Zwei-Faktor-Authentifizierung

Zum Abschnitt springen

Kurz gesagt

Schalten Sie sie unter Einstellungen → Sicherheit ein. Scannen Sie einen QR-Code mit einer Authentifizierungs-App, tippen Sie den 6-stelligen Code ein, den sie zeigt, und speichern Sie die 10 Backup-Codes, die Sie erhalten.

Danach verlangt die Anmeldung Ihr Passwort und dann einen Code. Sonst ändert sich nichts an Ihrem Konto.

Überblick

Was es ist

Ein Passwort ist ein Faktor: etwas, das Sie wissen. Jeder, der es erfährt, kann sich als Sie anmelden. Die Zwei-Faktor-Authentifizierung fügt einen zweiten Faktor hinzu, etwas, das Sie besitzen, in Form eines Telefons mit einer Authentifizierungs-App. Wer Ihr Passwort stiehlt, kommt trotzdem nicht hinein, weil er Ihr Telefon nicht hat.

Die App zeigt einen 6-stelligen Code, der sich alle 30 Sekunden ändert. Bei der Anmeldung fragt TimelyDo nach diesem Code, nachdem Sie Ihr Passwort eingegeben haben. Der Code wird auf Ihrem Gerät aus einem bei der Einrichtung einmal geteilten Geheimnis erzeugt und funktioniert daher auch ohne Empfang und ohne Internetverbindung.

Sie ist völlig optional. Die Zwei-Faktor-Authentifizierung ist aus, bis Sie sie einschalten, und Sie können sie jederzeit wieder ausschalten. Niemand wird dazu gezwungen.

Was Sie brauchen

Jede Authentifizierungs-App, die standardmäßige TOTP-Codes unterstützt. TimelyDo bindet Sie nicht an einen Anbieter. Beliebte Wahl:

Google Authenticator Authy 1Password Microsoft Authenticator Bitwarden Apple Passwörter Jede andere TOTP-App

Wenn Sie einen Passwortmanager nutzen, der Codes für Sie speichert, etwa 1Password oder Bitwarden, kann er Ihren TimelyDo-Code neben Ihrem Passwort aufbewahren und beides ausfüllen. Achten Sie nur darauf, dass dieser Manager selbst gut geschützt ist, da er dann beide Faktoren enthält.

Einrichtung

Einschalten

Das Ganze dauert etwa eine Minute.

Ihre Sicherheitseinstellungen öffnen

Gehen Sie zu Einstellungen → Sicherheit. Die Karte zur Zwei-Faktor-Authentifizierung steht unter dem Formular zum Ändern des Passworts und zeigt den Status Aus.

Zwei Faktor Authentifizierung aktivieren wählen

Ein QR-Code erscheint, zusammen mit einem Einrichtungsschlüssel in Textform.

TimelyDo zu Ihrer Authentifizierungs-App hinzufügen

Öffnen Sie Ihre App, wählen Sie, ein Konto hinzuzufügen, und scannen Sie den QR-Code. Hat das Gerät, auf dem Sie dies lesen, keine Kamera oder kann Ihre App nicht scannen, wählen Sie den Einrichtungsschlüssel, um ihn zu kopieren, und tippen Sie ihn stattdessen von Hand in die App. Beide Wege führen zu genau demselben Ergebnis.

Den 6-stelligen Code eingeben

Ihre App listet nun TimelyDo mit einem Code, der sich alle 30 Sekunden ändert. Tippen Sie den gerade angezeigten Code ein und wählen Sie Prüfen und aktivieren. Dieser Schritt beweist, dass die App wirklich richtig gescannt hat, weshalb nichts eingeschaltet wird, bevor er bestanden ist.

Ihre Backup-Codes speichern

Zehn Backup-Codes erscheinen. Kopieren oder laden Sie sie herunter, bevor Sie die Seite verlassen. Im nächsten Abschnitt steht, warum das wichtig ist.

Wird der Code bei Schritt 4 abgelehnt, wurde nichts eingeschaltet, und Ihr Konto ist weiterhin allein mit Ihrem Passwort erreichbar. Sehen Sie im Abschnitt Fehlerbehebung unten nach oder beginnen Sie die Einrichtung neu, um einen frischen QR-Code zu erhalten.

