Frequently Asked Questions

zur Multi-Faktor-Authentifizierung (MFA).

Hände vor einem Laptop mit einer Login-Maske. Neben der Tastatur schwebt ein Verteidigungsschild mit der Überschrift "MFA" und einem grünen Haken.

Organisatorische Fragen

Mitarbeitende der Zentralverwaltung schreiben hierfür bitte ein Ticket an den ZIMT-Support. Geben Sie hierbei die Stückmenge sowie den gewünschten Anschlusstyp an. Die entstehenden Kosten werden in 2026 zentral abgerechnet. Es handelt sich um die Modelle YubiKey 5 NFC (USB-A-Anschluss) bzw. YubiKey 5C NFC (USB-C-Anschluss).

Mitarbeitende außerhalb der Zentralverwaltung können die folgenden YubiKey-Modelle über das Bauteilelager (H-E016) erwerben:

YubiKey 5 NFC (USB-A-Anschluss), Preis: 48 €
YubiKey 5C NFC (USB-C-Anschluss), Preis: 56 €

Um das Hinzufügen der YubiKeys zu Ihrem Konto so einfach wie möglich für Sie zu gestalten, wurden diese vom ZIMT vorkonfiguiert. Um einen YubiKey als MFA-Token hinzuzufügen, müssen Sie lediglich nach dem Login unter https://www.mfa.uni-siegen.de die Option "Token zuweisen" in der linken Menüleiste wählen und anschließend die Seriennummer Ihres Yubikeys eingeben (befindet sich auf dessen Rückseite).

Weitere Informationen zur Einrichtung finden Sie in den MFA-Anleitungen:

https://www.uni-siegen.de/mfa-anleitungen/

Ja, auch Funktionskonten werden durch die MFA abgesichert. Das bedeutet, dass beim Login neben Ihrer Kennung und Ihrem Passwort auch ein zweiter Faktor abgefragt wird.

Wenn sich mehrere Personen ein Funktionskonto mit Mail-Postfach teilen, empfehlen wir ausdrücklich das Funktionskonto in eine sogenannte Shared Mailbox umzuwandeln. Dann können sich alle Beteiligten mit ihren persönlichen Zugangsdaten und zweiten Faktoren anmelden. Weitere Informationen zu Shared Mailboxen finden Sie hier.

Hauptsächlich werden Dienste, die über das Single-Sign-On (SSO) angebunden sind, betroffen sein.

Nachfolgend sind relevante Dienste beispielhaft aufgelistet:

Cisco Webex,
Citrix Workspace,
eduVPN,
Login der Uni-Siegen-Webseite,
Microsoft Office 365,
Moodle (voraussichtlich ab September),
Outlook WebAccess (OWA), auch bekannt als Webmail,
SharePoint,
UB-Dienste,
Zoom X

Ja, alle Mitarbeitenden, Studierende und Externe Nutzer*innen müssen früher oder später MFA für ihr Konto aktivieren. Nur so kann ein effektiver Schutz aller Universtiätsangehörigen gewährleistet werden. Die angestrebten Zeiten finden Sie weiter oben auf dieser Seite im blauen Kasten. Ab dem 01.11.2026 wird die MFA auch für Mitarbeitende außerhalb der Zentralverwaltung sowie Studierende technisch verpflichtend umgesetzt, sodass ein Login ohne zweiten Faktor nicht mehr möglich sein wird.

Mit der Einführung der Multi-Faktor-Authentifizierung (MFA) wird sich der Anmeldeprozess für verschiedene Systeme und Dienste (s.o.) an der Universität ändern. Anstatt nur ein Passwort einzugeben, müssen Sie zusätzlich einen zweiten Authentifizierungsfaktor bereitstellen.

Die Einführung von MFA an der Universität Siegen basiert auf den gesetzlichen Vorschriften aus der Vereinbarung zur Cybersicherheit des Ministeriums für Kultur und Wissenschaft (MKW). Diese Vereinbarung fordert von Hochschulen in NRW, angemessene Sicherheitsmaßnahmen zu implementieren, um die Integrität und Vertraulichkeit von Daten zu schützen.

Ein Token ist eine Art digitaler Schlüssel. Er wird genutzt, um sich sicher an einem System oder einer App anzumelden. Ein Token kann zum Beispiel ein kleines Gerät, eine Smartphone-App oder ein spezieller Code sein. Ein häufiger Tokentyp sind einmalige Zahlen-Codes, die nur für kurze Zeit gültig sind. Mit solchen Codes bestätigt man neben dem Passwort, dass man wirklich zum Login berechtigt ist.

