Zwei-Faktor-Anmeldung

In WorkOffice liegen Rechnungen, Bankzugänge und die Daten der Kunden. Mit der Zwei-Faktor-Anmeldung reicht ein gestohlenes Passwort nicht mehr: Nach dem Passwort fragt WorkOffice einen sechsstelligen Code aus einer Authenticator-App auf dem Handy ab.

Freiwillig – für jeden. Pflicht ist sie für niemanden. Jede Person schaltet sie unter Mein Konto für sich ein und wieder aus. Geeignet ist jede App für Einmalcodes (TOTP), etwa Google Authenticator, Microsoft Authenticator oder ein Passwort-Manager.

Einschalten

1. Oben rechts Mein Konto öffnen, bei Zwei-Faktor-Anmeldung auf Einrichten.
2. Den QR-Code mit der App einlesen. Geht das nicht – etwa am Rechner –, den angezeigten Schlüssel von Hand in der App eintragen.
3. Den sechsstelligen Code, den die App jetzt zeigt, eingeben und Einschalten.

Erst mit dem richtigen Code gilt sie. Wer abbricht oder falsch einliest, sperrt sich nicht aus.

Ersatzcodes

Nach dem Einschalten zeigt WorkOffice zehn Ersatzcodes in der Form abcd-efgh:

Bewahren Sie diese Codes sicher auf (ausdrucken oder im Passwort-Manager). Damit kommen Sie hinein, wenn das Handy weg ist. Jeder Code gilt einmal; angezeigt werden sie nur jetzt.

Codes kopieren oder Als Datei speichern, dann Ich habe die Codes gespeichert. Unter Mein Konto steht später, wie viele noch übrig sind; werden es wenige, mahnt die Seite. Neue Ersatzcodes erzeugt einen frischen Satz – dafür braucht es den aktuellen Code aus der App, und die bisherigen verfallen.

Anmelden

Nach E-Mail und Passwort fragt WorkOffice den Code aus der App. Handy nicht zur Hand? Ersatzcode verwenden schaltet auf einen Ersatzcode um.

• Für den Code sind fünf Minuten Zeit; danach beginnt die Anmeldung mit dem Passwort neu.
• Jeder Code gilt einmal – ein abgefangener oder doppelt geschickter Code öffnet nichts.
• Falsche Codes zählen wie falsche Passwörter: Nach fünf Fehlversuchen ist das Konto 15 Minuten gesperrt.

Geht ein frischer Code nie durch, lohnt ein Blick auf die Uhr am Handy – sie sollte automatisch gestellt werden.

Wer sein Passwort zurücksetzt, behält die Zwei-Faktor-Anmeldung – siehe Passwort vergessen.

Ausschalten oder neues Handy

Ausschalten braucht das Passwort und einen Code aus der App oder einen Ersatzcode:

Ohne zweiten Faktor genügt wieder das Passwort allein. Zur Bestätigung:

Für ein neues Handy schaltet man sie mit dem alten Handy (oder einem Ersatzcode) aus und richtet sie mit dem neuen wieder ein.

Handy und Ersatzcodes weg

Dann setzt der Inhaber sie unter Einstellungen → Benutzer mit Zurücksetzen in der Spalte Zwei-Faktor zurück. Danach genügt das Passwort, bis sie neu eingerichtet ist; laufende Sitzungen des Kontos enden. Die eigene Zwei-Faktor-Anmeldung setzt niemand so zurück – die schaltet man unter Mein Konto aus.

Betreut eine Person mehrere Betriebe – typisch der Steuerberater –, gilt ihr zweiter Faktor für alle ihre Betriebe. Zurücksetzen kann ihn dann nur sie selbst oder der Betreiber, kein einzelner Betrieb.

Für den ganzen Betrieb abschalten

Unter Einstellungen → Benutzer schaltet der Inhaber Zwei-Faktor-Anmeldung anbieten (ab Werk an) für alle ab:

• Unter Mein Konto lässt sie sich dann nicht mehr einrichten.
• Bei der Anmeldung wird bei niemandem ein Code abgefragt.
• Was eingerichtet ist, bleibt erhalten und gilt wieder, sobald der Betrieb sie wieder anbietet.

Was gespeichert wird

Der Schlüssel der App liegt verschlüsselt in der Datenbank, die Ersatzcodes nur als Prüfwert (Hash). Die Benutzerliste zeigt nur, ob die Zwei-Faktor-Anmeldung eingeschaltet ist. Einschalten, Ausschalten, neue Ersatzcodes und Zurücksetzen stehen im Prüfprotokoll.