Zwei-Faktor-Authentifizierung (2FA)

Die Zwei-Faktor-Authentifizierung schützt Ihr CertHub-Konto mit einem zweiten Schritt bei der Anmeldung. Zusätzlich zu Ihrem Passwort geben Sie einen 6-stelligen Code aus einer Authenticator-App ein. Die App kann auf Ihrem Smartphone oder auf Ihrem Computer laufen – ein Smartphone ist also nicht nötig. CertHub verwendet zeitbasierte Codes (TOTP). Jede gängige Authenticator-App funktioniert, zum Beispiel:

• Google Authenticator
• Microsoft Authenticator
• Authy
• 1Password

Kein Smartphone? Nutzen Sie Ihren Computer

Sie können die Codes statt auf einem Smartphone auch auf Ihrem Desktop oder Laptop erzeugen. Diese Apps eignen sich gut:

• 1Password (Windows, macOS, Linux, Browser-Erweiterung): Fügen Sie einem Login-Eintrag ein Feld Einmalpasswort hinzu. 1Password kann den QR-Code direkt vom Bildschirm lesen, und die Browser-Erweiterung füllt den Code bei der Anmeldung für Sie aus.
• Bitwarden (Desktop-App und Browser-Erweiterung, TOTP erfordert einen Premium-Tarif): Tragen Sie den Geheimschlüssel im Feld Authentifizierungsschlüssel eines Login-Eintrags ein.
• KeePassXC (Windows, macOS, Linux, kostenlos): Öffnen Sie einen Eintrag, wählen Sie Einträge → TOTP → TOTP einrichten und fügen Sie den Geheimschlüssel ein.

Am Computer können Sie den QR-Code meist nicht mit einer Kamera scannen. Nutzen Sie bei der Einrichtung stattdessen Geheimschlüssel kopieren (siehe Schritt 3 unten) und fügen Sie den Schlüssel in Ihre App ein.

tipp

Nutzen Sie bei der Arbeit bereits einen Passwort-Manager, ist er oft die einfachste Wahl: Mit 1Password oder Bitwarden werden Ihre Codes zusammen mit Ihren Passwörtern über Ihre Geräte synchronisiert. Beachten Sie, dass Passwort und Codes dann durch dasselbe Master-Passwort geschützt sind – wählen Sie es entsprechend stark.

2FA für Ihr Konto einrichten

Sie können 2FA selbst einrichten, bevor Ihre Organisation es verlangt. Solange ein Administrator die Pflicht nicht einschaltet, fragt CertHub bei der Anmeldung nicht nach Ihrem Code; Ihr Authenticator ist dann bereits eingerichtet, wenn die Pflicht kommt.

1. Öffnen Sie Einstellungen → Sicherheit.
2. Klicken Sie in der Karte Zwei-Faktor-Authentifizierung auf Zwei-Faktor-Authentifizierung einrichten.
3. Scannen Sie den QR-Code mit Ihrer Authenticator-App.
   • Sie können nicht scannen oder nutzen eine Desktop-App? Klicken Sie auf das Kopier-Symbol neben dem Code unter dem QR-Code (Geheimschlüssel kopieren) und fügen Sie ihn in Ihrer App als manuellen Eintrag ein.
4. Geben Sie den 6-stelligen Code aus Ihrer App ein und klicken Sie auf Bestätigen.

Sie sehen „Zwei-Faktor-Authentifizierung ist jetzt aktiviert.“ Die Karte zeigt Ihren Authenticator und das Datum, an dem er hinzugefügt wurde.

tipp

Schließen Sie die Einrichtung innerhalb von 5 Minuten nach dem Öffnen des QR-Codes ab. Läuft sie ab oder geben Sie 5-mal einen falschen Code ein, starten Sie die Einrichtung neu und nutzen Sie den neuen QR-Code oder Geheimschlüssel.

Anmelden mit 2FA

Sobald 2FA für Ihr Konto erforderlich ist, hat die Anmeldung einen zusätzlichen Schritt:

1. Melden Sie sich wie gewohnt mit E-Mail und Passwort an.
2. Der Bildschirm Bestätigen Sie, dass Sie es sind erscheint.
3. Öffnen Sie Ihre Authenticator-App, geben Sie den aktuellen 6-stelligen Code für CertHub ein und klicken Sie auf Bestätigen.

Codes wechseln alle 30 Sekunden. Wird ein Code abgelehnt, warten Sie auf den nächsten und versuchen Sie es erneut.

Meldet der Bildschirm „Ihre Anmeldung ist abgelaufen“, klicken Sie auf Erneut anmelden und beginnen Sie von vorn. Der Bestätigungsschritt bleibt nur wenige Minuten offen.

Wenn Ihre Organisation 2FA verlangt

Administratoren können 2FA für alle Mitglieder verpflichtend machen. Ist die Einstellung aktiv:

• Mitglieder, die 2FA bereits nutzen, geben bei jeder Anmeldung einen Code ein.
• Mitglieder ohne 2FA richten es bei ihrer nächsten Anmeldung auf dem Bildschirm Zwei-Faktor-Authentifizierung einrichten ein. Sie scannen den QR-Code (oder kopieren den Geheimschlüssel), geben den Code ein und sind dann angemeldet.
• Bereits angemeldete Mitglieder ohne 2FA sehen den Bildschirm Zwei-Faktor-Authentifizierung erforderlich. Klicken Sie auf Abmelden und einrichten und melden Sie sich erneut an, um 2FA einzurichten.

Die Einrichtung dauert nur eine Minute. Bis dahin können Mitglieder CertHub nicht nutzen.

