Zwei-Faktor-Authentifizierung und Passkeys
Ein Mitarbeiter-Account, der sich mit E-Mail und Passwort an der LIKE MAGIC Operations Platform anmeldet, lässt sich mit einem zweiten Faktor schützen: einem Einmalcode aus einer Authenticator-App auf deinem Smartphone. Ein Passkey geht einen Schritt weiter und ersetzt Passwort und Code durch eine einzige Bestätigung auf deinem Gerät.
Dieser Artikel erklärt, wann ein zweiter Faktor verlangt wird, wie du eine Authenticator-App oder einen Passkey einrichtest, wie du beides in deinem Profil verwaltest und wie ein Account Administrator den zweiten Faktor für das ganze Team zur Pflicht macht.
1. Wer kann diese Funktion nutzen
| Wer | Was verfügbar ist |
|---|---|
| Jeder Mitarbeiter-Account, der sich mit E-Mail und Passwort anmeldet | Einen Passkey einrichten, eine Authenticator-App hinzufügen und beides unter Mein Profil verwalten |
account-admin (Account Administrator) | Zusätzlich die Zwei-Faktor-Authentifizierung für den ganzen Account verlangen (Abschnitt 6) und Benutzer anlegen, die sich nur mit einem Passkey anmelden. Siehe Rollen- und Zugriffsverwaltung |
| Mitarbeiter-Accounts, die mit einem externen Anmeldeanbieter wie Google verknüpft sind | Die Passkey- und Zwei-Faktor-Bedienelemente werden nicht angezeigt. Diese Accounts melden sich über ihren Anbieter an, und es gilt dessen eigener Schutz |
ℹ️ Gäste werden nie nach einem zweiten Faktor gefragt. Die Pflicht gilt für Accounts, die eine Rolle in der Operations Platform haben.
2. Kernkonzepte
a) Zwei-Faktor-Authentifizierung
Mit der Zwei-Faktor-Authentifizierung reicht das Passwort allein nicht für die Anmeldung. Nach dem Passwort fragt die Anmeldeseite nach einem Einmalcode, den eine Authenticator-App auf deinem Smartphone erzeugt. Der Code wechselt alle paar Sekunden, ein gestohlenes Passwort öffnet den Account also nicht.
Jede Authenticator-App, die Einmalcodes unterstützt, funktioniert. Der Einrichtungsbildschirm nennt FreeOTP, Microsoft Authenticator und Google Authenticator.
b) Passkeys
Ein Passkey ist ein Anmeldeschlüssel, der auf deinem Gerät oder in deinem Passwortmanager gespeichert ist. Statt ein Passwort zu tippen, bestätigst du die Anmeldung mit deinem Fingerabdruck, deinem Gesicht oder der PIN deines Geräts.
Weil ein Passkey das Gerät in deiner Hand mit einer Bestätigung verbindet, die nur du geben kannst, zählt er als beide Faktoren. Ist die Zwei-Faktor-Authentifizierung Pflicht, erfüllt eine Anmeldung mit Passkey die Pflicht allein, und es wird kein Einmalcode verlangt.
c) Wann ein zweiter Faktor verlangt wird
Ob ein zweiter Faktor Pflicht ist, legt ein Account Administrator für den ganzen Account fest (siehe Abschnitt 6). Ist er Pflicht, entscheidet dein Anmeldeweg, was verlangt wird.
| So meldest du dich an | Was verlangt wird |
|---|---|
| E-Mail und Passwort | Ein zweiter Faktor nach dem Passwort: der Einmalcode aus deiner Authenticator-App oder dein Passkey. Ein Account, der keines von beiden hat, wird bei dieser Anmeldung durch die Einrichtung einer Authenticator-App geführt |
| Passkey | Nichts weiter. Der Passkey zählt als beide Faktoren |
| Externer Anbieter wie Google | Nichts weiter. Es gilt der Schutz des Anbieters |
Ist die Zwei-Faktor-Authentifizierung keine Pflicht, meldest du dich ohne zweiten Faktor an. Hast du selbst ein Zwei-Faktor-Gerät hinzugefügt, wird dessen Code nach dem Passwort weiterhin verlangt.
3. Mit einer Authenticator-App anmelden
a) Die Authenticator-App bei der ersten Anmeldung einrichten
Wenn die Zwei-Faktor-Authentifizierung Pflicht ist und dein Account noch keinen zweiten Faktor hat (weder eine Authenticator-App noch einen Passkey), startet die Einrichtung von selbst, sobald du dich das nächste Mal mit E-Mail und Passwort anmeldest.
- Melde dich wie gewohnt mit E-Mail und Passwort an. Der Bildschirm Mehrfachauthentifizierung konfigurieren öffnet sich.
- Installiere eine Authenticator-App auf deinem Smartphone, falls du noch keine hast.
