Ja, auch Funktionskonten werden durch die MFA abgesichert. Das bedeutet, dass beim Login neben Ihrer Kennung und Ihrem Passwort auch ein zweiter Faktor abgefragt wird.
Wenn sich mehrere Personen ein Funktionskonto mit Mail-Postfach teilen, empfehlen wir ausdrücklich das Funktionskonto in eine sogenannte Shared Mailbox umzuwandeln. Dann können sich alle Beteiligten mit ihren persönlichen Zugangsdaten und zweiten Faktoren anmelden. Weitere Informationen zu Shared Mailboxen finden Sie hier.
Hauptsächlich werden Dienste, die über das Single-Sign-On (SSO) angebunden sind, betroffen sein.
Nachfolgend sind relevante Dienste beispielhaft aufgelistet:
Ja, alle Mitarbeitenden, Studierende und Externe Nutzer*innen müssen früher oder später MFA für ihr Konto aktivieren. Nur so kann ein effektiver Schutz aller Universtiätsangehörigen gewährleistet werden. Die angestrebten Zeiten finden Sie weiter oben auf dieser Seite im blauen Kasten. Ab dem 01.01.2027 wird die MFA auch für Mitarbeitende außerhalb der Zentralverwaltung sowie Studierende technisch verpflichtend umgesetzt, sodass ein Login ohne zweiten Faktor nicht mehr möglich sein wird.
Mit der Einführung der Multi-Faktor-Authentifizierung (MFA) wird sich der Anmeldeprozess für verschiedene Systeme und Dienste (s.o.) an der Universität ändern. Anstatt nur ein Passwort einzugeben, müssen Sie zusätzlich einen zweiten Authentifizierungsfaktor bereitstellen.
Die Einführung von MFA an der Universität Siegen basiert auf den gesetzlichen Vorschriften aus der Vereinbarung zur Cybersicherheit des Ministeriums für Kultur und Wissenschaft (MKW). Diese Vereinbarung fordert von Hochschulen in NRW, angemessene Sicherheitsmaßnahmen zu implementieren, um die Integrität und Vertraulichkeit von Daten zu schützen.
Ein Token ist eine Art digitaler Schlüssel. Er wird genutzt, um sich sicher an einem System oder einer App anzumelden. Ein Token kann zum Beispiel ein kleines Gerät, eine Smartphone-App oder ein spezieller Code sein. Ein häufiger Tokentyp sind einmalige Zahlen-Codes, die nur für kurze Zeit gültig sind. Mit solchen Codes bestätigt man neben dem Passwort, dass man wirklich zum Login berechtigt ist.
Man kann sich das wie die Tür eines Tresors vorstellen. Der Tresor hat ein Zahlenschloss sowie einen Schlüssel. Für das Zahlenschloss muss man die entsprechende Kombination wissen, wie bspw. ein Passwort. Der Token, also der zweite Faktor, ist in diesem Fall ein physischer Schlüssel, also etwas, das Sie besitzen müssen. Nur wenn Sie beides haben, können Sie die Tür des Tresors öffnen.
So funktioniert es auch digital: Sie loggen sich wie gewohnt mit Ihrer Kennung und Ihrem Passwort ein und bestätigen die Anmeldung mit einem YubiKey oder einer auf Ihrem mobilem Gerät installierten Authenticator App. Ihr Zugang wird dadurch viel sicherer.
Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsverfahren, das den Zugriff auf ein Konto oder ein System sicherer macht.
Neben dem Passwort wird zusätzlich mindestens ein weiterer Faktor, ein sogenannter Token, verlangt. Dieser Faktor kann zum Beispiel ein einmaliger Code aus einer App oder SMS, ein Fingerabdruck oder ein spezieller USB-Stick sein.
Durch die Kombination mehrerer Faktoren wird verhindert, dass Unbefugte allein mit dem Passwort Zugang zu einem Konto oder System erhalten.
Diverse Dienste, wie z. B. das EU-Beschaffungsportal, haben inzwischen auch verpflichtend MFA eingeführt. Sofern unterstützt und vorhanden, können Sie hierfür ebenfalls Ihren YubiKey oder Ihre Authenticator-App verwenden.
Hier finden Sie weitere Informationen:
Folgende Authenticator‑Apps wurden auf ihre unterstützten Parameter getestet.
