2FA - Anleitung

Bevor Sie mit der Aktivierung der 2-Faktor-Authentifizierung beginnen, lesen Sie bitte aufmerksam die Hinweise unter der Rubrik Allgemeines. Erst wenn Sie das Verfahren verstanden haben, sollten Sie die Anleitungen auf dieser Seite zur Aktivierung des Verfahrens befolgen.

Um 2FA nutzen zu können, ist im ersten Schritt eine einmalige Aktivierung der Funktion notwendig. Dazu benötigen Sie einen Studierendenausweis oder einen Dienstausweis. Sollten Sie nichts davon zur Hand haben, kontaktieren Sie bitte den IT-Helpdesk (mit Nennung des Grundes warum eine manuelle Aktivierung notwendig ist). Nach erfolgreicher Dateneingabe auf unserer Registrierungsseite erhalten Sie per E-Mail einmalige Zugangsdaten zum 2FA-Portal. Sobald Sie sich mit diesen im 2FA-Portal erfolgreich angemeldet haben, können Sie dort diverse Tokens aktiveren. Sie können grundsätzlich beliebig viele Tokens erstellen und zwischen folgenden beiden Varianten wählen: TimebasedOneTimePassword (TOTP) und WebAuthn (Hardware Security-Chip). Wie Sie diese aktivieren können und weitere Informationen zu den Varianten entnehmen Sie bitte den entsprechenden Anleitungen 2. a), 2. b) oder 2.c) auf dieser Seite. In den meißten Fällen ist das TOTP-Verfahren mit Authenticator-App am flexibelsten und einfachsten. Alternativ empfehlen wir den Einsatz eines USB-Security-Sticks. Die Rechenzentren unterstützen alle Beschäftigten/Abteilungen/Fachbereiche gerne bei der Beschaffung von USB-Security-Sticks. Wenden Sie sich dazu einfach per E-Mail an unseren IT-Helpdesk. Sollten all diese Verfahren für Sie nicht funktionieren, können Sie sich ebenfalls an unseren IT-Helpdesk wenden um eine für Sie passende Lösung zu finden.

Anleitungen

WICHTIG: Bitte stellen Sie sicher, dass Sie vor Durchführung der folgenden Schritte entweder bereits eine TOTP-fähige App installiert (Anleitung 2. a)) und griffbereit, oder aber einen USB-Security-Stick angeschlossen haben.
Wenn Sie einen Studierenden- oder Dienstausweis besitzen, können Sie unter dem Portal 2FA-Aktivierung eine Selbstfreischaltung anhand der Kontroll-/Kartennummer durchführen. Sollten Sie keinen entsprechenden Ausweis besitzen, wenden Sie sich bitte mit der bitte um Teilnahme an dem Verfahren an 2fa(at)hochschule-trier.de.
Im Anschluss erhalten Sie eine E-Mail (Absender: noreply+2FA@hochschule-trier.de) in der Sie einmalig gültige Zugangsdaten für die Registrierung finden. Folgen Sie dort dem Link zur 2FA-Plattform.
Sofern nun eine Shibboleth-Anmeldung erscheint melden Sie sich mit Ihrer Hochschulkennung an und geben Sie im zweiten Schritt bei der Abfrage des Tokens (REGxxxxxxxx) ihr Einmalpasswort ein. Sollten Sie bereits authentifiziert sein, erscheint direkt die Tokenabfrage. Achtung: die Anmeldung funktioniert genau einmal. Führen Sie also den Registrierungsvorgang (die nachfolgenden Punkte) bis zum Ende durch!
Wählen Sie die Funktion "Token ausrollen" und registrieren Sie die zweiten Faktoren (Token) Ihrer Wahl. Anleitungen dazu finden Sie in den folgenden Punkten 2. a), 2. b) und 2. c).

Das Timebased-OneTimePassword (TOTP) ist ein zeitbasiertes Token (eine 6-Stellige Zahl die sich alle 30 Sekunden ändert). Um dieses Verfahren nutzen zu können benötigen Sie auf Ihrem Endgerät eine App oder ein Programm welches solche TOTPs generieren kann. Sollten Sie noch keine vertrauenswürdige Authenticator-App installiert haben, empfehlen wir die Nutzung der App privacyIDEAAuthenticator. Die App ist sowohl für Android als auch für iOS verfügbar. Wenn Sie bereits eine andere Authentifizierungsapp (zum Beispiel den Microsoft Authenticator) verwenden, funktionieren diese natürlich ebenso.

Wählen Sie die Funktion Token ausrollen und dort TOTP: Zeitbasiertes Einmalpasswort aus dem Dropdown-Menü.
Unter Beschreibung wählen Sie bitte eine aussagekräftige Bezeichnung, damit Sie später noch wissen welcher Tokengenerator dies ist (Beispiele: Smartphone, Authenticator, Notebook, ...).
Klicken Sie unten auf den Button Token ausrollen.
Es erscheint ein QR-Code. Diesen können Sie mit der Authenticator-App auf Ihrem Endgerät einscannen. Alternativ können Sie rechts auf Der OTP-Schlüssel klicken und den dort angezeigten Wert per Copy&Paste in Ihr Programm übertragen.
Anschließend müssen Sie den von der App generierten Code einmal zur Verifizierung in das Eingabefeld der Homepage mit dem QR-Code eingeben und Token verifizieren auswählen.
Ihre Authenticator-App erzeugt nun im gewählten Intervall (30 Sekunden) neue Tokens und der Vorgang ist erfolgreich verifiziert worden. Sollten Sie bei einer Anmeldung an unterstützten Hochschuldiensten nach einem Token gefragt werden, geben Sie einfach den aktuellen Wert den Ihre App anzeigt dort ein.