Ihre Backup-Codes

Wenn Sie die Zwei-Faktor-Authentifizierung einschalten, erhalten Sie 10 Backup-Codes. Jeder funktioniert genau einmal, und jeder kann anstelle eines Codes aus Ihrer App verwendet werden.

Sie sind für eine Situation da: Sie haben das Telefon mit Ihrer Authentifizierungs-App nicht mehr. Ein verlorenes, gestohlenes, kaputtes oder zurückgesetztes Telefon nimmt Ihre Codes mit, und ohne Backup-Code gibt es keinen Weg zurück in Ihr Konto.

Wie Sie sie aufbewahren

Überall, nur nicht auf dem Telefon mit Ihrer Authentifizierungs-App

Wichtig

Gute Orte

Ihr Passwortmanager, als sichere Notiz
Ausgedruckt und an einem physisch sicheren Ort aufbewahrt
Eine verschlüsselte Datei auf einem anderen Gerät

Schlechte Orte

Eine Notiz auf demselben Telefon wie die App
Eine E-Mail an sich selbst
Eine Klartextdatei auf einem geteilten Laufwerk

Codes kopieren Als timelydo-backup-codes.txt herunterladen Jeder Code funktioniert einmal

Die Codes werden einmal angezeigt und nie wieder. Wir speichern nur eine gehashte Form, sodass wir sie Ihnen später tatsächlich nicht anzeigen können, und auch niemand, der eine Kopie unserer Datenbank gestohlen hat. Wenn Sie sie verlieren, erstellen Sie einen neuen Satz, solange Sie angemeldet sind.

Im Alltag

Anmelden

Melden Sie sich wie gewohnt mit E-Mail und Passwort an. Statt in der App zu landen, erscheint eine kurze Seite, die nach Ihrem Code fragt.

E-Mail und Passwort → Code-Abfrage → angemeldet

Öffnen Sie Ihre Authentifizierungs-App, lesen Sie den 6-stelligen Code neben TimelyDo ab und tippen Sie ihn ein. Das Formular wird automatisch gesendet, sobald Sie sechs Ziffern eingegeben haben, es gibt also meist nichts anzuklicken.

Telefon verloren? Tippen Sie stattdessen einen Ihrer Backup-Codes in dasselbe Feld. Es gibt keinen eigenen Modus, in den Sie wechseln müssten, das Feld akzeptiert beides. Dieser Code ist danach verbraucht und funktioniert nicht ein zweites Mal.

Bis Sie einen richtigen Code eingeben, sind Sie überhaupt nicht angemeldet. Schließen Sie den Tab bei der Abfrage, bleibt Ihr Konto genau, wie es war, und die Abfrage selbst läuft nach 10 Minuten ab.

Wie oft Sie gefragt werden

Nicht bei jedem Öffnen der App. Das Kästchen Angemeldet bleiben im Anmeldeformular hält Sie in diesem Browser zwei Wochen angemeldet und ist standardmäßig angehakt. In der Praxis geben Sie also etwa alle zwei Wochen pro Browser einen Code ein, plus jedes Mal, wenn Sie sich an einem neuen Ort anmelden.

Möchten Sie lieber öfter gefragt werden, nehmen Sie bei der Anmeldung das Häkchen bei Angemeldet bleiben heraus. Das Abmelden beendet die gemerkte Sitzung überall, bei der nächsten Anmeldung wird also wieder nach einem Code gefragt.

