Bielefelder IT-Servicezentrum

Sicherheitsschlüssel / Hardware-Token (FIDO)

Wichtig: Für Beschäftigte der Universität ist dies das Standardverfahren.

Zur Nutzung der 2FA werden physikalische Sicherheitsschlüssel (Hardware-Token) über das FIDO-Verfahren genutzt. Die Aktivierung und Einrichtung dafür müssen über die Kontenverwaltung vorgenommen werden.

Beschäftigte der Uni Bielefeld erhalten einen YubiKey-Hardware-Token in der BITS-Beratung im Raum UHG A0-301.

Anleitungen:

Generierung von Sicherheitscodes per App (TOTP)

Als Alternative zum Hardware-Token, kann 2FA auch mit Sicherheitscodes per App ("Authenticator App") auf dem Smartphone mit dem TOTP-Verfahren genutzt werden. Diese "Time-based One-time Password"-Apps generieren alle 30 Sekunden eine 6-stellige Zahl (Sicherheitscode), der als zweiter Faktor genutzt wird.

Wir empfehlen die Nutzung der App "2FAS", die unter Android und iOS verfügbar ist:

• im Google Play Store für Android
• im App-Store für iOS-Geräte

Für Expert*innen:
Unsere 2FA implementiert das TOTP'- Verfahren nach RFC 6238. Im Prinzip kann daher jedes Gerät bzw. jede App verwendet werden, die diesen Standard unterstützt.

2FA per TOTP für den eigenen Zugang einrichten

Auf dieser Seite der Kontenverwaltung kann sich die 2FA selbst eingerichtet werden:

• Zwei-Faktor-Authentifizierung

So lange die 2FA per TOTP noch nicht aktiviert ist, gibt es dort einen Schalter, der die Aktivierung startet. Die Seite zeigt dann einen QR-Code an, der mit einer geeigneten ''Authenticator App'' auf dem Smartphone eingescannt wird.

Anleitung:

Ist 2FA über das FIDO- oder TOTP-Verfahren aktiviert, wird nach Eingabe der primären, persönlichen Zugangsdaten eine weitere Seite für den zweiten Faktor angezeigt.

Nutzung Sicherheitsschlüssel / Hardware-Token (FIDO)

Ist ein Sicherheitsschlüssel/Hardware-Token registriert, wird nach Klick auf "Login per Sicherheitsschlüssel" der Token benötigt und muss am Gerät angeschlossen sein.

Diese Anmeldung lässt sich über Aktivieren der Option "Für 30 Tage merken" auf dem Gerät bzw. im genutzten Browser speichern. D. h. 30 Tage lang wird nicht mehr nach dem zweiten Faktor gefragt.

Nutzung Authenticator App (TOTP)

Wird eine Authenticator App per TOTP genutzt, muss der aktuelle 6-stellige Code aus der App eingegeben werden.

Diese Anmeldung lässt sich über Aktivieren der Option "Für 30 Tage merken" auf dem Gerät bzw. im genutzten Browser speichern. D. h. 30 Tage lang wird nicht mehr nach dem zweiten Faktor gefragt.

Wenn FIDO oder TOTP aktiviert werden

Wenn die Aktivierung der Zwei-Faktor-Authentifizierung erfolgreich abgeschlossen wird, werden die '''Ersatzcodes''' angezeigt. Diese kurze Liste von 8-stelligen Codes sollte sofort ausgedruckt oder in einem Passwortmanager abgelegt und sicher verwahren werden. Mit den Ersatzcodes kann sich auch ohne Hard-ware-Token oder Smartphone angemeldet werden, was eine sinnvolle Alternative sein kann, wenn der Akku leer ist oder Token nicht zur Hand haben oder auf ein neues Gerät gewechselt wurde.

Die Ersatzcodes können an Stelle von FIDO oder TOTP verwendet werden. Sie '''verbrauchen''' sich dabei, sind also nur ein einziges Mal einsetzbar. Bitte unbedingt darauf achten, rechtzeitig Codes nachzugenerieren - im Zweifelsfall wird der letzte Ersatzcode gebraucht, um sich neue Codes zu generieren oder die 2FA wieder abzuschalten.

-> Verwaltung der Ersatzcodes

Auf dieser Seite wird die Liste der noch gültigen Ersatzcodes angezeigt. Sobald einen Code verwendet wurde, verschwindet er von der Liste. Sobald alle Codes verbraucht wurden, ist die Liste leer.

Wenn Sie bei der Anmeldung mit einem Ersatzcode vom System abgewiesen werden, so kann dies abgesehen von einem Tippfehler nur den Grund haben, dass der Code bereits verbraucht wurde. Sie sollten dann einen anderen Code auf Ihrer Liste verwenden. Stellen Sie dabei sicher, dass Sie eine aktuelle Liste von Ersatzcodes verwenden.

Wenn Sie sich sicher sind, dass Sie einen Ersatzcode nicht selbst verwendet haben, dann sollten Sie unbedingt diese Schritte ausführen:

• Generieren Sie als erstes neue Ersatzcodes
• Folgen Sie den Hinweisen in der Seite 'Anmeldung von einem unbekannten Gerät - was ist zu tun?'

Sie können Rechner, die Sie täglich verwenden und die Sie für vertrauenswürdig halten, von der 2FA ausnehmen. Dazu dient eine Option, die Ihnen bei der Eingabe des Sicherheitscodes angeboten wird und die per Voreinstellung nicht ausgewählt ist. Wählen Sie diese Option, so werden Sie erst nach 30 Tagen auf diesem Rechner wieder nach Ihrem Sicherheitscode gefragt. Ihr Passwort müssen Sie natürlich bei jedem Login weiterhin eingeben.

Auf Rechnern, die man sich mit anderen Benutzern teilt, sollte die Option nicht verwendet werden. Dies gilt erst recht für öffentlich nutzbare Rechner. Auf Rechnern, die man nur selten verwendet, lohnt die Nutzung der Option meist nicht und ein potentielles Sicherheitsrisiko wird vermieden.

Der typische Anwendungsfall ist daher der eigene Arbeitsplatzrechner, den man täglich verwendet, bei dem der Zugang durch ein persönliches Passwort geschützt ist und der professionell betreut wird.

Ihre vertrauenswürdigen Rechner können Sie auf dieser Seite verwalten:

• Seite zur Aktivierung der Zwei-Faktor-Authentifizierung

In der Seite zur Verwaltung der 2FA finden Sie auch einen Weg um diese wieder abzuschalten. Dazu müssen Sie allerdings Ihren zweiten Faktor im Zugriff haben, eine Abschaltung allein mit ihrem Passwort ist nicht möglich, selbst wenn es sich um einen vertrauenswürdigen Rechner handelt.

Wenn Sie eine der Personen sind, die von uns ein ''Security Token'' - also ein spezielles Gerät für die Generierung der Sicherheitscodes - erhalten haben, dann können Sie die Zwei-Faktor-Authentifizierung nicht selbst wieder deaktivieren, da hier noch spezielle Konfigurationen auf Systemseite notwendig sind und das Token wieder zurückgegeben werden muss. Bitte wenden Sie sich in diesem Fall an den BIS-Support.

Einige 'Authenticator Apps' bieten Möglichkeiten an um einen TOTP Code zu exportieren und so auf ein neues Smartphone zu bringen. Wenn Sie keine derartige App verwenden, oder das alte Smartphone bereits nicht mehr verwendet werden kann, so können Sie diesen Weg wählen:

Schalten Sie mit einem Ersatzcode die 2FA ab und richten Sie sie auf dem neuen Gerät erneut ein.

Da bei einer Abschaltung der 2FA auch alle Vertrauensstellungen von Rechnern aufgehoben werden müssen Sie sich nach der Umstellung zunächst wieder an allen Rechnern mit dem zweiten Faktor anmelden. Dabei können Sie die gewünschten Vertrauensstellungen wieder aufbauen. Auch Ihre Ersatzcodes werden neu erstellt.

Der Hardware-Token oder Smartphone sind gerade nicht zur Hand bzw. gingen verloren?
Der letzte Ersatzcode ist verbraucht oder sind nicht Verfügbar?

Studierende wenden sich bitte an bits@uni-bielefeld.de.

Beschäftigte wenden sich bitte an den servicedesk@uni-bielefeld.de.