Multi-Faktor-Authentisierung
Ein Passwort allein schützt Ihren Campus Account nicht ausreichend. Mit der Multi-Faktor-Authentisierung (MFA) bestätigen Sie Ihre Anmeldung zusätzlich mit einem zweiten Faktor, zum Beispiel mit einer App auf Ihrem Smartphone. Diese Seite erklärt, was MFA ist, warum die UniBE sie einsetzt und welche Methoden Ihnen zur Verfügung stehen.
Was ist MFA?
Abschnitt betitelt „Was ist MFA?“Bei einer Anmeldung beweisen Sie, dass Sie die Person sind, der der Account gehört. Dafür gibt es drei Arten von Nachweisen, sogenannte Faktoren:
- Wissen: etwas, das nur Sie kennen, z. B. Ihr Passwort oder eine PIN
- Besitz: etwas, das nur Sie haben, z. B. Ihr Smartphone oder ein Hardware-Token
- Sein: ein körperliches Merkmal, z. B. Ihr Fingerabdruck oder Ihr Gesicht
Bei der Multi-Faktor-Authentisierung kombinieren Sie mindestens zwei verschiedene Faktoren. Typischerweise geben Sie Ihr Passwort ein (Wissen) und bestätigen die Anmeldung anschliessend auf Ihrem Smartphone (Besitz). Wer nur Ihr Passwort kennt, kommt so nicht in Ihren Account.
Warum MFA an der UniBE?
Abschnitt betitelt „Warum MFA an der UniBE?“- Passwörter werden gestohlen: Über gefälschte Anmeldeseiten (Phishing), Datenlecks bei anderen Diensten oder Schadsoftware gelangen Passwörter täglich in fremde Hände. Ohne zweiten Faktor reicht das für die Übernahme eines Accounts.
- Ihr Campus Account öffnet viele Türen: Mit ihm greifen Sie auf E-Mail, Dateien, Forschungsdaten, Studien- und Personaldaten sowie zahlreiche Applikationen der UniBE zu. Ein übernommener Account gefährdet nicht nur Ihre Daten, sondern auch die Ihrer Kolleginnen und Kollegen sowie der Studierenden.
- Übernommene Accounts werden weiter missbraucht: Angreifende nutzen sie, um im Namen der betroffenen Person weitere Phishing-Mails zu versenden. Weil diese Mails von einer echten UniBE-Adresse kommen, wirken sie besonders glaubwürdig.
- Hochschulen sind beliebte Ziele: Offene Strukturen, viele Accounts und wertvolle Forschungsdaten machen Universitäten attraktiv für Angriffe.
MFA verhindert den allergrössten Teil dieser Angriffe, selbst wenn Ihr Passwort bereits bekannt ist.
Angebotene MFA-Methoden
Abschnitt betitelt „Angebotene MFA-Methoden“An der UniBE stehen Ihnen folgende Methoden zur Verfügung. Ihre Methoden verwalten Sie auf der Seite Sicherheitsinformationen.
Microsoft Authenticator
Abschnitt betitelt „Microsoft Authenticator“Die App von Microsoft für iOS und Android. Bei einer Anmeldung erhalten Sie eine Benachrichtigung auf dem Smartphone. Sie tippen die Zahl ein, die am Bildschirm angezeigt wird, und bestätigen mit Fingerabdruck, Gesichtserkennung oder PIN. Alternativ zeigt die App auch einen sechsstelligen Code an.
Microsoft Authenticator ist zudem die Grundlage für die passwortlose Anmeldung mit Passkey (siehe unten).
Andere Authenticator-Apps (TOTP)
Abschnitt betitelt „Andere Authenticator-Apps (TOTP)“Sie sind nicht auf die App von Microsoft angewiesen. Jede Authenticator-App, die den offenen Standard TOTP (Time-based One-Time Password) unterstützt, funktioniert. Die App erzeugt alle 30 Sekunden einen neuen sechsstelligen Code, den Sie bei der Anmeldung eingeben. Bei der Einrichtung wählen Sie auf der Seite Sicherheitsinformationen die Option für eine andere Authenticator-App und scannen den angezeigten QR-Code.
Am sichersten verwenden Sie die App auf Ihrem Smartphone, also auf einem anderen Gerät als dem, an dem Sie sich anmelden. Die Desktop-Version eignet sich gut als zweite Methode oder als Ergänzung, wenn Sie kein Smartphone verwenden möchten.
Hardware-Token (OATH)
Abschnitt betitelt „Hardware-Token (OATH)“Ein kleines, physisches Gerät, das auf Knopfdruck einen sechsstelligen Code anzeigt. Hardware-Token eignen sich für Personen, die kein Smartphone verwenden können oder möchten. Für einen Hardware-Token wenden Sie sich an den Service Desk der Informatikdienste.
