Multi-Faktor-Authentifizierung: Unterschied zwischen den Versionen

[unmarkierte Version]

[gesichtete Version]

Aktuelle Version vom 2. September 2024, 16:18 Uhr

Um die Sicherheit beim Anmeldevorgang zu erhöhen, kann Multi-Faktor Authentifizierung (MFA) für MailStore-Benutzer aktiviert werden. MailStore unterstützt dafür das Verfahren Time-based One-time Password (TOTP) nach RFC 6238.

Die Benutzer benötigen dafür ein TOTP-fähiges Endgerät, z.B. ein Smartphone mit installierter Authenticator-App.

Wenn der Benutzer sich per Windows-Authentifizierung (Single Sign-On) oder per OpenID Connect (Microsoft 365, ADFS, Google Workspace) authentifiziert, fragt MailStore nicht nach dem zweiten Faktor.

Wenn MFA aktiviert ist, können Benutzer, die sich bei einem Verzeichnisdienst authentifizieren, keine Nicht-MFA-fähigen Clients wie Geplante Aufgaben, IMAP-Clients oder die Management API verwenden. Diese Einschränkung besteht aus Sicherheitsgründen. Da App-Kennwörter (die für Nicht-MFA-fähige Clients erforderlich sind) MailStore-intern verwaltet werden, könnte sich ein Benutzer auch dann noch bei MailStore anmelden, wenn er im Verzeichnisdienst blockiert ist.

Wichtiger Hinweis: Damit gültige Einmalkennwörter (TOTP) generiert werden können, müssen die Systemzeiten des MailStore Servers und der Endgeräte synchronisiert sein.

Verwaltung

Administratoren können in der Benutzerverwaltung die Multi-Faktor-Authentifizierung für ihre Benutzer verwalten.

Melden Sie sich als MailStore-Administrator über den MailStore Client an. Klicken Sie auf Verwaltung > Benutzer und Archive und dann auf Benutzer.

Aktivierung

Öffnen Sie die Eigenschaften des Benutzers für den Sie MFA aktivieren möchten.
Aktivieren Sie die Option "Multi-Faktor Authentifizierung".
Bestätigen Sie mit OK.
Beim nächsten Anmeldevorgang mit einem MFA-fähigen Client (MailStore Client, MailStore Outlook Add-In, Web Access), wird der Benutzer aufgefordert, einen QR-Code mit einer TOTP-fähigen Authenticator-App (z.B. Google Authenticator) zu scannen, anschließend einen MFA-Code einzugeben und die MFA-Konfiguration damit abzuschließen.

Deaktivieren

Öffnen Sie die Eigenschaften des Benutzer für den Sie MFA deaktivieren möchten.
Deaktivieren Sie die Option "Multi-Faktor Authentifizierung".
Bestätigen Sie mit OK.
Gegebenenfalls angelegte App-Kennwörter bleiben bestehen und behalten ihre Gültigkeit.

MFA neu initialisieren

Wenn ein Benutzer das Gerät, auf dem MFA eingerichtet worden ist, verloren hat, MFA auf einem anderen Gerät eingerichtet werden soll oder MFA aus einem anderen Grund neu eingerichtet werden muss, können Sie MFA neu initialisieren. Dadurch wird ein neues Geheimnis, aus dem sich die Einmalkennwörter ableiten, generiert.
Beim nächsten Anmeldevorgang des Benutzers wird dieser erneut aufgefordert, die MFA-Konfiguration abzuschließen.
Sollte der Benutzer die MFA-Konfiguration mit seinem Endgerät noch nicht abgeschlossen haben, steht diese Funktion nicht zur Verfügung.

Öffnen Sie die Eigenschaften des Benutzers für den Sie MFA neu initialisieren möchten.
Klicken Sie auf die Schaltfläche Befehle.
Klicken Sie auf MFA neu initialisieren.
Bestätigen Sie den Vorgang.

