeldet. Mitglieder ohne zweiten Faktor werden bei ihrer nächsten Anmeldung aufgefordert, einen einzurichten, und können das gleich dort erledigen; ausgesperrt wird also niemand. Wer mehreren Organisationen angehört, wird beim Wechsel in diese gefragt. Jeder der drei zweiten Faktoren zählt.
• Allow signing in with a passkey auf der Karte Passwordless sign-in, standardmäßig aus. Ist die Option an, registrieren Mitglieder Passkeys in ihrem eigenen Reiter Sign-in. Schalten Sie sie wieder aus, meldet ein Passkey niemanden mehr an; registrierte Passkeys bleiben aufgeführt, damit die Mitglieder, denen sie gehören, sie entfernen können, und Passwörter funktionieren währenddessen weiter.

Bevor Sie Passkeys zulassen, wägen Sie einen Nachteil ab: Die Anmeldeseite bietet dann jeder Adresse einen Passkey an, sodass jemand außerhalb Ihrer Organisation erfahren kann, dass zu einer Adresse Ihrer Organisation ein Passkey gehört. Ob die Adresse existiert, erfährt er nicht, und ohne das Gerät selbst kann er sich nicht anmelden.

Wiederherstellungscodes gibt es nicht. Wer eine Methode verloren hat, aber noch eine andere besitzt, meldet sich mit dieser an: Verify it is you listet alle eingerichteten Methoden auf, und Use another method führt zu dieser Liste zurück. Danach schaltet das Mitglied die verlorene Methode im eigenen Reiter Two-factor aus oder entfernt sie; sonst muss niemand etwas tun.

Hat ein Mitglied das Smartphone mit seiner Authenticator-App verloren und keine andere Methode, öffnet ein Eigentümer oder Administrator People → Members, ruft das Menü in der Zeile dieses Mitglieds auf und wählt Reset two-factor. Prüfen Sie vorher, mit wem Sie es zu tun haben: Bis das Mitglied einen neuen Faktor einrichtet, schützt nur noch sein Passwort das Konto.

Das Zurücksetzen entfernt die Authenticator-App und die Codes per E-Mail des Mitglieds. Einen Sicherheitsschlüssel oder Passkey kann es nicht entfernen: Ist einer davon im Konto hinterlegt, bricht das Zurücksetzen mit einem Fehler ab (Code 412), und was bis dahin entfernt wurde, bleibt entfernt. In diesem Fall wendet sich das Mitglied oder ein Eigentümer bzw. Administrator an support@sxaccess.com. Verlangt die Organisation Zwei-Faktor-Authentifizierung, wird das Mitglied bei der nächsten Anmeldung aufgefordert, einen neuen Faktor einzurichten. Den eigenen zweiten Faktor können Sie so nicht zurücksetzen; schalten Sie Methoden stattdessen auf Ihrer eigenen Seite aus. Jedes Zurücksetzen, das etwas entfernt, wird in der Aktivität festgehalten.

Eine Organisation, die Zwei-Faktor-Authentifizierung verlangt, fragt auch danach, wenn Sie zu ihr wechseln.

• Dashboard und Apps. Wenn Sie im Dashboard zu einer solchen Organisation wechseln oder in einer App zu ihr wechseln oder ihr beitreten und Ihre Anmeldung keinen zweiten Faktor enthielt, erscheint Confirm it is you. Sie bleiben angemeldet: Der Bildschirm ergänzt Ihre bestehende Anmeldung nur um einen zweiten Faktor.
• CLI. Der CLI-Agent hat keinen solchen Bildschirm; richten Sie daher einen zweiten Faktor im Dashboard ein, bevor Sie die CLI mit einer solchen Organisation verwenden. Die Anmeldung im Browser fragt dann danach.

Auf dem Bildschirm Confirm it is you:

• Geben Sie einen Code aus Ihrer Authenticator-App oder einen Code per E-Mail (Email me a code) ein, oder wählen Sie Use your security key.
• Haben Sie noch keine dieser Methoden, richten Sie eine auf demselben Bildschirm ein.
• Back to where I was, auf dem iPhone Cancel, bringt Sie zur vorherigen Organisation zurück; die Organisation fragt beim nächsten Mal erneut.

Womit Sie den Schritt mit dem Sicherheitsschlüssel beantworten, hängt vom Gerät ab: