Zwei-Faktor-Anmeldung und Passkeys

Die Zwei-Faktor-Anmeldung schützt dein Konto mit einem zweiten Nachweis: Nach deinem Passwort, einem Anmeldelink oder Google, Microsoft und weiteren Anbietern fragt Contals zusätzlich nach einem Code aus einer Authenticator-App auf deinem Handy. Ein Passkey – dein Fingerabdruck, dein Gesicht oder die PIN deines Geräts – zählt als beide Faktoren. Beides richtest du in deinem Profil ein; Owner einer Organisation können die Zwei-Faktor-Anmeldung verlangen.

1. Zwei-Faktor-Anmeldung einrichten

Öffne dein Profil (Avatar → Profil und Einstellungen), gehe zu Zwei-Faktor-Anmeldung und wähle Einrichten. Hat dein Konto ein Passwort, bestätigst du es zuerst. Scanne den QR-Code mit einer Authenticator-App – zum Beispiel Google Authenticator, Microsoft Authenticator, Aegis oder einem Passwortmanager; geht das Scannen nicht, gib den Schlüssel unter dem Code in der App ein. Gib den 6-stelligen Code ein, den die App zeigt, und wähle Einschalten.

Das Einschalten meldet deine anderen Geräte ab: Melde dich dort mit einem Code neu an. Du bekommst eine E-Mail über die Änderung.

2. Wiederherstellungscodes aufbewahren

Direkt nach dem Einschalten zeigt Contals zehn Wiederherstellungscodes. Jeder meldet dich einmal an, falls du dein Handy verlierst. Sie werden nur dieses eine Mal angezeigt: Kopieren oder Herunterladen, in einem Passwortmanager oder ausgedruckt aufbewahren und Ich habe sie gespeichert wählen.

3. Mit einem Code anmelden

Melde dich wie gewohnt an. Danach fragt die Seite Zwei-Faktor-Anmeldung nach dem Code aus der App; gib ihn ein und wähle Weiter. Stattdessen kannst du Einen Wiederherstellungscode verwenden oder, wenn du einen hinzugefügt hast, Stattdessen einen Passkey verwenden. Wird der Code abgelehnt, prüfe die Uhrzeit auf deinem Handy und versuche den nächsten Code. Nach zu vielen falschen Codes bittet dich Contals, dich neu anzumelden, oder sperrt die Zwei-Faktor-Anmeldung für 15 Minuten.

Ein Anmeldelink weist nur den ersten Faktor nach: Seine Seite führt ebenfalls zum Code-Schritt. Bei der Anmeldung über das eigene Single Sign-on deiner Organisation fragt Contals nach keinem Code – für den zweiten Faktor ist dort der Identitätsanbieter deiner Organisation zuständig.

Passkeys

Ein Passkey meldet dich ohne Passwort und ohne Code an.

Hinzufügen: Profil → Passkeys → einen Name des Passkeys eingeben (zum Beispiel „Handy“ oder „Laptop“) → Passkey hinzufügen und mit Fingerabdruck, Gesicht oder der PIN des Geräts bestätigen. Synchronisierte Passkeys sind mit Synchronisiert markiert; du kannst bis zu zehn behalten.
Anmelden: Auf der Anmeldeseite Mit einem Passkey anmelden wählen. Ein Passkey beantwortet auch den Code-Schritt nach einer anderen Anmeldeart.
Umbenennen oder Entfernen in der Liste. Das Hinzufügen und Entfernen wird dir per E-Mail gemeldet.

Verlangt deine Organisation für deine Adresse Single Sign-on, kannst du keine Passkeys hinzufügen – nur die Owner der Organisation behalten sie, als Notzugang.

Neue Wiederherstellungscodes oder ausschalten

Neue Wiederherstellungscodes: einen Code aus der App eingeben (und dein Passwort, wenn dein Konto eines hat) und Bestätigen wählen. Die alten Wiederherstellungscodes funktionieren sofort nicht mehr.
Ausschalten: einen Code aus der App oder einen Wiederherstellungscode eingeben (und dein Passwort, falls vorhanden) und Bestätigen wählen. Du bekommst eine E-Mail darüber. Verlangt deine Organisation die Zwei-Faktor-Anmeldung, kannst du dort erst wieder arbeiten, wenn du sie neu eingerichtet hast.

Einrichten, neue Wiederherstellungscodes, Ausschalten sowie Passkeys hinzufügen oder entfernen brauchen eine Anmeldung, die höchstens 24 Stunden her ist. Sonst bittet dich die Seite, dich zuerst neu anzumelden (Neu anmelden).

Wenn deine Organisation sie verlangt

Schaltet ein Owner Zwei-Faktor-Anmeldung verlangen ein, sehen alle, die in der Organisation arbeiten – Mitglieder, Freiwillige, Betrachter, Admins und Board-Gäste –, nur noch die Seite Zwei-Faktor-Anmeldung einrichten, bis sie es erledigt haben; mit einer Authenticator-App dauert das eine Minute. Contals prüft die Pflicht auf dem Server, auch bei Kartenlinks und API-Tokens. Wer sich über das verlangte Single Sign-on der Organisation anmeldet, ist durch deren Identitätsanbieter abgedeckt. Auch ein Passkey erfüllt die Pflicht: Wer einen hat, zählt als «mit Zwei-Faktor-Anmeldung», und dann fragen Passwort, Anmeldelink oder Anbieter als zweiten Schritt nach dem Passkey. Ein Owner mit nur einem Passkey kann die Pflicht einschalten.

Handy verloren?

Du hast deine Wiederherstellungscodes noch: Melde dich mit Einen Wiederherstellungscode verwenden an. Schalte die Zwei-Faktor-Anmeldung dann mit einem weiteren Wiederherstellungscode aus und richte sie auf dem neuen Handy wieder ein.
Auch die Wiederherstellungscodes sind weg: Frag einen Owner deiner Organisation. Ein Owner kann deine Zwei-Faktor-Anmeldung zurücksetzen, wenn du in keiner anderen Organisation arbeitest; sonst übernimmt das der Contals-Support. Nach dem Zurücksetzen funktionieren deine Authenticator-App, deine Wiederherstellungscodes und deine Passkeys nicht mehr, du wirst überall abgemeldet und bekommst eine E-Mail. Melde dich neu an und richte sie wieder ein.

Für Owner einer Organisation

Organisations-Einstellungen → Zwei-Faktor-Anmeldung zeigt, wie viele Personen sie eingeschaltet haben, wie viele Board-Gäste nicht, und alle Mit Zwei-Faktor-Anmeldung und Ohne Zwei-Faktor-Anmeldung. Admins sehen den Abschnitt; ändern können ihn nur Owner.

Zwei-Faktor-Anmeldung verlangen lässt sich einschalten, sobald du die Zwei-Faktor-Anmeldung für dich selbst eingeschaltet hast.
Zurücksetzen neben einer Person schaltet ihre Zwei-Faktor-Anmeldung aus und entfernt ihre Passkeys – für jemanden, der Handy und Wiederherstellungscodes verloren hat. Angeboten wird es für Personen, die die Zwei-Faktor-Anmeldung eingeschaltet haben und in keiner anderen Organisation arbeiten, und es braucht eine Anmeldung, die höchstens 24 Stunden her ist. Prüfe zuerst, dass wirklich diese Person fragt – zum Beispiel mit einem Anruf. Das Zurücksetzen steht im Audit-Log, und die Person bekommt eine E-Mail.

Siehe auch Anmeldemethoden und Single Sign-on.