App-Kennwörter löschen

Wenn ein Benutzer App-Kennwörter angelegt hat, um Nicht-MFA-fähige-Clients (Geplante Tasks, IMAP, Management API) weiterhin verwenden zu können, können Sie diese hier löschen.
Wenn der Benutzer keine App-Kennwörter angelegt hat, steht diese Funktion nicht zur Verfügung.
App-Kennwörter können nur in Gänze gelöscht werden.

Öffnen Sie die Eigenschaften des Benutzer dessen App-Kennwörter Sie löschen möchten.
Klicken Sie die Schaltfläche Befehle.
Klicken Sie auf App-Kennwörter löschen.
Bestätigen Sie den Vorgang.

Anmeldung

Wenn die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, wird der Benutzer beim nächsten Anmeldevorgang mit einem MFA-fähigen Client (MailStore Client, MailStore Outlook Add-In, Web Access) aufgefordert, einen QR-Code mit einer TOTP-fähigen Authenticator-App (z.B. Google Authenticator) zu scannen. Dadurch wird das zuvor generierte Geheimnis in der App hinterlegt, und die App ist in der Lage, gültige Einmalkennwörter zu generieren.
Das Geheimnis wird unterhalb des QR-Codes angezeigt und kann per Doppelklick in die Zwischenablage kopiert werden, um in einer Kennwortverwaltung abgelegt zu werden.

Wurde der QR-Code gescannt, und ein gültiger MFA-Code eingegeben, wird bei nachfolgenden Anmeldeversuchen nur noch nach dem MFA-Code gefragt.

Vertraute Geräte

Wenn dem Gerät, von dem aus die Anmeldung erfolgt, vertraut wird, kann die Option Diesem Gerät für 14 Tage vertrauen. gesetzt werden. Beim Setzen dieser Option wird ein zusätzliches Token auf dem Endgerät gespeichert, welches bei der Anmeldung mitgesendet wird.

MailStore Client, Outlook Add-In und Web Access speichern je ein eigenes Token.

Das Token für MailStore Client und das Outlook Add-In wird in der Windows-Anmeldeinformationsverwaltung hinterlegt. Es zieht bei Roaming-Profilen nicht mit um.

Das Token für den Web Access wird im Local Storage des Browsers abgelegt. Wenn das Token im Inkognitomodus des Browsers angefordert wird, bleibt es zwischen Browsersitzungen nicht bestehen.

Verwaltung von App-Kennwörtern

Sobald die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, kann das normale Kennwort nicht mehr verwendet werden, um sich mit Nicht-MFA-fähigen-Clients anzumelden.

Zu den Nicht-MFA-fähigen-Clients zählen:

Geplante Tasks, die den Windows Client im Kommandozeilenmodus nutzen
IMAP-Clients
Management-API Clients, wie z.B. der Powershell API-Wrapper und der Python API-Wrapper

Damit diese Clients dennoch weiterhin genutzt werden können, können Benutzer App-Kennwörter anlegen. Diese Kennwörter werden von MailStore generiert und zeichnen sich durch eine erhöhte Komplexität aus.

App-Kennwörter können ausschließlich von Benutzern mit MailStore-integrierter-Authentifizierung über den MailStore Client verwaltet werden. Darüber hinaus, wird das Kennwort ändern-Recht benötigt.
App-Kennwörter funktionieren auch bei deaktiviertem MFA.
App-Kennwörter können niemals verwendet werden, um sich mit MFA-fähigen Clients anzumelden.

Melden Sie sich am MailStore Client an.
Klicken Sie auf der Startseite auf Kennwörter verwalten.
Die Kontextnamen der bisher erstellten App-Kennwörter werden aufgelistet.
Klicken Sie auf Hinzufügen, um ein neues App-Kennwort hinzuzufügen.
App-Kennwort-Kontextnamen müssen eindeutig sein und dürfen das Kennwort nicht enthalten.
Markieren Sie einen Namen und klicken Sie auf Löschen, um das App-Kennwort zu löschen.

