Multi-Faktor-Authentifizierung

Um die Sicherheit beim Anmeldevorgang zu erhöhen, kann Multi-Faktor Authentifizierung (MFA) für Benutzer mit MailStore-integrierter Authentifizierung aktiviert werden. MailStore unterstützt dafür das Verfahren Time-based One-time Password (TOTP) nach RFC 6238.

Die Benutzer benötigen dafür ein TOTP fähiges Endgerät, z.B. ein Smartphone mit installierter Authenticator-App.

Wichtiger Hinweis: Damit gültige Einmalkennwörter (TOTP) generiert werden können, müssen die Systemzeiten des MailStore Servers und der Endgeräte synchronisiert sein.

Verwaltung

Administratoren können in der Benutzerverwaltung die Multi-Faktor-Authentifizierung für Benutzer mit MailStore-integrierter Authentifizierung verwalten.

Melden Sie sich als MailStore-Administrator über den MailStore Client an. Klicken Sie auf Verwaltung > Benutzer und Archive und dann auf Benutzer.

Aktivierung

• Öffnen Sie die Eigenschaften des Benutzers für den Sie MFA aktivieren möchten.
• Wählen Sie aus dem Authentifizierung-Auswahlmenü den Eintrag MailStore-integriert mit MFA aus.
• Bestätigen Sie mit OK.
• Bei beim nächsten Anmeldevorgang des Benutzers mit einem MFA-fähigen Client (MailStore Client, MailStore Outlook Add-In, Web Access), wird dieser aufgefordert, einen QR-Code mit einer TOTP-fähigen Authenticator-App (z.B. Google Authenticator) zu scannen, anschließend einen MFA-Code einzugeben und die MFA-Konfiguration damit zu abzuschließen.

Deaktivieren

• Öffnen Sie die Eigenschaften des Benutzer für den Sie MFA deaktivieren möchten.
• Wählen Sie aus dem Authentifizierung-Auswahlmenü den Eintrag MailStore-integriert aus.
• Bestätigen Sie mit OK.
• Gegebenfalls angelegte App-Kennwörter bleiben bestehen und behalten Ihre Gültigkeit.

MFA neu initialisieren

Wenn ein Benutzer das Gerät, auf dem MFA eingerichtet worden ist, verloren hat, MFA auf einem anderen Gerät eingerichtet werden soll oder MFA aus einem anderen Grund neu eingerichtet werden muss, können Sie MFA neu initialisieren. Dadurch wird ein neues Geheimnis, aus dem sich die Einmalkennwörter ableiten, generiert.
Beim nächsten Anmeldevorgang des Benutzers, wird dieser erneut aufgefordert, die MFA-Konfiguration abzuschließen.
Sollte der Benutzer die MFA-Konfiguration mit seinem Endgerät noch nicht abgeschlossen haben, steht diese Funktion nicht zur Verfügung.

• Öffnen Sie die Eigenschaften des Benutzers für den Sie MFA neu initialisieren möchten.
• Klicken Sie auf die Schaltfläche Befehle.
• Klicken Sie auf MFA neu initialisieren.
• Bestätigen Sie den Vorgang.

App-Kennwörter löschen

Wenn ein Benutzer App-Kennwörter angelegt hat, um Nicht-MFA-fähige-Clients (Geplante Tasks, IMAP, Management API) weiterhin verwenden zu können, können Sie diese löschen.
Wenn der Benutzer keine App-Kennwörter angelegt hat, steht diese Funktion nicht zur Verfügung.
App-Kennwörter können nur in Gänze gelöscht werden.

• Öffnen Sie die Eigenschaften des Benutzer für den Sie MFA neu Initialisieren möchten.
• Klicken Sie die Schaltfläche Befehle.
• Klicken Sie auf "App-Kennwörter löschen".
• Bestätigen Sie den Vorgang.

Anmeldung

Wenn die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, wird der Benutzer beim nächsten Anmeldevorgang mit einem MFA-fähigen Client (MailStore Client, MailStore Outlook Add-In, Web Access) aufgefordert, einen QR-Code mit einer TOTP-fähigen Authenticator-App (z.B. Google Authenticator) zu scannen. Dadurch wird das zuvor generierte Geheimnis in der App hinterlegt, und die App ist in der Lage, gültige Einmalkennwörter zu generieren.
Das Geheimnis wird unterhalb des QR-Codes angezeigt und kann per Doppelklick in die Zwischenablage kopiert werden, um in einer Kennwortverwaltung abgelegt zu werden.

Wurde der QR-Code gescannt, und ein gültiger MFA-Code eingegeben, wird bei nachfolgenden Anmeldeversuchen nur noch nach dem MFA-Code gefragt.

Vertraute Geräte

Wenn dem Gerät, von dem aus die Anmeldung erfolgt, vertraut wird, kann die Option Diesem Gerät für 14 Tage vertrauen. gesetzt werden. Beim Setzen dieser Option, wird ein zusätzliches Token auf dem Endgerät gespeichert, welches bei der Anmeldung mitgesendet wird. MailStore Client, Outlook Add-In und Web Access speichern je ein eigenes Token.

Das Token für MailStore Client und das Outlook Add-In wird in der Windows-Anmeldeinformationsverwaltung hinterlegt. Es zieht bei Roaming-Profilen nicht mit um. Das Token für den Web Access wird im Local Storage des Browsers abgelegt.

Verwaltung von App-Kennwörtern

Sobald die Multi-Faktor-Authentifizierung für einen Benutzer aktiviert worden ist, kann das normale Kennwort nicht mehr verwendet werden, um sich mit Nicht-MFA-fähigen-Clients anzumelden.

Zu den Nicht-MFA-fähigen-Clients zählen:

• Geplante Tasks, die den Windows Client im Kommandozeilenmodus nutzen
• IMAP-Clients
• Management-API Clients, wie z.B. der Powershell API-Wrapper und der Python API-Wrapper

Damit diese Clients dennoch weiterhin genutzt werden können, können Benutzer App-Kennwörter anlegen. Diese Kennwörter werden von MailStore generiert und zeichnen sich durch eine erhöhte Komplexität aus.

App-Kennwörter können ausschließlich von Benutzern mit MailStore-integrierter-Authentifizierung über den MailStore Client verwaltet werden. Darüber hinaus, wird das Kennwort ändern-Recht benötigt.
App-Kennwörter funktionieren auch bei deaktiviertem MFA.

• Melden Sie sich am MailStore Client an.
• Klicken Sie auf der Startseite auf Kennwörter verwalten.
• Die Kontextnamen der bisher erstellten App-Kennwörter werden aufgelistet.

  

• Klicken Sie auf Hinzufügen, um ein neues App-Kennwort hinzuzufügen.

  

• Markieren Sie einen Namen und klicken Sie auf Löschen, um das App-Kennwort zu löschen.