Springe zum Inhalt

IT-Sicherheit: Neues Anmeldeverfahren

Die Bedrohung von universitären Einrichtungen durch Cyber-Angriffe, z.B. durch Verschlüsselung der Speichersysteme (Ransomware-Attacken) ist in den letzten Jahren rasant gestiegen. Allein seit 2022 wurden rd. 30 deutsche Hochschulen nachhaltig kompromittiert. Lange Ausfallzeiten der IT-Systeme waren die Folge verbunden mit großen wirtschaftlichen Schäden und Reputationsverlust der betroffenen Einrichtungen.

Ein wichtiger Einfallsvektor für Cyberkriminelle sind gehackte User-Accounts. Mit Hilfe gestohlender Nutzerdaten dringen Kriminelle in die IT-Systeme ein und verschaffen sich Zutritt zu sensiblen Bereichen der IT-Infrastruktur, um Daten zu entwenden, unbrauchbar zu machen oder zu zerstören. Bislang wird an der Universität Vechta ausschließlich das Shibboleth-Verfahren zum Single-Sign-On eingesetzt. Das bedeutet, dass einmalig pro Rechnersitzung die Login-Daten eingegeben werden, um Zutritt zu allen anmeldegeschützten IT-Services der Universität Vechta (z.B. Exchange, Stud.IP, Academic Cloud) zu bekommen.

Zukünftig wird zur Erhöhung der IT-Sicherheit beim Login ein weiterer Authentifizierungsfaktor (2FA) benötigt. Dieses mehrstufige Anmeldeverfahren ist im privaten Umfeld wie dem Online Banking schon seit vielen Jahren Alltag. Das bedeutet konkret, dass die Authentifizierung für sämtliche IT-Dienste weiter zentral über den Shibboleth IdP erfolgt, während Keycloak als zusätzliche Sicherheitsmaßnahme für die 2FA eingesetzt wird. Neben dem bislang verwendeten Passwort wird also ein weiterer, unabhängiger Faktor zur Identitätsprüfung benötigt.

Die Abteilungen des Diensleistungsbereichs werden sukzessive auf das 2FA-Verfahren umgestellt. Danach ist eine Anmeldung an den IT-Systemen nur noch ausschließlich mit den bisherigen Login-Daten (Shibboleth-Anmeldung mit Benutzername & Webmail-Passwort) sowie zusätzlich einem zweiten Faktor möglich. Beschäftigte aus dem Wissenschaftsbereich können parallel zunächst auf optionaler Basis auf 2FA umgestellt werden, um auch ihren Account durch das neue Sicherheitsverfahren zusätzlich abzusichern. Perspektivisch werden auch alle Studierenden-Accounts auf 2FA umgestellt werden.

Die Zwei-Faktor-Authentifizierung (2FA)

An der Universität Vechtal wird der zweite Faktor über verschiedene Methoden realisiert, die Mitarbeitende und Studierende nutzen können:

- OTP-Apps (One-Time Password): Diese Apps generieren zeitlich begrenzte Passcodes auf dem mobilen Endgerät. Mitarbeitende und Studierende können kostenlose Apps wie den Google Authenticator oder Microsoft Authenticator verwenden.

- Passkeys: Moderne Passkeys bieten eine sichere und benutzerfreundliche Alternative, die ohne zusätzliche Apps auskommt und auf vielen Geräten direkt unterstützt wird.

- Hardware-Tokens: In Ausnahmefällen können auch kostenpflichtige Hardware-Tokens genutzt werden, die einen vergleichbaren Schutz wie OTP-Apps bieten.

 

OTP-Apps bieten ein hohes Maß an Flexibilität. Mitarbeitende und Studierende können ihre zeitlich begrenzten Passcodes jederzeit und überall auf ihrem mobilen Endgerät generieren, solange sie ihr Gerät bei sich haben. Die Tokens lassen sich einfach aktualisieren und verwalten.