@@ Zeile 1: / Zeile 1: @@
-Um die Sicherheit beim Anmeldevorgang zu erhöhen, kann Multi-Faktor Authentifizierung (MFA) für Benutzer mit ''MailStore-integrierter''-Authentifizierung aktiviert werden. MailStore unterstützt dafür das Verfahren ''Time-based One-time Password (TOTP)'' nach ''RFC 6238''.<br/><br/>Die Benutzer benötigen dafür ein TOTP fähiges Endgerät, z.B. ein Handy mit installierter Authenticator-App.
+Um die Sicherheit beim Anmeldevorgang zu erhöhen, kann Multi-Faktor Authentifizierung (MFA) für MailStore-Benutzer aktiviert werden. MailStore unterstützt dafür das Verfahren ''Time-based One-time Password (TOTP)'' nach ''RFC 6238''.<br/><br/>
+Die Benutzer benötigen dafür ein TOTP-fähiges Endgerät, z.B. ein Smartphone mit installierter Authenticator-App.<br/><br/>
+Wenn der Benutzer sich per Windows-Authentifizierung (Single Sign-On) oder per OpenID Connect (Microsoft 365, ADFS, Google Workspace) authentifiziert, fragt MailStore nicht nach dem zweiten Faktor.<br/><br/>
+Wenn MFA aktiviert ist, können Benutzer, die sich bei einem Verzeichnisdienst authentifizieren, keine Nicht-MFA-fähigen Clients wie Geplante Aufgaben, IMAP-Clients oder die Management API verwenden. Diese Einschränkung besteht aus Sicherheitsgründen. Da App-Kennwörter (die für Nicht-MFA-fähige Clients erforderlich sind) MailStore-intern verwaltet werden, könnte sich ein Benutzer auch dann noch bei MailStore anmelden, wenn er im Verzeichnisdienst blockiert ist.
+<p class=msnote>'''Wichtiger Hinweis:''' Damit gültige Einmalkennwörter (TOTP) generiert werden können, müssen die Systemzeiten des MailStore Servers und der Endgeräte synchronisiert sein.</p>
 == Verwaltung ==
-Administratoren können in der [[Benutzer,_Archive_und_Berechtigungen|Benutzerverwaltung]] die Multi-Faktor-Authentifizierung für Benutzer mit ''MailStore-integrierter''-Authentifizierung verwalten.
+Administratoren können in der [[Benutzer,_Archive_und_Berechtigungen|Benutzerverwaltung]] die Multi-Faktor-Authentifizierung für ihre Benutzer verwalten.
 Melden Sie sich als MailStore-Administrator über den MailStore Client an. Klicken Sie auf ''Verwaltung'' > ''Benutzer und Archive'' und dann auf ''Benutzer''.
@@ Zeile 10: / Zeile 15: @@
 * Öffnen Sie die Eigenschaften des Benutzers für den Sie MFA aktivieren möchten.
-* Wählen Sie aus dem ''Authentifizierung''-Auswahlmenü den Eintrag ''MailStore-integriert mit MFA'' aus.
+* Aktivieren Sie die Option "Multi-Faktor Authentifizierung".
 * Bestätigen Sie mit ''OK''.
+* Beim nächsten [[Multi-Faktor-Authentifizierung#Anmeldung|Anmeldevorgang]] mit einem MFA-fähigen Client (MailStore Client, MailStore Outlook Add-In, Web Access), wird der Benutzer aufgefordert, einen QR-Code mit einer TOTP-fähigen Authenticator-App (z.B. Google Authenticator) zu scannen, anschließend einen MFA-Code einzugeben und die MFA-Konfiguration damit abzuschließen.
 [[File:umgm_users_02_mfa.png|center|400px]]
@@ Zeile 18: / Zeile 24: @@
 * Öffnen Sie die Eigenschaften des Benutzer für den Sie MFA deaktivieren möchten.
-* Wählen Sie aus dem ''Authentifizierung''-Auswahlmenü den Eintrag ''MailStore-integriert'' aus.
+* Deaktivieren Sie die Option "Multi-Faktor Authentifizierung".
 * Bestätigen Sie mit OK.
