Zwei-Faktor-Anmeldung

Mit der Zwei-Faktor-Anmeldung reicht das Passwort allein nicht mehr: Nach dem Passwort fragt WorkTime einen sechsstelligen Code aus einer App auf dem Telefon ab. Wer das Passwort errät oder abfängt, kommt ohne das Telefon nicht hinein.

Freiwillig — für jeden. Es gibt keine Rolle und keinen Betrieb, für den sie Pflicht ist. Jeder schaltet sie im eigenen Profil ein und wieder aus.

Passende Apps (kostenlos): Google Authenticator, Microsoft Authenticator, Aegis, 2FAS — oder ein Passwort-Manager, der Einmalcodes kann (Bitwarden, 1Password, KeePassXC). WorkTime rechnet nach dem üblichen Verfahren (TOTP, 30 Sekunden, sechs Ziffern).

Einschalten

Profil öffnen, bei Zwei-Faktor-Anmeldung auf Einschalten klicken.
Zur Sicherheit das eigene Passwort eingeben.
Den QR-Code mit der App scannen. Ohne Kamera (etwa am Rechner): den angezeigten Schlüssel in der App von Hand eingeben.
Den Code, den die App zeigt, eintragen und Bestätigen und einschalten.

Erst mit dem bestätigten Code gilt sie — wer abbricht oder falsch scannt, sperrt sich nicht aus.

Notfallcodes

Nach dem Einschalten zeigt WorkTime zehn Notfallcodes (Form abcd-efgh) — nur dieses eine Mal. Mit jedem kommen Sie einmal hinein, wenn das Telefon weg, leer oder kaputt ist. Kopieren, als Datei speichern oder ausdrucken und sicher aufbewahren, nicht auf dem Telefon selbst.

Im Profil steht, wie viele noch übrig sind. Neue Notfallcodes (mit Passwort) ersetzt alle bisherigen.

Anmelden

Nach E-Mail und Passwort erscheint das Feld für den Code. Sechs Ziffern schicken sich von selbst ab. Telefon nicht zur Hand? schaltet auf einen Notfallcode um. Für den Code sind fünf Minuten Zeit; danach noch einmal mit dem Passwort beginnen.

Jeder Code gilt einmal — ein abgefangener oder doppelt geschickter Code öffnet nichts.
Falsche Codes zählen wie falsche Passwörter: Nach fünf Fehlversuchen ist das Konto 15 Minuten gesperrt.
Auch der Link aus der Bestätigungsmail meldet bei eingeschalteter Zwei-Faktor-Anmeldung nicht ohne Code an.

Geht ein Code nie durch, obwohl er frisch ist: Die Uhr am Telefon prüfen — sie sollte automatisch gestellt werden.

Neues Telefon, ausschalten

Neues Telefon einrichten — mit Passwort, QR-Code am neuen Telefon scannen, Code bestätigen. Bis dahin gilt das alte weiter. Dabei entstehen neue Notfallcodes.
Ausschalten — mit Passwort. Danach meldet sich das Konto wieder nur mit dem Passwort an.

Telefon und Notfallcodes weg

Die Verwaltung (Recht tenant:update) setzt unter Benutzer mit 2FA zurücksetzen zurück. Das Konto meldet sich dann wieder nur mit dem Passwort an und kann sie neu einrichten. Es bekommt eine Mail darüber.
Ist im Betrieb niemand sonst, der das darf (Ein-Personen-Betrieb), setzt der Betreiber die Leitung in der Firmenakte zurück — bitte über den Support melden.

In der Benutzerliste zeigt 2FA an, wer sie eingeschaltet hat. Einschalten, Ausschalten, neue Notfallcodes und Zurücksetzen stehen im Prüfprotokoll.

Für den ganzen Betrieb abschalten

Unter Einstellungen schaltet Zwei-Faktor-Anmeldung anbieten (ab Werk an) das Angebot für alle ab:

Im Profil lässt sie sich dann nicht mehr einschalten.
Die Anmeldung fragt bei niemandem einen Code ab.
Was schon eingerichtet ist, bleibt liegen — wird das Angebot wieder eingeschaltet, gilt es wieder.

Im Demo-Zugang lässt sie sich nicht einschalten, damit er für alle nutzbar bleibt.

Was gespeichert wird

Der Schlüssel der App liegt verschlüsselt in der Datenbank (wie die Schlüssel der Anbindungen), die Notfallcodes nur als Hash. Die Verwaltung sieht nur, ob und seit wann sie an ist — nie den Schlüssel. Wird der Server mit einem anderen Geheimnis (GEHEIMNIS_SCHLUESSEL bzw. JWT_SECRET) umgezogen, lassen sich die Codes aus der App nicht mehr prüfen; dann helfen die Notfallcodes oder das Zurücksetzen.