Passkey
Abschnitt betitelt „Passkey“Ein Passkey ersetzt Passwort und Code: Sie bestätigen die Anmeldung auf Ihrem Gerät mit Fingerabdruck, Gesichtserkennung oder PIN. Passkeys sind die sicherste Methode, weil sie auf gefälschten Anmeldeseiten nicht funktionieren. An der UniBE sind nur gerätegebundene Passkeys zugelassen, z. B. in Microsoft Authenticator.
Was ein Passkey ist, wie er funktioniert und welche Passkeys zugelassen sind, erfahren Sie unter:
ca :: Passwortlose Anmeldung
Ausweichmethode: Temporary Access Pass
Abschnitt betitelt „Ausweichmethode: Temporary Access Pass“Ein Temporary Access Pass (TAP) ist ein befristeter Zugangscode. Er ist keine Methode für den Alltag, sondern hilft Ihnen, wenn Sie sich mit Ihren hinterlegten Methoden nicht mehr anmelden können, zum Beispiel:
- Ihr Smartphone ist verloren gegangen, defekt oder wurde ersetzt.
- Sie haben noch keine MFA-Methode eingerichtet und können deshalb keine hinzufügen.
- Sie möchten einen Passkey einrichten und haben keine andere Methode zur Hand.
So gehen Sie vor:
- Wenden Sie sich an den Service Desk der Informatikdienste. Dieser prüft Ihre Identität und stellt Ihnen einen TAP aus.
- Melden Sie sich mit Ihrem Campus Account an und geben Sie den TAP ein, wenn Sie dazu aufgefordert werden.
- Richten Sie auf der Seite Sicherheitsinformationen sofort eine neue MFA-Methode ein und entfernen Sie nicht mehr verwendete Methoden, etwa die eines verlorenen Smartphones.
Warum wir SMS nicht mehr anbieten
Abschnitt betitelt „Warum wir SMS nicht mehr anbieten“Codes per SMS waren lange die verbreitetste MFA-Methode. Sie gelten heute aber als die schwächste Variante und werden an der UniBE nicht mehr angeboten. Dasselbe gilt für Anrufe.
- SIM-Swapping: Angreifende bringen einen Mobilfunkanbieter dazu, Ihre Rufnummer auf eine neue SIM-Karte zu übertragen. Ab dann erhalten sie Ihre SMS-Codes.
- Abfangen im Mobilfunknetz: SMS werden unverschlüsselt übertragen und können über Schwachstellen in den Mobilfunknetzen umgeleitet oder mitgelesen werden.
- Abhängigkeit vom Mobilfunknetz: Im Ausland, bei schlechtem Empfang oder mit einer fremden SIM-Karte kommen SMS verspätet oder gar nicht an. Authenticator-Apps erzeugen ihre Codes dagegen auch ohne Netz.
- Wechselnde Rufnummern: Wird eine Nummer gekündigt und später neu vergeben, landen Codes womöglich bei einer fremden Person.
Haben Sie heute SMS als MFA-Methode hinterlegt, werden Sie bei der Anmeldung aufgefordert, auf eine sichere Methode umzustellen. Wie das geht, erfahren Sie unter:
ca :: Umstellung auf eine sichere MFA Methode
Häufige Fragen
Abschnitt betitelt „Häufige Fragen“Wo sehe und ändere ich meine MFA-Methoden?
Auf der Seite Sicherheitsinformationen. Dort können Sie Methoden hinzufügen, entfernen und eine Standardmethode festlegen.
Ich wechsle mein Smartphone. Was muss ich beachten?
Richten Sie Ihre Methoden auf dem neuen Smartphone ein, solange Sie das alte noch haben. Entfernen Sie danach die Einträge des alten Geräts auf der Seite Sicherheitsinformationen. Ist das alte Smartphone bereits weg und haben Sie keine zweite Methode, hilft Ihnen ein Temporary Access Pass.
Kann ich meine bisherige SMS-Methode behalten?
Bestehende SMS-Registrierungen funktionieren vorerst weiter, eine neue SMS-Registrierung ist aber nicht mehr möglich. Sie werden schrittweise aufgefordert, auf eine sichere Methode umzustellen.
Ich habe eine MFA-Anfrage erhalten, ohne mich angemeldet zu haben. Was tun?
Lehnen Sie die Anfrage ab und ändern Sie umgehend Ihr Passwort. Eine solche Anfrage bedeutet, dass jemand Ihr Passwort kennt. Informieren Sie zusätzlich den Service Desk der Informatikdienste.