Passkeys bieten ein hohes Maß an Komfort, da sie oft direkt in die Geräte integriert sind und keine zusätzliche App oder manuelle Eingabe erfordern. Allerdings müssen sie einmalig eingerichtet werden, und können danach nicht einfach auf ein anderes Gerät übertragen werden. 

Falls zum Zeitpunkt der Umstellung noch kein zweiter Faktor eingerichtet wurde, wird das System standardmäßig immer nach dem Login anbieten einen Softwaretoken (OTP) einzurichten.

 

Wichtig!

Um ihren Account abzusichern reicht es aus eine der unten genannten Optionen einzurichten. Die gewählten Faktoren dürfen bei Bedarf für mehr flexiblität auch auf privaten Handys, Laptops oder PCs konfiguriert werden.

Öffnen Sie auf ihrem Smartphone den Apple Store (iOS) oder den Google Playstore (Android) und installieren Sie eine der folgenden kostenlosen empfohlenen Apps zur Authentifizierung:

1) App-Download

Google Authenticator

Download Android: Klick hier!

Download iOS: Klick hier!


Microsoft Authenticator

Download Android: Klick hier!

Download iOS: Klick hier!


Die FreeOTP App ist geeignete Open Source-Alternative für 2FA.  

Wie bei allen Open Source-Lösungen ist bei dieser App zu beachten, dass eine langfristige Unterstützung durch den Entwickler nicht gewährleistet werden kann.

Download Android: Klick hier!

Download iOS: Klick hier!

 

Wichtig!

In den Stores werden teilweise Varianten der Authenticator Apps angeboten. Bitte achten Sie darauf, dass Sie die kostenlose Variante von Google oder Microsoft herunterladen und verwenden oder alternativ die Aegis App!

Im folgenen Beispiel verwenden wir die Authenticator App von Google:


2) Ersteinrichtung

Nach dem Download der App scannen sie bitte den auf ihrem Bildschirm angezeigten QR-Code einmal mit der App ein.

Wichtig!

Falls sie die App zusätzlich oder bereits vor dem Wechsel auf 2FA einrichten wollen müssen sie sich über folgendes Portal anmelden

Link: Passkey-Portal

Nach der Anmeldung können sie rechts bei über den Punkt "Authenticator-Anwendung einrichten" die Einrichtung manuel anstoßen.

 


3) Mit Smartphone-App verknüpfen

Ihnen wird nun ein QR-Code angezeigt. Öffnen Sie jetzt Ihre 2FA App (hier: Google Authenticator) auf dem Smartphone. Klicken Sie auf das Plus und wählen Sie "QR-Code scannen" aus. Ihnen sollte danach in der App ein Zahlencode angezeigt werden.


4) Verifizieren

Jetzt müssen Sie den erzeugten Token noch verifizieren. Geben Sie dazu den in der App generierten Code auf der MFA-Website ein und Suchen sich sich einen Gerätenamen aus. Zum Beispiel Smartphone, IPhone etc. Zum Schluss wählen Sie "Absenden".


5) Abschluss

Fertig! Die Verifizierung ist abgeschlossen.

Sie können zukünftig zur Anmeldung den in der App auf Ihrem Smartphone erzeugten Code zusätzlich zur Nutzerkennung (Benutzername, Passwort) in die Shibboleth-Anmeldemaske der Universität eingeben. Dieser Code ist nur einige Sekunden gültig und wird ständig erneuert.


1) Einrichtung Windows Hello

Zur Einrichtung eines Passkeys muss auf einem Windows Gerät erst einmal Windows Hello konfiguriert werden.

Windows Hello können sie über Einstellungen --> Konten --> Anmeldeoptionen einrichten.


Optionen für Windows Hello

Für Windows Hello stehen mehrer Möglichkeiten der Anmeldung zur Verfügung, in diesem Beispiel wird ein PIN für Windows Hello verwendet.

Dieser PIN wird bei jeder Verwendung des Passkeys abgefragt.

Alternativ zu einem PIN kann je nach Gerät auch eine Gesichts- oder Fingerabdruckerkennung verwednet werden.