Man kann sich das wie die Tür eines Tresors vorstellen. Der Tresor hat ein Zahlenschloss sowie einen Schlüssel. Für das Zahlenschloss muss man die entsprechende Kombination wissen, wie bspw. ein Passwort. Der Token, also der zweite Faktor, ist in diesem Fall ein physischer Schlüssel, also etwas, das Sie besitzen müssen. Nur wenn Sie beides haben, können Sie die Tür des Tresors öffnen.

So funktioniert es auch digital: Sie loggen sich wie gewohnt mit Ihrer Kennung und Ihrem Passwort ein und bestätigen die Anmeldung mit einem YubiKey oder einer auf Ihrem mobilem Gerät installierten Authenticator App. Ihr Zugang wird dadurch viel sicherer.

Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsverfahren, das den Zugriff auf ein Konto oder ein System sicherer macht.
Neben dem Passwort wird zusätzlich mindestens ein weiterer Faktor, ein sogenannter Token, verlangt. Dieser Faktor kann zum Beispiel ein einmaliger Code aus einer App oder SMS, ein Fingerabdruck oder ein spezieller USB-Stick sein.

Durch die Kombination mehrerer Faktoren wird verhindert, dass Unbefugte allein mit dem Passwort Zugang zu einem Konto oder System erhalten.

Sie möchten mehr über MFA erfahren? Hier finden Sie einen interaktiven webbasierten Demonstrator zur Nutzeraufklärung. Dieser wurde von Abdullah Abbas, einem Absolventen der Universität Siegen, entwickelt.

Technische Fragen

Diverse Dienste, wie z. B. das EU-Beschaffungsportal, haben inzwischen auch verpflichtend MFA eingeführt. Sofern unterstützt und vorhanden, können Sie hierfür ebenfalls Ihren YubiKey oder Ihre Authenticator-App verwenden.

Hier finden Sie weitere Informationen:

Folgende Authenticator‑Apps wurden auf ihre unterstützten Parameter getestet.

Bitte beachten Sie: Die Apps sind abwärtskompatibel — eine App, die 60‑Sekunden‑Zeitschritte unterstützt, bietet auch 30‑Sekunden‑Schritte; eine App mit SHA512‑Unterstützung erlaubt ebenso SHA256 und SHA1.

App	Maximaler Zeitschritt	Maximaler Algorithmus
2FA Authenticator	60s	SHA512
Aegis Authenticator	60s	SHA512
Bitwarden Authenticator	60s	SHA512
Duo Mobile	30s	SHA1
Ente Auth	60s	SHA512
FreeOTP	60s	SHA512
Google Authenticator	30s	SHA1
LastPass Authenticator	60s	SHA512
Microsoft Authenticator	30s	SHA1
Proton Authenticator	60s	SHA512
Yubico Authenticator	60s	SHA512

Unterstützt werden:

Push-Notification (eduMFA-App)
Zeitbasiertes Einmalpasswort (TOTP, Authenticator-App)
Einmalpasswort (OTP) über YubiKey (Security-Token, spezieller USB-Stick)
OTP-fähige Security-Token anderer Hersteller (HOTP)
TAN-Liste (40 TANs auf Papier)

Hinweis: Es können jeweils zwei (PUSH, TAN) bzw. fünf (TOTP, YubiKey, HOTP) Token aktiv sein.

Fragen zu alternativen Tokenarten

Hinweis: Wir empfehlen nach Möglichkeit einen TOTP- und/oder Push-Token auf einem Smartphone einzurichten oder einen YubiKey zu verwenden.

Hier finden Sie Beispiele alternativer Hard- und Software, falls Sie keine der oben genannten Optionen nutzen können oder möchten.
Für diese bieten wir jedoch keinen Support an!

Hardware:

Reiner SCT Authenticator
Hardware für Zwei-Faktor-Authentisierung.
Mit der integrierten Kamera können TOTP-Token einfach per QR-Codes importiert werden.

Software:

Windows:
2fast – Two Factor Authenticator
Die Authenticator-App kann im Microsoft-Store heruntergeladen werden.
MacOS:
Step Two
Die Authenticator-App kann im Mac App Store heruntergeladen werden.
Linux:
GNOME Authenticator
Kann über das Flathub Repository bezogen werden

Folgende (kostengünstigere) alternative Hardware-Token wurden auf ihre Funktionalität in Verbindung mit eduMFA sowie ihre unterstützten Parameter getestet.
Den geheimen OTP-Schlüssel erhalten Sie in der Regel vom Hersteller bzw. Händler des Hardware-Token, z.B. per E-Mail.

