Zwei-Faktor-Authentifizierung

Überblick

Easy Mail Archive erzwingt bei jeder Anmeldung eine Zwei-Faktor-Authentifizierung (2FA) zum Schutz der Benutzerkonten. Das System unterstützt zwei Methoden: TOTP-Apps (zeitbasierte Einmalpasswörter) und E-Mail-Bestätigungscodes.

So funktioniert es

Anmeldung mit Passwort

Bei der Anmeldung mit Passwort ist immer ein zweiter Faktor erforderlich:

• Wenn TOTP eingerichtet ist: Der Benutzer wird aufgefordert, einen Code aus seiner Authenticator-App einzugeben (z.B. Google Authenticator, Authy, 1Password).
• Wenn TOTP nicht eingerichtet ist: Ein 6-stelliger Bestätigungscode wird an die E-Mail-Adresse des Benutzers gesendet. Der Benutzer muss diesen Code eingeben, um die Anmeldung abzuschliessen.

Anmeldung mit E-Mail-Code

Bei der Anmeldung per E-Mail-Code (Magic Link) ist kein zusätzlicher zweiter Faktor erforderlich. Der E-Mail-Code beweist bereits den Zugriff auf das E-Mail-Konto des Benutzers, was als zweiter Faktor dient.

Anmeldung mit OIDC/SSO

Bei der Anmeldung über OIDC/SSO ist kein zusätzlicher zweiter Faktor erforderlich. Der Identity Provider ist für die Authentifizierungssicherheit verantwortlich, einschliesslich aller dort konfigurierten MFA-Richtlinien.

TOTP einrichten

Benutzer können TOTP in ihren Kontoeinstellungen einrichten:

1. Gehen Sie zu Kontoeinstellungen
2. Klicken Sie auf Zwei-Faktor-Authentifizierung aktivieren
3. Scannen Sie den QR-Code mit einer Authenticator-App
4. Geben Sie den 6-stelligen Code aus der App zur Bestätigung ein
5. Speichern Sie die Wiederherstellungscodes an einem sicheren Ort

Wiederherstellungscodes

Beim Aktivieren von TOTP generiert das System Wiederherstellungscodes. Diese Einmalcodes können verwendet werden, um sich anzumelden, wenn die Authenticator-App nicht verfügbar ist. Jeder Wiederherstellungscode kann nur einmal verwendet werden. Neue Wiederherstellungscodes können in den Kontoeinstellungen generiert werden (dies macht alle vorherigen Codes ungültig).

Admin-Richtlinie: TOTP erzwingen

Tenant-Administratoren können die TOTP-Einrichtung für alle Benutzer erzwingen:

1. Gehen Sie zu Admin > Sicherheit
2. Aktivieren Sie TOTP erzwingen

Wenn diese Richtlinie aktiv ist, werden Benutzer, die TOTP noch nicht eingerichtet haben, nach der Anmeldung zu ihren Kontoeinstellungen weitergeleitet und können das Archiv erst nutzen, wenn TOTP konfiguriert ist. Der E-Mail-Code-Fallback funktioniert weiterhin für die Anmeldung, aber der Benutzer muss TOTP einrichten, bevor er die Anwendung nutzen kann.

Zusammenfassung