Abfrage Benutzer Kennwort

Bitte geben sie danach einmal ihr Benutzerkennwort für ihren Rechner ein.


Vergabe eines PINs

Der festgelegte PIN kann nach der Einrichtung auch zur Anmeldung am Rechner selbst verwendet werden, wählen sie daher einen PIN mit 8 oder mehr Zeichen.

Alternative kann neben einem PIN auch ein langes Passwort bestehend aus Zahlen, Buchstaben oder Sonderzeichen verwendet werden.

Nach der Vergabe des Pins ist Windows Hello fertig eingerichtet.


2) Einrichtung eines Passkeys

Die Einrichtung von Windows Hello ist damit abgeschlossen. Als nächstes wird nur der eigentliche Passkey eingerichtet. Melden sie sich bitte dazu einmal auf folgendem an

Link: Passkey-Portal

Zum Login auf dieser Seite geben Sie hier Ihre Uni-ID (Benutzername) und das zugehörige Passwort ein. Falls Sie zuvor schon 2FA eingerichtet hatten, müssen Sie anschließend in einer weiteren Eingabemaske zusätzlich noch den Token aus ihrer App eingeben.


Keycloak Login

Nach dem Login werden sie direkt auf die Seite zum einrichten des Passkeys weitergeleitet.

Falls die Seite nicht so aussieht wie auf dem Bild finden sie die Optionen unter Kontosicherheit --> Anmeldung --> Passwortlos


Einrichtung Starten

Bitte klicken sie auf den Punkt "Registrieren" um die Erstellung eines Passkeys zu starten.

Um keine Probleme auf anderen Geräten zu bekommen, wählen sie bitte die Option "Von anderen Geräten abmelden" einmal ab.


Speicherort des Passkeys

In folgendem Fenster muss ausgewählt werden wo der Passkey abgelegt werden soll.

Bitte schauen sie das der Passkey wie in dem Bild zu sehen im Gerätespeicher von Windows abgelegt wird.

Falls dieser Speicherort nicht zur Auswahl steht ist wahrscheinlich Windows Hello nicht richtig eingerichtet.


Bestätigung der Anmeldung

Als nächstes muss einmal bestätigt werden das der Passkey bei den Diensten der Universität Vechta zum Login verwendet wird.


Speichern des Passkeys

Nach der Bestätigung muss einmal der vorher festgelegte Windows Hello PIN eingegeben werden.

Falls kein PIN verwendet wurde wird hier eine der anderen Windows Hello Optionen abgefragt.


Namen festlegen

Als letztes muss für den erstellten Passkey noch ein Name festegelegt werden.

Falls es einmal Probleme mit einem Passkey geben sollte kann dieser anhand des Namens einfacher identifiziert und gelöscht werden.


Kontrolle

Damit ist die Einrichtung abgeschlossen. Der Passkey sollte nun auch in der Übersicht angezeigt werden.


1) Hardware-Typen

 

Token2 C301-i programmable hardware token


Wichtig!

Hardware-Token sind kostenpflichtig und werden nur in Ausnahmefällen an Beschäftigte ausgegeben. Die Beschaffung erfolgt durch das Rechenzentrum der Universität. Zur Einrichtung eines Hardware Tokens wenden Sie sich an den IT-Support.


Wichtig!

Passkeys können bei MacOS erst ab der Version 13.7.8 (mac os ventura) verwendet werden.

Einrichtung eines Passkeys

Zur Einrichtung des Passkeys melden sie sich bitte in folgendem Portal an

Link: Passkey-Portal

Zum Login auf dieser Seite geben Sie hier Ihre Uni-ID (Benutzername) und das zugehörige Passwort ein. Falls Sie zuvor schon 2FA eingerichtet hatten, müssen Sie anschließend in einer weiteren Eingabemaske zusätzlich noch den Token aus ihrer App eingeben.

Nach der Anmeldung wählen sie bitte die Option "Passkey einrichten" aus.