Was abgedeckt ist

Ein zweiter Faktor ist nur etwas wert, wenn er jede Tür in Ihr Konto abdeckt, deshalb gilt er für all diese:

Zugang	Fragt nach einem Code	Hinweise
E-Mail und Passwort	Ja	Die normale Anmeldung
Mit Google anmelden	Ja	Dass Google Sie überprüft, ersetzt Ihren eigenen zweiten Faktor nicht, sonst wäre es ein Weg daran vorbei
Link zum Zurücksetzen des Passworts	Ja	Das Zurücksetzen funktioniert weiterhin, aber Sie landen bei der Code-Abfrage. Der Zugriff auf Ihr Postfach allein reicht nicht
Link zur E-Mail-Bestätigung	Ja	Gilt, wenn Sie Ihre E-Mail-Adresse ändern und die neue bestätigen
API-Schlüssel	Nein	Ihr API-Schlüssel funktioniert weiterhin für Integrationen. Mit ihm lässt sich die Zwei-Faktor-Authentifizierung nicht ausschalten

Bestehende Sitzungen auf Ihren anderen Geräten werden nicht abgemeldet, wenn Sie die Zwei-Faktor-Authentifizierung einschalten. Wenn Sie sie loswerden möchten, melden Sie sich ab und wieder an.

Verwalten

Neue Backup-Codes erstellen

Gehen Sie zu Einstellungen → Sicherheit und wählen Sie Neue Backup Codes erstellen. Sie werden gebeten, mit Ihrem Passwort zu bestätigen, dann erscheint ein frischer Satz von 10.

Tun Sie das, wenn Sie mehrere Codes verbraucht haben, wenn Sie die Liste verloren haben oder wenn Sie vermuten, dass jemand anderes sie gesehen hat. Die Sicherheitskarte zeigt, wie viele unbenutzte Codes Sie noch haben.

Alte Codes funktionieren sofort nicht mehr. Ein neuer Satz ersetzt den vorherigen vollständig, werfen Sie also die alte Liste weg und speichern Sie die neue.

Ausschalten

Gehen Sie zu Einstellungen → Sicherheit und wählen Sie Ausschalten. Sie werden zuerst gebeten, mit Ihrem Passwort zu bestätigen.

Haben Sie sich über Google registriert und nie ein Passwort festgelegt, werden Sie stattdessen nach einem Code aus Ihrer Authentifizierungs-App gefragt. Auch ein Backup-Code funktioniert dort.

Das Ausschalten löscht Ihre Backup-Codes und hebt die Kopplung mit Ihrer Authentifizierungs-App auf. Den übrig gebliebenen TimelyDo Eintrag können Sie danach aus der App löschen. Schalten Sie die Zwei-Faktor-Authentifizierung später wieder ein, richten Sie sie neu ein, mit einem neuen QR-Code und einem neuen Satz Backup-Codes.

Die Passwortabfrage hier ist Absicht. Sie sorgt dafür, dass jemand, der an einen entsperrten Laptop tritt, Ihren zweiten Faktor nicht unbemerkt entfernen kann.

E-Mail-Benachrichtigungen

Wir senden Ihnen eine E-Mail, wann immer die Zwei-Faktor-Authentifizierung ein- oder ausgeschaltet wird, mit dem Zeitpunkt der Änderung in Ihrer eigenen Zeitzone. Das Erstellen neuer Backup-Codes löst keine E-Mail aus.

Diese Benachrichtigungen sorgen dafür, dass eine von jemand anderem vorgenommene Änderung Sie trotzdem erreicht. Wenn eine eintrifft und Sie es nicht waren, handeln Sie. Ändern Sie Ihr Passwort, schalten Sie die Zwei-Faktor-Authentifizierung wieder ein und kontaktieren Sie uns unter support@timelydo.com.

Hilfe

Fehlerbehebung

Mein Code wird immer wieder abgelehnt

Fast immer ein Uhrproblem

Codes werden aus der aktuellen Uhrzeit erzeugt. Weicht die Uhr Ihres Telefons ab, ist daher jeder Code falsch, den es erzeugt. Schalten Sie auf Ihrem Telefon die automatische Einstellung von Datum und Uhrzeit ein und versuchen Sie es erneut. Wir erlauben auf beiden Seiten etwa 90 Sekunden Spielraum, kleine Abweichungen werden also bereits abgefangen.