Pflicht ein- oder ausschalten (Administratoren)

1. Öffnen Sie Einstellungen und dann Einstellungen unter Organisation.
2. Aktivieren Sie in der Karte Zwei-Faktor-Authentifizierung den Schalter Zwei-Faktor-Authentifizierung für diese Organisation verlangen.

Um die Pflicht wieder auszuschalten, müssen Sie einen aktuellen Code aus Ihrer eigenen Authenticator-App eingeben. So kann niemand, der eine offene Admin-Sitzung übernommen hat, 2FA für die ganze Organisation abschalten.

Genehmigungen mit 2FA signieren

In Organisationen, die 2FA verlangen, können auch Genehmigungsentscheidungen mit einem Code bestätigt werden. Ist das aktiv, steht in der Karte Zwei-Faktor-Authentifizierung der Organisationseinstellungen: „Außerdem ist vor dem Genehmigen, Ablehnen oder Veröffentlichen ein Code nötig.“

Sie werden dann nach einem Code gefragt, wenn Sie:

• einen Schritt in einem Genehmigungsprozess genehmigen
• eine Genehmigung ablehnen
• mit Direkte Genehmigung eine Revision ohne Genehmigungsprozess veröffentlichen

So funktioniert es:

1. Klicken Sie wie gewohnt auf Genehmigen, Ablehnen oder Direkte Genehmigung.
2. Der Dialog Bestätigen Sie, dass Sie es sind zeigt Signieren als und Ihren Namen.
3. Geben Sie den aktuellen 6-stelligen Code aus Ihrer Authenticator-App ein und klicken Sie auf Bestätigen.

Die Entscheidung wird dann als Ihre elektronische Signatur gespeichert. Der Genehmigungsverlauf zeigt „Unterzeichnet von Name als Rolle“, zum Beispiel „Unterzeichnet von Jane Roe als Prüfer“, zusammen mit einem Fingerabdruck des genehmigten Inhalts (Content SHA-256).

Jeder Code signiert genau eine Entscheidung. Genehmigen Sie mehrere Elemente nacheinander, warten Sie vor jeder Entscheidung auf einen neuen Code in Ihrer App. Brechen Sie den Dialog ab, wird nichts gespeichert und Ihr Code bleibt unverbraucht.

info

Wurde der Inhalt nach dem Start der Genehmigung geändert, wird die Entscheidung abgelehnt: „Der Inhalt wurde nach dem Start dieser Freigabe geändert. Brechen Sie diese Freigabe ab und starten Sie eine neue.“ So deckt Ihre Signatur immer genau die Version ab, die Sie geprüft haben.

Authenticator entfernen oder ersetzen

Neues Smartphone oder Wechsel zu einer anderen App (zum Beispiel vom Smartphone zu 1Password)? Entfernen Sie zuerst den alten Authenticator und richten Sie dann den neuen ein.

1. Öffnen Sie Einstellungen → Sicherheit.
2. Klicken Sie neben Ihrem Authenticator auf Entfernen und bestätigen Sie.
3. Geben Sie einen aktuellen Code aus diesem Authenticator ein.
4. Klicken Sie auf Zwei-Faktor-Authentifizierung einrichten und fügen Sie den neuen QR-Code oder Geheimschlüssel Ihrem neuen Authenticator hinzu.

warnung

Verlangt Ihre Organisation 2FA, läuft Schritt 4 anders: Direkt nach dem Entfernen des alten Authenticators erscheint der Bildschirm Zwei-Faktor-Authentifizierung erforderlich. Klicken Sie auf Abmelden und einrichten, melden Sie sich erneut an und fügen Sie den QR-Code oder Geheimschlüssel Ihrem neuen Authenticator hinzu.

Authenticator verloren oder gesperrt?

Zu viele falsche Codes: Nach 5 falschen Codes in Folge wird die Bestätigung vorübergehend gesperrt („Zu viele falsche Codes“). Die erste Sperre dauert 5 Minuten, jede weitere doppelt so lange, bis zu 24 Stunden. Ein richtiger Code setzt den Zähler zurück.

Kein Zugriff mehr auf Ihren Authenticator: Ohne Code können Sie 2FA nicht selbst entfernen. Wenden Sie sich an den CertHub-Support unter support@certhub.de und nennen Sie das betroffene Konto. Nach Prüfung Ihrer Identität setzt der Support Ihre 2FA zurück. Sie richten sie dann bei der nächsten Anmeldung neu ein.

FAQ

Brauche ich 2FA für jede Aktion in CertHub?

Nein. Sie geben einen Code bei der Anmeldung ein, wenn Sie 2FA-Einstellungen ändern (Authenticator entfernen oder die Pflicht für die Organisation abschalten) und, falls Ihre Organisation signierte Genehmigungen nutzt, wenn Sie genehmigen, ablehnen oder veröffentlichen.

Brauche ich ein Smartphone für 2FA?

Nein. Jede App, die zeitbasierte Codes (TOTP) erzeugt, funktioniert – auch Desktop-Apps und Passwort-Manager wie 1Password, Bitwarden oder KeePassXC. Siehe Kein Smartphone? Nutzen Sie Ihren Computer.

Kann ich statt einer App SMS- oder E-Mail-Codes verwenden?

Nein. CertHub unterstützt nur Authenticator-Apps. SMS-Codes können abgefangen werden, und E-Mail-Codes schützen nicht, wenn Ihr E-Mail-Konto kompromittiert ist.

Kann ich 2FA auf zwei Geräten einrichten?

Jedes Konto hat einen Authenticator. Viele Apps (zum Beispiel 1Password oder Bitwarden) synchronisieren Codes über Ihre Geräte, sodass Sie denselben Authenticator auf mehreren Geräten nutzen können.