Einrichtung Starten

Bitte klicken sie auf den Punkt "Registrieren" um die Erstellung eines Passkeys zu starten.

Um keine Probleme auf anderen Geräten zu bekommen, wählen sie bitte die Option "Von anderen Geräten abmelden" einmal ab.


iCloud-Schlüsselbund

Um Passkeys unter MacOS nutzen zu können, wird zwingend der iCloud-Schlüsselbund und ein Apple Account benötigt. Falls das noch nicht aktiv, aktivieren sie sie diese Option bitte jetzt.


Anmeldung Apple ID

Falls noch keine Apple ID auf dem Mac verwendet wird, wird man in diesem Schritt dazu aufgefordert sich mit seiner Apple ID anzumelden.


Speicherort bestimmen

Nach der Anmeldung mit der Apple ID wir danach gefragt wo der Passkey abgelegt werden soll. Bitte wählen sie hier die vorgeschlagene "Passwörter" App aus.


Namen festlegen

Als nächstes muss ein Name für den Passkey festgelegt werden. Bitte vergeben sie dort einen eindeutigen Namen wie zum Beispiel das Geräte Modell.


Kontrolle des Keys

Damit ist die Einrichtung des Passkeys abgeschlossen. Der Key sollte nun in der Passwörter App des Macs und im Webportal angezeigt werden.


1) Einrichtung eines Passkeys

Als erstes müssten Sie sich bei dem folgendem an Link anmelden.

Link: Passkey-Portal

Zum Login auf dieser Seite geben Sie hier Ihre Uni-ID (Benutzername) und das zugehörige Passwort ein. Falls Sie zuvor schon 2FA eingerichtet hatten, müssen Sie anschließend in einer weiteren Eingabemaske zusätzlich noch den Token aus ihrer App eingeben.


Keycloak Login

Nach dem Login werden sie direkt auf die Seite zum einrichten des Passkeys weitergeleitet.

Falls die Seite nicht so aussieht wie auf dem Bild finden sie die Optionen unter Kontosicherheit --> Anmeldung --> Passwortlos


Einrichtung Starten

Bitte klicken sie auf den Punkt "Registrieren" um die Erstellung eines Passkeys zu starten.

Um keine Probleme auf anderen Geräten zu bekommen, wählen sie bitte die Option "Von anderen Geräten abmelden" einmal ab.


Speicherort des Passkeys

In folgendem Fenster muss ausgewählt werden wo der Passkey abgelegt werden soll.

Bitte schauen Sie das der Passkey wie in dem Bild zu sehen in Ihrem Google Konto von Ihrem Chromebook abgelegt wird.


Speichern des Passkeys

Nach der Bestätigung, müssen Sie das Entsperrpasswort eingeben für Ihr Chromebook.


Namen festlegen

Als letztes muss für den erstellten Passkey noch ein Name festgelegt werden.

Falls es einmal Probleme mit einem Passkey geben sollte kann dieser anhand des Namens einfacher identifiziert und gelöscht werden.


Kontrolle

Damit ist die Einrichtung abgeschlossen. Der Passkey sollte nun auch in der Übersicht angezeigt werden.


Q&A

Ja, jeder Account wird in der kommenden Zeit auf 2FA umgestellt. Nach der Umstellung kann man sich nicht mehr ohne den zweiten Faktoz an den IT-Diensten (z.B. Webmail, StudIP, Mattermost, Personalportal) der Universität anmelden.

Der Umstieg erfolgt abteilungsweise. Der IT-Support wird den Umstieg begleiten und steht zusätzlich zu diesen Informationsseiten bei Fragen und zur Hilfestellung bereit.