Hardware-Token	Tokentyp	OTP-Länge	Zeitschritt	Hash-Algorithmus
ReinerSCT	TOTP	6	30, 60	SHA1, SHA256, SHA512
Feitian C200	TOTP	6	30	je nach gekaufter Version SHA1 ODER SHA256
Feitian A4B	HOTP	6	/	SHA1
SWISSBIT iShield Pro	HOTP	6	/	SHA1

Problemlösungen

In seltenen Fällen kann es vorkommen, dass die Zeitsynchronisation Ihres Rechners nicht korrekt ist und die Zeitkomponente des TOTP-Tokens dadurch nicht mit der des Rechners übereinstimmt.

Bitte überprüfen Sie, ob Ihr Zeitserver korrekt eingestellt ist: https://www.uni-siegen.de/service/dns-und-ntp

Wenden Sie sich bei weiteren Fragen gerne an den ZIMT-SupportDesk, entweder

per E-Mail an: support@zimt.uni-siegen.de
oder Tel.: (0271) 740 – 4777
(Mo. – Fr. 08:00 – 15:30 Uhr)
Persönlich in Raum H-D 2203
(Öffnungszeiten: Mo. – Fr. von 8:00 – 16:00 Uhr, telefonisch bis 15:30 Uhr)

Es kann vorkommen, dass die Push-Benachrichtigung nicht rechtzeitig bei Ihrem Smartphone ankommt. Um dem entgegenzuwirken, können Sie folgende Schritte unternehmen:

Zwei Push-Token:
Sie haben zwei Push-Token im MFA-Portal für Ihr ZIMT-Konto erstellt, weil Sie zwei Smartphones verwenden möchten. Leider wird bei der Anmeldung am Netscaler (z. B. Webmail o. Citrix) die Push-Benachrichtung nacheinander an die Geräte versandt und nicht gleichzeitig. Wir arbeiten an einer technischen Lösung des Problems.
In diesem Fall raten wir Ihnen, einen Token wieder zu deaktivieren und die App nur auf einem Gerät zu verwenden. Wenn das Problem weiter besteht, versuchen Sie die zwei folgenden Lösungsvorschläge aus.
eduMFA-App im Vordergrund halten:
Öffnen Sie die eduMFA-App, bevor Sie sich einloggen. In vielen Fällen kommt die Push-Benachrichtigung damit zuverlässiger am Gerät an.
Einstellungen der eduMFA-App überprüfen:
Öffnen Sie Ihre eduMFA-App und gehen unten rechts auf die Schaltfläche Einstellungen. Drücken Sie nun auf Push Token und prüfen Sie, ob die Option Aktives Stellen von Push-Anfragen aktiviert ist. Drücken Sie anschließend auf die Sync-Schaltfläche der darüberliegenden Einstellung Synchronisiere Push Token.

Sollte das Problem auch nach der Durchführung aller Lösungsvorschläge bestehen, melden Sie sich bitte beim Support Desk.

Manchmal kann es unter der Verwendung von Firefox oder Safari passieren, dass Sie beim Login in bspw. Webmail eine Fehlermeldung erhalten:

"Versuchen Sie es nach einiger Zeit erneut oder wenden Sie sich an den Helpdesk"

Das Problem tritt aufgrund veralteter Daten im Speicher Ihres Browsers auf. Oft hilft bereits ein Schließen und Neustarten des Browsers, in manchen Fällen müssen sog. "Cookies" im Browser gelöscht werden.

Alternativ können Sie versuchen, sich in einem "privaten" Browser-Fenster anzumelden.

Sollte das Problem auch weiterhin in einem privaten Browser-Fenster bestehen, verwenden Sie bitte einen anderen Browser (z. B. Chrome).

Wenn Sie gerade erst einen Token für Ihr Konto hinterlegt haben kann es bis zu 10 Minuten dauern, bis der zweite Faktor abgefragt wird (z. B. Webmail-Login). Ob Ihr Konto durch MFA gesichert ist, können Sie direkt überprüfen, indem Sie sich aus dem MFA-Portal ab- und wieder anmelden. Nach der Eingabe von Nutzername und Passwort sollten Sie im MFA-Portal ebenfalls nach dem zweiten Faktor gefragt werden.

Hinweis für MFA-bezogene Support-Fälle

Bitte bedenken Sie, dass bei einer Support-Anfrage bzgl. des zweiten Faktors in manchen Fällen (z. B. beim Verlust aller Token) das Vorzeigen eines gültigen Ausweisdokuments und/oder ein Vor-Ort-Termin erforderlich sein kann. Halten Sie Ihr Ausweisdokument daher bitte bereit, um sich identifizieren zu können.