Bitte beachten Sie: Die Apps sind abwärtskompatibel — eine App, die 60‑Sekunden‑Zeitschritte unterstützt, bietet auch 30‑Sekunden‑Schritte; eine App mit SHA512‑Unterstützung erlaubt ebenso SHA256 und SHA1.
| App | Maximaler Zeitschritt | Maximaler Algorithmus |
|---|---|---|
| 2FA Authenticator | 60s | SHA512 |
| Aegis Authenticator | 60s | SHA512 |
| Bitwarden Authenticator | 60s | SHA512 |
| Duo Mobile | 30s | SHA1 |
| Ente Auth | 60s | SHA512 |
| FreeOTP | 60s | SHA512 |
| Google Authenticator | 30s | SHA1 |
| LastPass Authenticator | 60s | SHA512 |
| Microsoft Authenticator | 30s | SHA1 |
| Proton Authenticator | 60s | SHA512 |
| Yubico Authenticator | 60s | SHA512 |
Unterstützt werden:
Hinweis: Es können jeweils zwei (PUSH, TAN) bzw. fünf (TOTP, YubiKey, HOTP) Token aktiv sein.
Hinweis: Wir empfehlen nach Möglichkeit einen TOTP- und/oder Push-Token auf einem Smartphone einzurichten oder einen YubiKey zu verwenden.
Hier finden Sie Beispiele alternativer Hard- und Software, falls Sie keine der oben genannten Optionen nutzen können oder möchten.
Für diese bieten wir jedoch keinen Support an!
Hardware:
Software:
Folgende (kostengünstigere) alternative Hardware-Token wurden auf ihre Funktionalität in Verbindung mit eduMFA sowie ihre unterstützten Parameter getestet.
Den geheimen OTP-Schlüssel erhalten Sie in der Regel vom Hersteller bzw. Händler des Hardware-Token, z.B. per E-Mail.
| Hardware-Token | Tokentyp | OTP-Länge | Zeitschritt | Hash-Algorithmus |
|---|---|---|---|---|
| ReinerSCT | TOTP | 6 | 30, 60 | SHA1, SHA256, SHA512 |
| Feitian C200 | TOTP | 6 | 30 | je nach gekaufter Version SHA1 ODER SHA256 |
| Feitian A4B | HOTP | 6 | / | SHA1 |
| SWISSBIT iShield Pro | HOTP | 6 | / | SHA1 |
Wenden Sie sich bei weiteren Fragen gerne an den ZIMT-SupportDesk, entweder
Es kann vorkommen, dass die Push-Benachrichtigung nicht rechtzeitig bei Ihrem Smartphone ankommt. Um dem entgegenzuwirken, können Sie folgende Schritte unternehmen:
Sollte das Problem auch nach der Durchführung aller Lösungsvorschläge bestehen, melden Sie sich bitte beim Support Desk.
Manchmal kann es passieren, dass Sie beim Login in bspw. Webmail eine Fehlermeldung erhalten:
"Versuchen Sie es nach einiger Zeit erneut oder wenden Sie sich an den Helpdesk"
Das Problem tritt aufgrund veralteter Daten im Speicher Ihres Browsers auf. Oft hilft bereits ein Schließen und Neustarten des Browsers, in manchen Fällen müssen sog. "Cookies" im Browser gelöscht werden.
Alternativ können Sie versuchen, sich in einem "privaten" Browser-Fenster anzumelden.
Sollte das Problem auch weiterhin in einem privaten Browser-Fenster bestehen, wenden Sie sich bitte an den ZIMT-SupportDesk.
Wenn Sie gerade erst einen Token für Ihr Konto hinterlegt haben kann es bis zu 10 Minuten dauern, bis der zweite Faktor abgefragt wird (z. B. Webmail-Login). Ob Ihr Konto durch MFA gesichert ist, können Sie direkt überprüfen, indem Sie sich aus dem MFA-Portal ab- und wieder anmelden. Nach der Eingabe von Nutzername und Passwort sollten Sie im MFA-Portal ebenfalls nach dem zweiten Faktor gefragt werden.
Bitte bedenken Sie, dass bei einer Support-Anfrage bzgl. des zweiten Faktors in manchen Fällen (z. B. beim Verlust aller Token) das Vorzeigen eines gültigen Ausweisdokuments und/oder ein Vor-Ort-Termin erforderlich sein kann. Halten Sie Ihr Ausweisdokument daher bitte bereit, um sich identifizieren zu können.