Ein VPN-Anschluss (Virtual Private Network) baut einen sicheren, verschlüsselten Tunnel durch das Internet auf, der Ihre Daten privat hält und Ihre echte IP-Adresse verbirgt. Nur so sind bestimmte Dienste der Uni Vechta, wie der Zugriff auf die gewohnten Netzlaufwerke, auch im Home Office nutzbar. Ihre Arbeitsumgebung ist so also identisch zu der an Ihrem üblichen Arbeitsplatz an der Universität. Durch diese Maßnahme sind allerdings keine Dienste abgesichert, die auch ohne ein VPN von außen erreichbar sind, wie etwa Webmail oder Stud.IP. Sobald ein Angreifer das Kennwort für ihren Account kennt, kann dieser sich also in diese Dienste unter Ihrem Namen einloggen und Missbrauch betreiben.

Die Zwei-Faktor-Authentifizierung (2FA) bietet hier zusätzlichen Schutz: Neben dem Passwort wird noch ein zweiter Nachweis benötigt, zum Beispiel eine TAN aus einer App oder ein Hardwaretoken. Dadurch bleibt der Zugang auch dann sicher, wenn die Zugangsdaten (Nutzername, Passwort) gestohlen wurden.

Ein VPN schützt die Verbindung durch Verschlüsselung, 2FA schützt den Zugang selbst durch mehrere Authentifizierungsmerkmale.

MFA (Multi-Factor Authentication): Sicherheitsverfahren, das mindestens zwei unterschiedliche Faktoren zur Identitätsprüfung verwendet (z. B. Passwort + Code).

TOTP (Time-based One-Time Password): Einmalpasswort, das zeitbasiert generiert wird und meist als zweiter Faktor bei MFA dient.

Der Timeout des Software-Tokens ist so eingestellt, dass Sie in der Regel nur einmal am Tag zum Dienstbeginn und Hochfahren des Rechners einen TOTP-Code eingeben müssen. Nach Abmeldung oder Herunterfahren des Rechners ist grundsätzlich eine neue Authentifizierung notwendig.

 

In so einem Fall melden Sie sich bitte bei dem IT-Support. Sie können das Passwort in Rücksprache mit dem Kollegen vor Ort im E134 abholen oder an die hinterlegte E-Mailadresse geschickt bekommen. Bitte halten Sie ein Ausweisdokument bereit, um sich verifizieren zu können.

 

Für diesen Fall sollte am besten vorher schon ein zweiter zweiter Faktor wie z.B. Passkey eingerichtet werden. Falls dieser auch nicht greifbar ist, melden Sie sich beim IT-Support, dort wird Ihnen weitergeholfen.

Falls kein Smartphone vorhanden ist muss als zweiter Faktor ein Passkey oder Hardwaretoken verwendet werden. Weiter Informationen zur Einrichtung finden dazu eitwas weiter oben auf dieser Webseite.

Personen die ein z.B. ein privates und dienstliches Smartphone besitzen können die Token bei den empfohlenen Apps mit Hilfe des Google oder Apple Accounts synchronisieren. Dadurch müssen keine separaten Token erstellt werden.

Normalerweise werden Funktionspostfächer über die Funktion "Shared Mailbox" geöffnet. Dabei hat der persönliche Account die Berechtigung auf den Funktionsaccount zuzugreifen und E-Mails über die Funktions-E-Mail-Adresse zu versenden. Falls Sie Berechtigungen für ein bestimmtest Konto benötigen, weil Sie bisher immer die Zugangsdaten verwendet haben, schreiben Sie bitte eine kurze E-Mail an den IT-Support.

Neue Beschäftigte und Studierende der Universität werden bei der ersten Anmeldung an einem Dienst aufgefordert einen zweiten Faktor einrichten. Standardmäßig soll in dem Fall ein Softwaretoken (OTP) eingerichtet werden.

Um ihren Account abzusichern reicht es technisch aus einen der zweiten Faktoren einzurichten.

In der Praxis hat sich allerdings gezeigt das es trotzdem sinnvoll ist neben dem ersten zweiten Faktor noch sicherheitshalber einen zweiten zweiten Faktor einzurichten.

Falls einer der Faktoren ausfällt kann direkt mit dem zweiten zweiten Faktor weitergearbeitet werden.