Authentifizierung und Zugriff
Der richtige Ansatz zur Authentifizierung erhöht die Sicherheit Ihrer Daten erheblich. Passwork unterstützt mehrere Authentifizierungsmethoden: Verwenden Sie Passkeys für die passwortlose Anmeldung und als zweiten Faktor, aktivieren Sie die Zwei-Faktor-Authentifizierung mit mobilen Apps, konfigurieren Sie Single Sign-On (SSO) und aktivieren Sie die clientseitige Verschlüsselung.
Anwendungsfälle
Obligatorische Zwei-Faktor-Authentifizierung
Ziel: Sicherstellen, dass alle Benutzer 2FA verwenden.
Lösung:
Rolleneinstellungen ermöglichen es Ihnen, die obligatorische Zwei-Faktor-Authentifizierung für mehrere Benutzer gleichzeitig zu aktivieren. Öffnen Sie die gewünschte Rolle im Bereich „Rollen" und scrollen Sie zu den Authentifizierungs-Einstellungen.
Aktivieren Sie die Option Mandatory two-factor authentication. Diese Richtlinie wird auf alle Benutzer angewendet, die dieser Rolle zugewiesen sind.
Benutzer können die Zwei-Faktor-Authentifizierung mit der mobilen App Passwork 2FA oder mit Drittanbieter-Apps (z. B. Google Authenticator oder Microsoft Authenticator) konfigurieren sowie Passkeys als zweiten Faktor verwenden.
Nachdem Sie die Richtlinie aktiviert haben, können sich Benutzer ohne konfigurierte 2FA nicht mehr bei Passwork anmelden.
Passkeys für die Anmeldung und als zweiter Faktor
Ziel: Passwortlose Anmeldung nutzen und 2FA mit Kryptographie stärken.
Lösung:
Ermutigen Sie Benutzer, Passkeys auf der Seite Authentication hinzuzufügen — sie unterstützen biometrische Verfahren (Face ID, Touch ID, Windows Hello) und physische Sicherheitsschlüssel auf Basis von WebAuthn.
Passkeys können sowohl anstelle eines Passworts als auch als zweiter Faktor bei der Anmeldung mit regulären Anmeldedaten verwendet werden.
Um eine Option für den Notfallzugriff zu gewährleisten, empfehlen wir das Hinzufügen mehrerer Schlüssel (z. B. einen auf dem Gerät gespeicherten und einen weiteren auf einem physischen Sicherheitsschlüssel).
Konfiguration von Single Sign-On (SSO)
Ziel: Mitarbeitern die Anmeldung bei Passwork mit Unternehmensanmeldedaten ermöglichen.
Lösung:
Konfigurieren Sie SSO auf der entsprechenden Passwork-Einstellungsseite.
Aktivieren Sie in den allgemeinen Einstellungen die Option zur Priorisierung der Anmeldung über SSO, damit Benutzer automatisch zum Unternehmens-Anmeldesystem weitergeleitet werden.
Bei Bedarf können Sie andere Anmeldemethoden (lokales Passwort und LDAP) für bestimmte Benutzer deaktivieren und nur SSO belassen, sodass diese Mitarbeiter sich ausschließlich über das Unternehmenssystem bei Passwork anmelden können.
Wiederherstellung des Zugriffs bei Verlust eines Passkeys oder 2FA-Geräts
Ziel: Den Zugriff eines Benutzers auf sein Konto wiederherstellen, wenn er einen Passkey oder ein Gerät mit einer Authenticator-App verliert.
Lösung:
Öffnen Sie die Benutzerseite in der Users-Liste und klicken Sie im rechten Bereich auf Authentifizierung.
Wenn ein Passkey verloren gegangen ist, verwenden Sie die Passkey-Zurücksetzungsoption. Danach kann der Benutzer in seinen Authentifizierungseinstellungen erneut Passkeys hinzufügen.