Bei WebAuthn übernimmt ihr USB-Security-Stick die Token-Funktion. Bei einer Anmeldung an unterstützten Hochschuldiensten wird überprüft ob der Stick an Ihr Endgerät angeschlossen ist und Sie müssen dies zusätzlich durch einen "Tastendruck" (berühren des runden Symbols) am Stick bestätigen. Um das Verfahren nutzen zu können benötigen Sie einen USB-Security-Stick der das FIDO-Verfahren unterstützt. Um diesen als Token zu aktivieren, gehen Sie wie folgt vor:

Schließen Sie Ihren USB-Security-Stick an ihr Endgerät an.
Wählen Sie die Funktion Token ausrollen und dort WebAuthn: Enroll a Web Authentication token aus dem Dropdown-Menü.
Unter Beschreibung wählen Sie bitte eine aussagekräftige Bezeichnung, damit Sie später noch wissen welcher Stick dies ist.
Klicken Sie unten auf den Button Token ausrollen.
Folgen Sie den Anweisungen Ihres Browser und führen Sie den Registrierungsvorgang einmal komplett durch. Zwischenzeitlich werden Sie aufgefordert einmal die Taste auf dem USB-Security-Stick zu drücken (dieser fängt an zu blinken). Damit ist gemeint, das runde Symbol auf dem Stick zu berühren.
Sollten Sie danach bei einer Anmeldung an unterstützten Hochschuldiensten nach einem Token gefragt werden, folgen Sie den Anweisungen Ihres Browsers, schließen Sie den Stick an (sofern nicht bereits angeschlossen) und bestätigen Sie die Anmeldung manuell durch berühren des Symbols auf dem USB-Security-Sticks.

Bei WebAuthn übernimmt ein Security-Chip (Hardware) die Token-Funktion. Bei einer Anmeldung an unterstützten Hochschuldiensten wird das vorhandensein des Chips überprüft und je nach Gerät ist noch eine Bestätigung per Biometriefunktion (Fingerabdruck oder Gesichtsscan) nötig. Um das Verfahren nutzen zu können, müssen folgende Punkte erfüllt sein:

Sie benötigen einen Browser der WebAuthn unterstützt (dies sind fast alle gängigen, modernen Browser).
Sie benötigen eine unterstützte Hardware - ein per Biometriefunktionen gesichertes, unterstütztes Endgerät (Beispiele: Notebook mit Windows Hello, macOS mit FaceID oder TouchID, ...).

Um diesen Verfahren zu aktivieren, gehen Sie wie folgt vor:

Wählen Sie die Funktion Token ausrollen und dort WebAuthn: Enroll a Web Authentication token aus dem Dropdown-Menü.
Unter Beschreibung wählen Sie bitte eine aussagekräftige Bezeichnung, damit Sie später noch wissen welcher Tokengenerator dies ist (Beispiele: Smartphone, Notebook, Yubikey, ...).
Klicken Sie unten auf den Button Token ausrollen.
Folgen Sie den Anweisungen Ihres Browser. Führen Sie den Registrierungsvorgang einmal komplett durch.
Sollten Sie bei einer Anmeldung an unterstützten Hochschuldiensten nach einem Token gefragt werden, folgen Sie den Anweisungen Ihres Browsers um ihre Hardware zu entsperren und damit die Anmeldung zu ermöglichen.

Das Portal zur Verwaltung Ihrer 2FA-Tokens erreichen Sie jederzeit unter 2fa.hochschule-trier.de.

Bereich - Alle Token

Nach der Anmeldung landen Sie automatisch auf einer Übersichtseite mit all Ihren Tokens. Sie können auf einen Blick erkennen, welche Tokens Sie aktiviert haben. Durch einen Klick auf die Seriennummer eines Tokens gelangen Sie zu dessen Detailseite. Auf dieser können Sie das Token löschen, temporär deaktivieren, die Beschreibung ändern oder aber auch das Token testen.

Bereich - Token ausrollen

In diesem Bereich können Sie neue Tokens aktivieren. Grundsätzlich steht es Ihnen frei, beliebig viele Tokens anzulegen. Wir empfehlen jedoch mindestens zwei Stück zu aktivieren. So ist eine Anmeldung auch bei Verlust eines Tokens noch möglich. So können Sie beispielsweise ein USB-Token einsetzen und eine Authenticator-App auf Ihrem Smartphone. Sollten Sie den USB-Stick verlieren, können Sie sich trotzdem mittels TOTP aus der App anmelden und den verlorenen USB-Stick im Portal deaktivieren.