+* Gegebenenfalls angelegte App-Kennwörter bleiben bestehen und behalten ihre Gültigkeit.
 [[File:umgm_users_02.png|center|400px]]
@@ Zeile 26: / Zeile 33: @@
 Wenn ein Benutzer das Gerät, auf dem MFA eingerichtet worden ist, verloren hat, MFA auf einem anderen Gerät eingerichtet werden soll oder MFA aus einem anderen Grund neu eingerichtet werden muss, können Sie MFA neu initialisieren. Dadurch wird ein neues Geheimnis, aus dem sich die Einmalkennwörter ableiten, generiert.<br/>
-Beim nächsten Anmeldevorgang des Benutzers, wird dieser erneut aufgefordert, die MFA-Konfiguration abzuschließen.
+Beim nächsten Anmeldevorgang des Benutzers wird dieser erneut aufgefordert, die MFA-Konfiguration abzuschließen.
 <br/>
-Sollte der Benutzer MFA noch nicht konfiguriert haben, steht diese Funktion nicht zur Verfügung.
+Sollte der Benutzer die MFA-Konfiguration mit seinem Endgerät noch nicht abgeschlossen haben, steht diese Funktion nicht zur Verfügung.
 * Öffnen Sie die Eigenschaften des Benutzers für den Sie MFA neu initialisieren möchten.
@@ Zeile 39: / Zeile 46: @@
 === App-Kennwörter löschen ===
-Wenn ein Benutzer App-Kennwörter angelegt hat, um ''Nicht-MFA-Fähige-Clients'' (Geplante Tasks, IMAP, Management API) weiterhin verwenden zu können, können Sie diese löschen.
+Wenn ein Benutzer App-Kennwörter angelegt hat, um ''Nicht-MFA-fähige-Clients'' (Geplante Tasks, IMAP, Management API) weiterhin verwenden zu können, können Sie diese hier löschen.
 <br/>
 Wenn der Benutzer keine App-Kennwörter angelegt hat, steht diese Funktion nicht zur Verfügung.
@@ Zeile 45: / Zeile 52: @@
 App-Kennwörter können nur in Gänze gelöscht werden.
-* Öffnen Sie die Eigenschaften des Benutzer für den Sie MFA neu Initialisieren möchten.
+* Öffnen Sie die Eigenschaften des Benutzer dessen App-Kennwörter Sie löschen möchten.
 * Klicken Sie die Schaltfläche ''Befehle''.
-* Klicken Sie auf "App-Kennwörter löschen".
+* Klicken Sie auf ''App-Kennwörter löschen''.
 * Bestätigen Sie den Vorgang.
-== Benutzung ==
+== Anmeldung ==
+Wenn die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, wird der Benutzer beim nächsten Anmeldevorgang mit einem MFA-fähigen Client (MailStore Client, MailStore Outlook Add-In, Web Access) aufgefordert, einen QR-Code mit einer TOTP-fähigen Authenticator-App (z.B. Google Authenticator) zu scannen. Dadurch wird das zuvor generierte Geheimnis in der App hinterlegt, und die App ist in der Lage, gültige Einmalkennwörter zu generieren.<br/>
+Das Geheimnis wird unterhalb des QR-Codes angezeigt und kann per Doppelklick in die Zwischenablage kopiert werden, um in einer Kennwortverwaltung abgelegt zu werden.
+[[File:Mfa_finalize_02.png|center|400px]]
+Wurde der QR-Code gescannt, und ein gültiger MFA-Code eingegeben, wird bei nachfolgenden Anmeldeversuchen nur noch nach dem MFA-Code gefragt.
+[[File:Mfa_codeonly_02.png|center|400px]]
+=== Vertraute Geräte ===
+Wenn dem Gerät, von dem aus die Anmeldung erfolgt, vertraut wird, kann die Option ''Diesem Gerät für 14 Tage vertrauen.'' gesetzt werden. Beim Setzen dieser Option wird ein zusätzliches Token auf dem Endgerät gespeichert, welches bei der Anmeldung mitgesendet wird.
+[[File:Mfa_codeonly_trusted_device_03.png|center|400px]]
