Benutzer, Rollen und Zwei-Faktor-Authentifizierung

Modul 7: Zusammenarbeit, Apps und Sicherheit · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie Benutzer und Administratoren in Ihrem neuen Dienst sicher einrichten, die passende Form der Zwei-Faktor-Authentifizierung wählen und eine feste Routine für neue und ausscheidende Kolleginnen und Kollegen einrichten.

Kernbegriffe: Konto pro Person, Administrator, Besitzer, Rolle, minimale Rechte, Zwei-Faktor-Authentifizierung (2FA), TOTP, Passkey, Sicherheitsschlüssel, WebAuthn, Backup-Codes, App-Passwort, Sitzung widerrufen, Single Sign-On (SSO), Eintritt und Austritt (Onboarding und Offboarding), Eigentum übertragen

Ein Umstieg ist eine Gelegenheit zum Aufräumen

Bei der Bestandsaufnahme (Lektion 3.1) stellte sich heraus, dass Bakkerij De Korrel 15 Google-Konten für 12 Personen hat. Zwei davon gehören Personen, die schon lange nicht mehr da sind, und ein Konto, winkel@example.com, wird von vier Personen mit demselben Passwort genutzt, das auf einem Zettel an der Kasse hängt. Das kommt häufig vor. Beim Umstieg übernehmen Sie solche Gewohnheiten nicht, sondern bringen sie gleich in Ordnung.

Ein Konto pro Person

Die Grundregel: jede Person ein eigenes Konto, mit einem eigenen Passwort und einem eigenen zweiten Faktor. Warum?

• Sie sehen, wer was getan hat (Aktivität, Versionen, wer etwas geteilt hat).
• Verlässt jemand die Organisation, deaktivieren Sie einfach ein Konto, ohne dass jemand ein neues Passwort lernen muss.
• Zwei-Faktor-Authentifizierung funktioniert nur gut, wenn der zweite Faktor zu einer einzigen Person gehört.

Gemeinsame Adressen wie winkel@example.com oder info@example.com bleiben bestehen, aber als gemeinsames Postfach, Alias oder Gruppe: Mehrere Personen lesen mit ihrem eigenen Konto mit. Wie das heisst und funktioniert, unterscheidet sich je nach Anbieter (Lektion 4.4).

Rollen: Wer darf was?

In jedem Clouddienst gibt es mindestens drei Ebenen:

Zwei Faustregeln:

1. Minimale Rechte. Geben Sie jemandem nur die Rechte, die er benötigt. Ein Bäcker muss keine Benutzer anlegen können.
2. Mindestens zwei Administratoren. Gibt es nur einen, und dieser ist krank, im Urlaub oder ausgeschieden, kann niemand ein Passwort zurücksetzen oder den Dienst kündigen. Zwei Administratoren, beide mit eigenem Konto und eigenem zweiten Faktor, und die Daten des Administratorkontos beim Anbieter (der Vertrag) laufen auf den Namen der Organisation, nicht auf den einer einzelnen Person.

Achten Sie auf den Unterschied zwischen Verwaltung des Pakets und Zugriff auf Dateien. Ein guter Dienst lässt einen Administrator Konten verwalten, ohne dass er in die Dateien anderer schauen kann. Wer aber ein Passwort zurücksetzen kann, kann sich danach als diese Person anmelden, wenn der zweite Faktor an eine Adresse geht, die er lesen kann. Wählen Sie deshalb für jeden Benutzer dessen eigene E-Mail-Adresse als Wiederherstellungs- und Code-Adresse.

Zwei-Faktor-Authentifizierung: Warum und welche

Ein Passwort allein reicht nicht aus. Passwörter geraten bei Datenpannen anderer Websites in Umlauf, werden erraten oder durch Phishing erbeutet. Das niederländische Nationale Cyber-Sicherheitszentrum (NCSC) empfiehlt Zwei-Faktor-Authentifizierung überall dort, wo es möglich ist. Mit Zwei-Faktor-Authentifizierung (2FA) benötigen Sie neben Ihrem Passwort etwas, das Sie besitzen: Ihr Telefon, einen Schlüssel oder Ihr Postfach.