Wenn der Benutzer keinen Zugriff mehr auf seine 2FA-App hat, klicken Sie ebenfalls in der entsprechenden Zeile auf Reset. Nach der Anmeldung kann der Benutzer die Zwei-Faktor-Authentifizierung erneut einrichten.
Hybride Authentifizierung
Ziel: Verschiedene Anmeldemethoden für verschiedene Benutzerkategorien konfigurieren: SSO für Mitarbeiter und Standard-Anmeldung für externe Benutzer.
Lösung:
Konfigurieren Sie SSO für Unternehmensbenutzer, machen Sie es jedoch nicht zur bevorzugten Anmeldemethode.
Externe Benutzer, wie z. B. Auftragnehmer, können die Standard-Anmeldung mit Login und Passwort verwenden.
Für externe Benutzer sollten Sie unbedingt die obligatorische 2FA über Authenticator-Apps oder Passkeys aktivieren.
Temporäre Kontosperrung bei verdächtigen Aktivitäten
Ziel: Konten bei verdächtigen Anmeldeversuchen automatisch sperren.
Lösung:
Konfigurieren Sie Sperrrichtlinien im Block Local authentication lockout policies der Systemeinstellungen, um Konten nach mehreren fehlgeschlagenen Anmeldeversuchen automatisch zu sperren.
Mehrere fehlgeschlagene Anmeldeversuche werden auch im Aktivitätsprotokoll aufgezeichnet.
Bei Bedarf können Sie einen Benutzer manuell sperren, bis die Untersuchung abgeschlossen ist.
Das Sicherheits-Dashboard zeigt, auf welche Passwörter der gesperrte Benutzer Zugriff hatte.
FAQ
Können mehrere Authentifizierungsmethoden gleichzeitig verwendet werden?
Ja, mehrere Authentifizierungsmethoden können gleichzeitig verwendet werden: lokales Passwort, SSO, LDAP und Passkeys. Darüber hinaus steht die Zwei-Faktor-Authentifizierung über mobile Apps und Passkeys zur Verfügung. Ein Administrator kann die einem bestimmten Benutzer zur Verfügung stehenden Methoden im Fenster Authentifizierung der Benutzereinstellungen konfigurieren.
Was soll ich tun, wenn ein Benutzer ein 2FA-Gerät oder einen Passkey verliert?
Ein Administrator kann verknüpfte Passkeys oder 2FA-Geräte auf der Seite Benutzereinstellungen zurücksetzen. Wenn der Benutzer mehrere Schlüssel hinzugefügt hatte, kann er sich mit einem anderen Schlüssel anmelden, ohne den Zurücksetzungsprozess durchlaufen zu müssen.
Kann ich den Zugriff auf Daten wiederherstellen, wenn ich mein Masterpasswort vergesse?
Es ist nicht möglich, den Zugriff auf Daten wiederherzustellen, wenn ein Masterpasswort verloren geht. Sie können jedoch ein Dienstkonto als Unternehmensadministrator im erforderlichen Tresortyp erstellen, mit dem Sie sich anmelden und auf kritische Daten zugreifen können.
Ist es notwendig, die Zwei-Faktor-Authentifizierung für alle Benutzer zu aktivieren?
Es wird empfohlen, 2FA zumindest für Benutzer zu aktivieren, die Zugriff auf geschäftskritische Daten und administrative Rechte haben. Mithilfe der Rolleneinstellungen können Sie die obligatorische Zwei-Faktor-Authentifizierung nur für bestimmte Rollen (z. B. Administratoren oder Tresorbesitzer) erzwingen, ohne andere Benutzer zu beeinträchtigen.
Können wir die Anmeldung nur über Unternehmens-SSO erlauben?
Ja, für ausgewählte Benutzer können Sie SSO als einzige verfügbare Authentifizierungsmethode beibehalten. In den Benutzer- oder Rolleneinstellungen können Sie das lokale Passwort und andere Methoden (z. B. LDAP) deaktivieren, sodass sich Benutzer ausschließlich über das Single-Sign-On-System des Unternehmens anmelden können.