Auch prüfenswert

Sie lesen den Code unter dem richtigen Konto ab. Authentifizierungs-Apps enthalten oft viele Einträge
Der Code ist nicht gerade abgelaufen. Steht ein Wechsel kurz bevor, warten Sie auf den nächsten
Sie verwenden keinen Code, den Sie schon genutzt haben. Jeder Code funktioniert einmal, auch innerhalb seines 30-Sekunden-Fensters

Ich habe mein Telefon verloren

Einen Backup-Code nutzen, dann neu einrichten

Melden Sie sich wie gewohnt an und geben Sie bei der Abfrage einen Ihrer Backup-Codes ein. Sobald Sie drin sind, gehen Sie zu Einstellungen → Sicherheit, schalten die Zwei-Faktor-Authentifizierung aus und gleich wieder ein. Das erzeugt einen neuen QR-Code für Ihr Ersatztelefon und einen neuen Satz Backup-Codes.

Ich habe mein Telefon und meine Backup-Codes verloren

Den Support kontaktieren

Dafür gibt es absichtlich keinen Weg ohne Hilfe. Schreiben Sie von der Adresse Ihres Kontos an support@timelydo.com, und wir prüfen Ihre Identität, bevor wir den zweiten Faktor entfernen. Rechnen Sie damit, dass das länger dauert als ein Zurücksetzen des Passworts, denn das muss es.

Ich wurde zur Anmeldeseite zurückgeschickt

Die Abfrage ist abgelaufen oder das Versuchslimit wurde erreicht

Die Code-Abfrage ist 10 Minuten gültig, und fünf falsche Codes beenden sie. Keines von beiden sperrt Ihr Konto. Melden Sie sich erneut an, um eine frische Abfrage zu erhalten.

Wie es im Hintergrund funktioniert

Für alle, die das Detail wollen:

Standard	TOTP, definiert in RFC 6238. Derselbe Standard, den jede große Seite nutzt, weshalb jede Authentifizierungs-App funktioniert
Codes	6 Ziffern, alle 30 Sekunden neu erzeugt, etwa 90 Sekunden gültig, um Uhrabweichungen aufzufangen
Wiederverwendung	Ein akzeptierter Code kann nicht erneut verwendet werden, auch nicht, solange er noch auf dem Bildschirm steht
Versuche	Fünf falsche Codes beenden den Anmeldeversuch, und Sie beginnen von vorn
Ihr Geheimnis	In unserer Datenbank verschlüsselt, nicht in lesbarer Form gespeichert
Backup-Codes	Gehasht gespeichert, auf dieselbe Weise wie Passwörter, sodass niemand sie zurücklesen kann

Häufig gestellte Fragen

Brauche ich Internet auf meinem Telefon, um einen Code zu bekommen?

Nein. Codes werden auf dem Gerät aus dem bei der Einrichtung gespeicherten Geheimnis und der aktuellen Uhrzeit berechnet. Der Flugmodus ist in Ordnung.

Kann ich dieselbe Einrichtung auf zwei Telefonen nutzen?

Ja. Scannen Sie bei der Einrichtung denselben QR-Code mit beiden Apps, und beide erzeugen gültige Codes. Manche Apps, etwa Authy und 1Password, synchronisieren auch von selbst über Ihre eigenen Geräte.

Betrifft das meine Teilnehmer oder meine Buchungsseite?

Überhaupt nicht. Es schützt nur Ihr Konto. Personen, die bei Ihnen buchen, sehen nie eine Code-Abfrage, und an Ihrer öffentlichen Seite ändert sich nichts.

Gehen meine Integrationen kaputt?

Nein. Verbundene Kalender, Zoom, Stripe, Webhooks und Ihr API-Schlüssel funktionieren genau wie zuvor.

Ich habe mich mit Google registriert und habe kein Passwort. Kann ich es trotzdem nutzen?

Ja. Schalten Sie es auf dieselbe Weise ein. Wenn Sie später das Ausschalten oder das Erstellen neuer Codes bestätigen müssen, werden Sie statt nach einem Passwort nach einem Code aus Ihrer App gefragt.

Kann ein Administrator mich dazu zwingen?

Nein. Es ist eine persönliche Einstellung Ihres eigenen Kontos. Eine organisationsweite Pflicht gibt es nicht.

War dieser Artikel hilfreich?

Sagen Sie es uns, damit wir unsere Dokumentation weiter verbessern können.