- Öffne die App und scanne den QR-Code auf dem Bildschirm. Ist das Scannen nicht möglich, wähle den Link unter dem QR-Code und tippe den angezeigten Schlüssel in die App.
- Gib den Code, den die App jetzt anzeigt, in Einmalcode ein.
- Trage optional einen Gerätename ein, zum Beispiel "Diensthandy". Am Namen erkennst du das Gerät später in deinem Profil.
- Wähle Absenden. Die Operations Platform öffnet sich.
⚠️ Halte das Smartphone bereit. Ab jetzt verlangt eine Anmeldung mit E-Mail und Passwort einen Code aus dieser App. Hat dein Account zusätzlich einen Passkey, kannst du stattdessen mit dem Passkey bestätigen.
b) Mit einem Einmalcode anmelden
- Melde dich mit E-Mail und Passwort an.
- Öffne die Authenticator-App und gib den aktuellen Code in Einmalcode ein.
- Bestätige. Die Operations Platform öffnet sich.
Ein Account, der einen Passkey, aber keine Authenticator-App hat, bestätigt an dieser Stelle mit dem Passkey.
4. Einen Passkey einrichten
Einen Passkey kannst du jederzeit einrichten, unabhängig davon, ob die Zwei-Faktor-Authentifizierung für deinen Account Pflicht ist. Du brauchst ein Gerät, das deine Identität per Fingerabdruck, Gesichtserkennung oder Geräte-PIN bestätigen kann, oder einen Passwortmanager, der Passkeys speichert.
Die Passkey-Bedienelemente werden angezeigt, wenn die Passkey-Anmeldung für deinen Account verfügbar ist und dein Account nicht mit einem externen Anmeldeanbieter verknüpft ist. Solange dein Account keinen Passkey hat, zeigt die Seitenleiste dann über deinem Namen den Eintrag Passkey einrichten.
- Wähle Passkey einrichten in der Seitenleiste und bestätige die Rückfrage mit Ja. Alternativ öffnest du Mein Profil und wählst im Bereich Passkeys den Link Passkey hinzufügen.
- Der Bildschirm Passkey registrieren öffnet sich. Liegt deine letzte Anmeldung schon länger zurück, meldest du dich vorher erneut an.
- Wähle Registrieren.
- Folge dem Dialog deines Browsers oder Geräts. Wähle, wo der Passkey gespeichert wird, und bestätige mit deinem Fingerabdruck, deinem Gesicht oder deiner Geräte-PIN.
- Gib dem Passkey einen Namen, zum Beispiel "Rezeptions-PC". Du kehrst in die Operations Platform zurück.
Ab jetzt wählst du auf der Anmeldeseite Anmelden mit Passkey, statt dein Passwort einzugeben.
ℹ️ Ein Passkey gehört an den Ort, an dem du ihn gespeichert hast. Ein Passkey, der auf einem Computer gespeichert ist, funktioniert auf diesem Computer. Ein Passkey in einem Passwortmanager funktioniert auf jedem Gerät, auf dem du diesen Passwortmanager nutzt. Für die Anmeldung auf einem weiteren Gerät fügst du dort einen weiteren Passkey hinzu.
💡 Gemeinsam genutzte Arbeitsplätze. Für ein Login, das mehrere Personen an einem Arbeitsplatz nutzen, zum Beispiel an der Rezeption, funktioniert ein auf diesem Arbeitsplatz gespeicherter Passkey ohne das private Smartphone einer einzelnen Person.
5. Passkeys und Zwei-Faktor-Geräte verwalten
Dein Profil listet jeden Passkey und jede Authenticator-App auf, die für deinen Account registriert sind. Die beiden Bereiche erscheinen unter denselben Bedingungen wie der Eintrag Passkey einrichten in Abschnitt 4.
- Öffne das Menü (⋮) neben deinem Namen unten in der Seitenleiste und wähle Mein Profil. Bei eingeklappter Seitenleiste wählst du stattdessen deinen Avatar.
- Scrolle zu den Bereichen Passkeys und Zwei-Faktor-Geräte.
| Bereich | Hinzufügen | Entfernen |
|---|---|---|
| Passkeys | Passkey hinzufügen startet die Passkey-Registrierung aus Abschnitt 4 | Das Löschen-Symbol neben dem Passkey |
| Zwei-Faktor-Geräte | Zwei-Faktor-Gerät hinzufügen öffnet den Bildschirm Mehrfachauthentifizierung konfigurieren aus Abschnitt 3 | Das Löschen-Symbol neben dem Gerät |
Beim Entfernen eines Eintrags gelangst du auf die Anmeldeseite und bestätigst dort das Entfernen. Liegt deine letzte Anmeldung schon länger zurück, meldest du dich vorher erneut an.
⚠️ Erst ersetzen, dann entfernen. Wenn die Zwei-Faktor-Authentifizierung Pflicht ist und dein Account weder ein Zwei-Faktor-Gerät noch einen Passkey mehr hat, startet die Einrichtung bei deiner nächsten Anmeldung mit E-Mail und Passwort erneut. Wechselst du dein Smartphone, füge zuerst das neue Gerät hinzu und entferne danach das alte.