TOTP steht für time-based one-time password, beschrieben in RFC 6238. Der Dienst und Ihre App teilen sich einen geheimen Schlüssel (den Sie per QR-Code übernehmen) und berechnen beide aus dem Schlüssel und der Uhrzeit denselben Code. Deshalb muss die Uhr Ihres Telefons korrekt eingestellt sein.

Passkeys basieren auf dem Standard WebAuthn von W3C und FIDO. Ihr Gerät erzeugt pro Website ein Schlüsselpaar. Da der Schlüssel an die echte Adresse der Website gebunden ist, kann eine gefälschte Website damit nichts anfangen. Immer mehr Dienste unterstützen Passkeys als zweiten Faktor oder sogar anstelle des Passworts.

Backup-Codes und der Tag, an dem Ihr Telefon verschwunden ist

Jeder zweite Faktor kann ausfallen: Telefon verloren, kaputt, neues Telefon, ohne die App zu übertragen. Deshalb:

• Erstellen Sie Backup-Codes (meist zehn Codes, die jeweils einmal funktionieren) und bewahren Sie sie nicht auf demselben Telefon auf. Ausgedruckt bei den wichtigen Papieren oder in einem Passwort-Manager (Lektion 7.4).
• Aktivieren Sie mindestens zwei Methoden, zum Beispiel Authenticator-App plus E-Mail-Code, oder Passkey plus Backup-Codes.
• Neues Telefon? Übertragen Sie zuerst die Authenticator-Konten, bevor Sie das alte löschen oder abgeben.

Ist jemand dennoch ausgesperrt, hilft der Administrator (zum Beispiel indem er die E-Mail-Adresse auf eine Adresse ändert, die der Benutzer lesen kann), oder der Anbieter, nach einer Prüfung, wer die Anfrage stellt. Das dauert bewusst etwas: Ein Anbieter, der den zweiten Faktor ohne Prüfung deaktiviert, hilft auch einem Betrüger.

App-Passwörter und Sitzungen

Apps, die den zweiten Faktor nicht eingeben können, erhalten ein eigenes App-Passwort (Lektion 7.2). Pro App und Gerät eines, mit einem erkennbaren Namen. In der Übersicht Geräte und Sitzungen sehen Sie, wo jemand angemeldet ist. Dort widerrufen Sie ein gestohlenes Telefon oder einen alten Laptop. Schauen Sie dort gelegentlich nach, und auf jeden Fall bei jedem Austritt.

Single Sign-On (SSO)

Grössere Organisationen lassen Personen sich mit einem Konto bei mehreren Diensten anmelden: Single Sign-On oder SSO, oft über Standards wie SAML oder OpenID Connect. Achtung: Wenn Sie derzeit „Mit Google anmelden“ oder „Mit Microsoft anmelden“ bei anderen Diensten verwenden (Buchhaltung, Planung, Webshop), verlieren Sie diesen Zugang, wenn Sie Ihr Google- oder Microsoft-Konto kündigen. Das stand als verborgene Verknüpfung in Ihrer Bestandsaufnahme (Lektion 3.1). Stellen Sie diese Dienste vor der Kündigung auf Anmeldung mit E-Mail und Passwort um, oder auf Ihr neues SSO.

Eintritt und Austritt: eine feste Routine

Die meisten Probleme entstehen nicht beim Umstieg, sondern ein Jahr später, wenn jemand ausscheidet und niemand weiss, was zu tun ist. Legen Sie deshalb jetzt eine feste Routine fest (Aufgabe E7.3):

Neue Kollegin oder neuer Kollege: Konto mit eigener E-Mail-Adresse anlegen, Gruppen und Lizenzen zuweisen, die Zugangsdaten sicher übergeben (Passwort über einen anderen Kanal), die erste Anmeldung gemeinsam durchführen, zweiten Faktor und Backup-Codes einrichten, Apps installieren.

