TU-ID
Zwei-Faktor-Authentifizierung

The content of this page is only available in German. Please go to German version of this page.

Mit der Zwei-Faktor-Authentifizierung (2FA) können Sie Ihre TU-ID noch besser schützen. Warum das wichtig ist und wie Sie diese nutzen können, erfahren Sie auf dieser Seite.

Nutzergruppen

Das Angebot steht allen Angehörigen der TU Darmstadt und allen Gästen mit einer TU-ID zur Verfügung.

Zusätzlicher Schutz durch Zwei-Faktor-Authentifizierung

Um sich gegenüber den Systemen der TU Darmstadt zu identifizieren, nutzen Sie in der Regel Ihre TU-ID und das zugehörige Passwort.

Leider kommt es immer wieder dazu, dass diese Zugangsdaten über gut gefälschte E-Mails und Webseiten ausgespäht werden. Diese Art von Angriffen nennt man Phishing. Mehr dazu finden Sie auf der Seite der Infosec.

Um es den Angreifenden in diesem Fall schwerer zu machen, hat sich die Nutzung einer sogenannten Zwei-Faktor-Authentisierung als gute Praxis erwiesen. Dabei wird zusätzlich zum Passwort der Nutzer_innen ein zweites Geheimnis abgefragt. Das kann z.B. ein kurz gültiger Zahlencode oder das Vorzeigen eines physikalischen Schlüssels sein.

Das HRZ ermöglicht es Ihre TU-ID mit einem zweiten Faktor besser zu sichern. Einzelne Anwendungen können die Nutzung eines zweiten Faktors vorschreiben.

Details zur Einrichtung und Nutzung dieser zweiten Faktoren (Token) finden Sie in der FAQ.

Zur ersten Einrichtung von 2FA an ihrem Account und in KeepassXC gibt es eine Schritt-für-Schritt Anleitung (opens in new tab) .

Außerdem haben wir eine Anleitung zur Installation und Erstkonfiguration von KeePassXC (opens in new tab) für Sie zusammengestellt.

FAQ

2FA ist für alle TU-IDs und TU-TechIDs nutzbar. Sie können sich selbst in der 2FA-Verwaltung registrieren und Ihren Account ab sofort schützen.

Die Funktion der 2FA kann auch für TU-IDs genutzt werden, welche sich in der Nachlaufzeit befinden.

Einen Basisschutz durch einen von Ihnen selbst registrierten zweiten Faktor, können Sie jederzeit für Ihre TU-ID aktivieren.

Dafür gehen Sie wie folgt vor:

  1. Besuchen Sie die 2FA-Verwaltungsseite.
  2. Loggen Sie sich mit Ihrem Accountnamen und Ihrem Passwort im System ein.
  3. Zuerst wird Ihnen ein sog. TAN-Token erstellt. Dieser dient als Notfallzugang zur 2FA-Verwaltung.
  4. Anschließend klicken Sie links auf “Token ausrollen”.
  5. Dort können Sie entweder einen TOTP (Software) oder Webauthn (Hardware) Token ausrollen.

Zu diesem Prozess gibt es auch eine detaillierte Schritt-für-Schritt Anleitung (opens in new tab) mit Screenshots.

Durch die Aktivierung wird bei jedem Login am Login-Server der zweite Faktor benötigt.

Das erhöht die Sicherheit an ihrem Account und erschwert, dass Angreifer ihren Account übernehmen. Außerdem üben Sie so die Nutzung des zweiten Faktors.

Dieser Login sollte bei normaler Nutzung ca. 1-2 mal Täglich passieren.

Ein Token ist eine Möglichkeit die Kontrolle über seine Identität (TU-ID) mit einem zweiten Faktor zu beweisen.

Diese können sowohl in Software als auch als dedizierte Hardware zur Verfügung gestellt werden.

Sie können Ihrem Account mehrere Tokens zugewiesen haben. Die angeschlossenen Systeme können Anforderungen an die Tokens ihrer Nutzer_innen definieren. Beispielsweise kann eine Anwendung einen Hardware-Token erfordern.