6. Zwei-Faktor-Authentifizierung für dein Team verlangen
Ob ein zweiter Faktor Pflicht ist, ist keine persönliche Einstellung. Ein Account Administrator (account-admin) legt es einmal für den ganzen Account fest, mit dem Schalter Zwei-Faktor erzwungen im Bereich Zwei-Faktor-Einstellungen am Ende von Einstellungen → Rollen & Zugriff. Die Einstellung gilt für jede Property und für jeden Mitarbeiter-Account, unabhängig von seiner Rolle. Für eine einzelne Property, eine Gruppe oder einen einzelnen Benutzer lässt sie sich nicht festlegen.
Ist der Schalter eingeschaltet, gilt die Pflicht ab der nächsten Anmeldung jedes Benutzers. Wer in diesem Moment angemeldet ist, bleibt angemeldet. Ein Account ohne zweiten Faktor durchläuft bei seiner nächsten Anmeldung mit E-Mail und Passwort die Einrichtung aus Abschnitt 3, und die Einrichtung lässt sich nicht überspringen. Ein neuer Account startet mit eingeschaltetem Schalter.
Die einzelnen Schritte, was sich für jeden Anmeldeweg ändert, wie du siehst, wer bereits einen zweiten Faktor eingerichtet hat, und was zu tun ist, wenn jemand ihn verliert, beschreibt die Rollen- und Zugriffsverwaltung.
7. Fehlerbehebung
| Was du siehst | Warum | Was zu tun ist |
|---|---|---|
| Die Seitenleiste zeigt keinen Eintrag Passkey einrichten | Dein Account hat bereits einen Passkey, er ist mit einem externen Anmeldeanbieter verknüpft, oder die Passkey-Anmeldung ist für deinen Account nicht verfügbar | Hast du bereits einen Passkey, fügst du weitere unter Mein Profil hinzu. Für die beiden anderen Ursachen siehe die nächste Zeile |
| Mein Profil zeigt weder den Bereich Passkeys noch Zwei-Faktor-Geräte | Dein Account ist mit einem externen Anmeldeanbieter wie Google verknüpft, oder die Passkey-Anmeldung ist für deinen Account nicht verfügbar | Bei einem verknüpften Anbieter gilt dessen Schutz, und die beiden Bereiche bleiben ausgeblendet. Andernfalls wird die Passkey-Anmeldung pro Account von LIKE MAGIC aktiviert. Beantrage sie über eine Support Anfrage |
| Du hast das Smartphone mit der Authenticator-App nicht mehr | Der Einmalcode lässt sich nicht erzeugen | Melde dich mit deinem Passkey an, falls du einen hast, und ersetze das Gerät unter Mein Profil. Ohne Passkey kannst du dich nicht anmelden. Beantrage Hilfe beim Wiederherstellen des Zugangs über eine Support Anfrage |
| Anmelden mit Passkey findet auf diesem Gerät keinen Passkey | Der Passkey wurde auf einem anderen Gerät oder in einem anderen Passwortmanager gespeichert | Hat dein Account ein Passwort, melde dich mit E-Mail, Passwort und deinem zweiten Faktor an und füge auf diesem Gerät einen Passkey hinzu. Ein Account, der nur mit einem Passkey angelegt wurde, hat kein Passwort. Nutze das Gerät oder den Passwortmanager, in dem der Passkey liegt |
| Du hast das Gerät mit deinem einzigen Passkey nicht mehr, und dein Account hat kein Passwort | Es bleibt kein Anmeldeweg | Beantrage Hilfe beim Wiederherstellen des Zugangs über eine Support Anfrage |
| Der Einmalcode wird abgelehnt | Der Code ist abgelaufen, oder die Uhr des Smartphones geht falsch | Gib den nächsten Code ein, den die App anzeigt, und stelle das Smartphone auf automatisches Datum und automatische Uhrzeit |
💡 Richte beides ein. Bei einem Account mit Passwort sorgen ein Passkey und eine Authenticator-App zusammen dafür, dass dich der Verlust eines der beiden nicht aussperrt. Bei einem Account ohne Passwort registrierst du einen Passkey auf einem zweiten Gerät.
8. Fazit
Zwei-Faktor-Authentifizierung und Passkeys schützen deinen Mitarbeiter-Account auch dann, wenn ein Passwort in fremde Hände gerät. Der Passkey ist der schnellere der beiden Wege. Eine Bestätigung auf deinem Gerät ersetzt Passwort und Einmalcode.
Wie ein Account Administrator die Zwei-Faktor-Authentifizierung für den ganzen Account verlangt und Benutzer anlegt, die sich mit einem Passkey anmelden, beschreibt die Rollen- und Zugriffsverwaltung.