Ausscheidende Kollegin oder ausscheidender Kollege: zuerst Eigentum übertragen von Dateien und Ordnern (bei vielen Diensten ist ein gelöschtes Konto mit allen Dateien endgültig verloren), gemeinsame Kalender und Ordner übertragen, Lizenz freigeben, Konto deaktivieren (nicht sofort löschen), App-Passwörter und Sitzungen widerrufen, E-Mail weiterleiten oder als gemeinsames Postfach behalten, und erst nach einer vereinbarten Frist löschen.

In der Praxis: So sieht es bei einem Anbieter aus

Bei einem WebOké-Nextcloud ist niemand Administrator in Nextcloud selbst. Der Besitzer des Pakets verwaltet Benutzer in Mein WebOké, unter Gebruikersbeheer (Benutzerverwaltung) auf der Paketseite: Benutzer hinzufügen, Passwort ändern, deaktivieren oder löschen, und die Office-Lizenz ein- oder ausschalten. Jeder Benutzer regelt seine eigene Sicherheit in Nextcloud unter Einstellungen, Sicherheit: Der Code per E-Mail ist immer aktiv, und dort aktivieren Sie eine Authenticator-App (TOTP), Backup-Codes, einen Passkey und App-Passwörter, und sehen Geräte & Sitzungen.

Bei anderen Anbietern funktioniert es ähnlich: Es gibt eine Verwaltungsumgebung für Konten und pro Benutzer eine Sicherheitsseite. Die Namen der Schaltflächen unterscheiden sich.

Zusammenfassung

• Ein Konto pro Person; gemeinsame Adressen werden gemeinsame Postfächer oder Gruppen.
• Minimale Rechte und mindestens zwei Administratoren; der Vertrag auf den Namen der Organisation.
• Aktivieren Sie Zwei-Faktor-Authentifizierung für alle. Passkeys und Sicherheitsschlüssel sind am stärksten gegen Phishing; TOTP ist eine gute, weit verbreitete Wahl.
• Backup-Codes nicht auf demselben Telefon, und mindestens zwei Methoden.
• Legen Sie eine feste Routine für Ein- und Austritt fest: zuerst übertragen, dann deaktivieren, erst später löschen.

Quiz

Aufgabe

Aufgabe E7.3: Rollen und Routine für Ein- und Austritt. Erstellen Sie eine Rollenübersicht für Ihre Organisation (wer ist Administrator, wer nicht, wer ist der zweite Administrator) und füllen Sie die Checkliste für Ein- und Austritt für Ihren eigenen Dienst aus. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr eigenes Konto und bestätigen Sie, dass Sie Ihre Backup-Codes ausserhalb Ihres Telefons aufbewahrt haben.

Zum Weiterlesen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
• Nextcloud-Anleitung 3.3: Eine Authenticator-App einrichten und Backup-Codes speichern
• Nextcloud-Anleitung 3.5: App-Passwörter: wann und wie
• Nextcloud-Anleitung 3.6: Geräte und Sitzungen anzeigen, widerrufen oder per Fernzugriff löschen
• Nextcloud-Anleitung 3.10: Telefon verloren oder 2FA verloren: so kommen Sie wieder hinein
• Nextcloud-Anleitung 14.2: Benutzer anlegen, bearbeiten, deaktivieren und löschen
• Nextcloud-Anleitung 14.7: Rechte: Wer verwaltet was in Ihrer Nextcloud?
• Nextcloud-Anleitung 16.7: Kollege verlässt das Unternehmen: Dateien, Kalender und freigegebene Ordner sicher übernehmen
• WebOké Anleitung 3.3: Eine Authenticator-App verwenden
• Zweistufige Verifizierung (2FA) in Nextcloud einrichten
• App-Passwort erstellen (nötig für die Verbindung mit Apps und Geräten)
• NCSC (niederländisches Nationales Cyber-Sicherheitszentrum), Ransomware erklärt (mit der Empfehlung, Zwei-Faktor-Authentifizierung überall einzusetzen): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ und FIDO Alliance zu Passkeys: https://fidoalliance.org/passkeys/