Aktuell unterstützt das HRZ folgende Verfahren:

  • TOTP – Time-based One-time Password
    Regelmäßig wechselnde Ziffernfolge basierend auf einem gemeinsamen Geheimnis von Server und Client. Dieser ist in der 2FA-Verwaltung durch die Nutzer_innen selbst registrierbar.
  • HOTP – HMAC-based One-time Password
    Ähnlich zu TOTP, aber auf Basis eines Zählers, statt der aktuellen Zeit. Daher in Hardware leichter implementierbar.
  • WebAuthn
    Es handelt sich um ein modernes Verfahren für zweite Faktoren. Es wird von vielen Betriebssystemen (Windows, Android) von Haus aus unterstützt. Darüber hinaus sind aber auch Hardware-Implementierungen auf dem Markt verfügbar. Leider ist das Protokoll für Web-Authentifizierung optimiert und für die Anmeldung über Radius oder LDAP z.B. an Servern nur bedingt geeignet.
  • TAN
    Für den Notfallzugriff auf die 2FA-Verwaltung wird Ihnen am Anfang der Registrierung ein TAN-Token erstellt. Diese einmal-Codes sind nur für den Login in der 2FA-Verwaltung gültig. Sie dienen als Notfallzugang im Falle des Verlustes der anderen Tokens.

Je nach Sicherheitsniveau werden Tokens in verschiedene Stufen einsortiert. Ein Token ist auch immer in der/den niedrigeren Stufen gültig.

Die angeschlossenen Anwendungen können Tokens einer gewissen Stufe erfordern.

  • Stufe 1 “basis”: Selbstregistrierte Software-Token
    Aktuell wird das TOTP-Verfahren unterstützt.
  • Stufe 2 “mittel”: Selbstregistrierte Hardware-Token
    Aktuell wird das WebAuthn-Verfahren unterstützt.
  • Stufe 3 “hoch”: Durch das HRZ nach Identifikation der Person zugeordnete Hardware-Token. Aktuell werden hier die Verfahren TOTP, HTOP und WebAuthn unterstützt.

Aktuell gibt das HRZ keine Hardware-Token aus.

Wenn Sie Interesse daran haben Ihren Account mit einem Hardware-Token zu sichern, müssen Sie diesen selbst beschaffen.

Sie können diese Hardware-Token in der 2FA-Verwaltung selbst mit Ihrem Account verknüpfen.

Für bestimmte hochkritische Anwendungen kann es nötigt sein, dass die Zuordnung eines Tokens zu Ihrem Account vom HRZ bestätigt werden muss. Wenden Sie sich dazu bitte an .

Aktuell wird der zweite Faktor nach der Registrierung bei allen Anmeldevorgängen am Single-Sign-On (SSO) der TU-Darmstadt abgefragt.

Damit sind alle an den SSO angeschlossenen Dienste automatisch geschützt. Das ist z.B. Jabber, Gitlab oder das IDM-Portal.

Die Unterstützung von Diensten, welche über den Radius angebunden sind, ist aktuell in der Planung.

Dienste welche am Active Directory angeschlossen sind (z.B. die Rechneranmeldung und Exchange/Outlook) werden aktuell noch nicht unterstützt.

Auch Microsoft 365 ist hiervon nicht betroffen.

Ja, Sie können auch Ihre TU-TechID durch einen zweiten Faktor sichern.

Die Beschreibung bestimmt die Reihenfolge der Tokens. Der alphabetisch erste wird standarmäßig ausgewählt

Sie können die Beschreibung in der 2FA-Verwaltung jederzeit ändern und so Einfluss auf die Vorauswahl nehmen.

Z.B. können Sie “01 ” vor die Beschreibung des gewünschten Tokens setzten.

Wenn Ihr Dienst über SSO angebunden ist, profitiert dieser schon von der 2FA Implementierung. Alle Nutzer_innen, welche 2FA aktiviert haben, werden bei jedem Login nach dem zweiten Faktor gefragt.

Es ist auch möglich nur Nutzer_innen mit einem zweiten Faktor für Ihren Dienst zuzulassen. Dabei können Sie z.B. auch bestimmen, ob alle Arten von Token erlaubt werden oder z.B. nur Hardware basierte Token. Diese Konfiguration wird am besten in enger Abstimmung mit uns durchgeführt.

Sprechen Sie gerne an.

Wenn die 2FA für einen Account aktiviert wurde, kann sie durch die Nutzer_innen zurzeit nicht wieder deaktiviert werden.

Wenn Sie die 2FA an Ihrem Account deaktivieren wollen, wenden Sie sich bitte an .