+MailStore Client, Outlook Add-In und Web Access speichern je ein eigenes Token.<br/><br/>
+Das Token für MailStore Client und das Outlook Add-In wird in der Windows-Anmeldeinformationsverwaltung hinterlegt. Es zieht bei Roaming-Profilen nicht mit um.<br/><br/>
+Das Token für den Web Access wird im ''Local Storage'' des Browsers abgelegt. Wenn das Token im ''Inkognitomodus'' des Browsers angefordert wird, bleibt es zwischen Browsersitzungen nicht bestehen.
 == Verwaltung von App-Kennwörtern ==
-Sobald die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, kann das normale Kennwort nicht mehr verwendet werden, um sich an ''Nicht interaktiven''-Clients anzumelden.<br/>
+Sobald die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, kann das normale Kennwort nicht mehr verwendet werden, um sich mit ''Nicht-MFA-fähigen-Clients'' anzumelden.<br/><br/>
-Darunter fallen:
+Zu den ''Nicht-MFA-fähigen-Clients'' zählen:<br/>
-* ''Geplante Tasks'', die den Windows Client im Kommandozeilenmodus nutzen
+* ''[[Grundlagen_der_E-Mail-Archivierung_mit_MailStore#E-Mail-Programm_oder_E-Mail-Datei-basierte_Archivierungsprofile_automatisieren|Geplante Tasks]]'', die den Windows Client im Kommandozeilenmodus nutzen
-* IMAP-Clients
+* [[Zugriff_über_MailStore_integrierten_IMAP-Server|IMAP-Clients]]
-* Management-API Clients, wie z.B. der [[PowerShell_API-Wrapper_Tutorial|Powershell API-Wrapper]] und der [[Python_API-Wrapper_Tutorial|Python API-Wrapper]]
+* [[Administration_API_-_Using_the_API|Management-API Clients]], wie z.B. der [[PowerShell_API-Wrapper_Tutorial|Powershell API-Wrapper]] und der [[Python_API-Wrapper_Tutorial|Python API-Wrapper]]
-Damit diese Clients dennoch weiterhin genutzt werden können, können Benutzer sogenannte App-Kennwörter anlegen. Diese Kennwörter werden von MailStore generiert und zeichnen sich durch eine erhöhte Komplexität aus.
+Damit diese Clients dennoch weiterhin genutzt werden können, können Benutzer App-Kennwörter anlegen. Diese Kennwörter werden von MailStore generiert und zeichnen sich durch eine erhöhte Komplexität aus.
-App-Kennwörter können ausschließlich über den MailStore Client verwaltet werden.
+App-Kennwörter können ausschließlich von Benutzern mit ''MailStore-integrierter''-Authentifizierung über den MailStore Client verwaltet werden. Darüber hinaus, wird das ''Kennwort ändern''-Recht benötigt.<br/>
+App-Kennwörter funktionieren auch bei deaktiviertem MFA.<br/>
+App-Kennwörter können niemals verwendet werden, um sich mit MFA-fähigen Clients anzumelden.
-=== Benutzer ===
+* Melden Sie sich am [[Zugriff_über_die_MailStore_Client-Software|MailStore Client]] an.
+* Klicken Sie auf der ''Startseite'' auf ''Kennwörter verwalten''.
+* Die Kontextnamen der bisher erstellten App-Kennwörter werden aufgelistet.
+*: [[File:App_passwords_manage.png|center|400px]]
+* Klicken Sie auf ''Hinzufügen'', um ein neues App-Kennwort hinzuzufügen.
+*: [[File:App_passwords_create.png|center|400px]]
+* App-Kennwort-Kontextnamen müssen eindeutig sein und dürfen das Kennwort nicht enthalten.
+* Markieren Sie einen Namen und klicken Sie auf ''Löschen'', um das App-Kennwort zu löschen.
-=== Administratoren ===
+[[de:Multi-Faktor-Authentifizierung]]
+[[en:Multi-factor_Authentication]]