Authentifizierung

Die Authentifizierung legt fest, wer Sie sind, bevor die Plattform entscheidet, was Sie tun dürfen. Sie weisen sich mit Ihrem Passwort aus, mit einem zweiten Faktor, wenn Ihr Konto einen hat, und mit der Anmeldung, die darauf folgt. Eine Anmeldung gilt nicht für immer: Ist ihre Zeit abgelaufen, melden Sie sich erneut an. Diese Seite erklärt, wie das funktioniert und was Sie sehen.

Sie melden sich mit Ihrem Benutzernamen oder Ihrer E-Mail-Adresse plus Ihrem Passwort an. Hat Ihr Konto Zwei-Faktor-Authentifizierung, fragt Mirox danach einen 6-stelligen Code aus Ihrer Authenticator-App oder Ihren Passkey ab. Anschließend bleiben Sie angemeldet, in der Web-App oder in der Mobile App, bis die Anmeldung endet.

Registrierung nur auf Einladung — Neue Konten werden über eine Einladung erstellt. Wenn Sie keine Einladung haben, können Sie eine Zugriffsanfrage stellen, und die Betreiber der Organisation werden benachrichtigt, um Sie einzuladen.
E-Mail-Verifizierung — Neue Konten bestätigen ihre Adresse über einen Verifizierungslink, bevor sie aktiv werden. Aus einer Einladung erstellte Konten sind bereits vorab freigegeben.
Passwort zurücksetzen — Sie können jederzeit einen Link zum Zurücksetzen anfordern. Das Abschließen des Zurücksetzens meldet Sie überall ab, auch in der Mobile App, und benachrichtigt Sie per E-Mail.
Anmeldewarnungen — Sie erhalten eine E-Mail, wenn eine Anmeldung von einer Netzwerkadresse kommt, die für Ihr Konto neu ist, sowie wenn ein Anmeldeversuch fehlschlägt. Ein neuer Browser an einem Anschluss, den Sie schon genutzt haben, löst keine Warnung aus.

Information

Mirox teilt einem Außenstehenden niemals mit, ob zu einer E-Mail-Adresse ein Konto existiert. Antworten auf das Zurücksetzen des Passworts und auf Zugriffsanfragen sehen identisch aus, unabhängig davon, ob die Adresse existiert oder nicht — so gibt die Anmeldeseite keinerlei Konto-Informationen preis.

Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung (2FA) fügt zusätzlich zu Ihrem Passwort einen zweiten Identitätsnachweis hinzu: einen zeitbasierten 6-stelligen Code aus einer Authenticator-App oder einen Passkey. Beides zählt als zweiter Faktor; Sie können auch beides haben.

Standardmäßig freiwillig — Sie aktivieren 2FA selbst in Ihrem Profil, im Reiter Sicherheit. Eine Organisation kann 2FA für den Zugriff auf ihre Anlagen verlangen, siehe Wo ein zweiter Faktor verlangt wird.
Einrichtung — Sie scannen einen QR-Code in Ihre Authenticator-App. 2FA wird erst aktiv, nachdem Sie einen ersten Code bestätigt haben, sodass eine falsch konfigurierte App Sie niemals aussperren kann.
Bei der Anmeldung — Wenn 2FA aktiv ist, werden Sie bei der Anmeldung nach Ihrem Passwort nach einem aktuellen Code oder Ihrem Passkey gefragt. Ein Code, der während der Eingabe umspringt, funktioniert weiterhin.
Öfter anmelden — Ein Konto mit 2FA wird nach einer festgelegten Zeit gebeten, sich erneut anzumelden, siehe Erneut anmelden mit 2FA.
Deaktivieren / Prüfen — Sie können 2FA mit einem gültigen Code deaktivieren oder in Ihrem Profil einen Code prüfen, um zu bestätigen, dass Ihre App synchron ist.

Die Schritte stehen in der Anleitung Zwei-Faktor-Authentifizierung einrichten.

Backup-Code

Wenn Sie 2FA aktivieren, zeigt Mirox Ihnen einen Backup-Code, ein einziges Mal. Er ist Ihr Notschlüssel für den Tag, an dem Sie Ihre Authenticator-App verlieren.

Sie können den Backup-Code nur an einer Stelle eingeben: bei der Anmeldung, anstelle des 6-stelligen Codes.
Wenn Sie ihn verwenden, werden Sie angemeldet, und die Authenticator-App wird für Ihr Konto ausgeschaltet. Es wird kein neuer Backup-Code ausgestellt. Sie richten 2FA danach neu ein und erhalten dabei einen neuen Backup-Code.
Solange 2FA aktiv ist, können Sie den Backup-Code in Ihrem Profil mit einem gültigen Code ersetzen. Der alte funktioniert dann nicht mehr.

Der Backup-Code schaltet die Authenticator-App aus

Nachdem Sie sich mit dem Backup-Code angemeldet haben, hat Ihr Konto keinen zweiten Faktor mehr, es sei denn, Sie haben auch einen Passkey. Ohne zweiten Faktor ist der Geräte-Proxy für Sie geschlossen, und Anlagen von Organisationen, die 2FA verlangen, sind ausgeblendet, bis Sie 2FA wieder aktivieren oder einen Passkey hinzufügen.

Wenn Sie sowohl Ihre Authenticator-App als auch Ihren Backup-Code verloren haben und keinen Passkey besitzen, wenden Sie sich an den Mirox-Support. Der Support kann Ihren zweiten Faktor zurücksetzen. Das meldet Sie überall ab. Danach melden Sie sich mit Ihrem Passwort an und richten 2FA neu ein.

Passkeys

Mit einem Passkey weist Ihr Gerät nach, dass Sie es sind: Face ID, Touch ID, Windows Hello oder ein Sicherheitsschlüssel statt eines eingetippten Codes. Es ist ein Schlüssel, den nur Ihr Gerät besitzt und der nur auf der echten Mirox-Anmeldeseite funktioniert, deshalb kann er nicht abgefischt werden. Ein Passkey ist für sich allein ein zweiter Faktor. Sie können ihn statt einer Authenticator-App verwenden, neben ihr oder gar nicht.

Hinzufügen und entfernen Sie Passkeys in Ihrem Profil auf dem Reiter Sicherheit in der Karte Sicherheit. Beim Hinzufügen wird ein aktueller Code abgefragt, wenn Sie eine Authenticator-App nutzen, sonst Ihr Passwort.
Mit Passkey anmelden — Die Anmeldeseite bietet Mit Passkey anmelden an: Sie geben Ihre E-Mail-Adresse ein, bestätigen auf Ihrem Gerät und sind ohne Passwort angemeldet, zweiter Faktor inklusive.
Im 2FA-Schritt — Melden Sie sich mit Ihrem Passwort an, bietet die Code-Seite neben dem 6-stelligen Code Passkey verwenden an. Ihr Authenticator-Code und Ihr Backup-Code funktionieren weiterhin wie bisher.
E-Mail-Code — Ist ein Passkey Ihr einziger zweiter Faktor und sind Sie an einem Gerät, das ihn nicht hat, bietet die Code-Seite Code per E-Mail senden an: einen einmaligen 6-stelligen Code an die E-Mail-Adresse Ihres Kontos, der nur kurz gültig ist. Die Mobile App bietet diesen Code ebenfalls an. Konten mit Authenticator-App erhalten keinen E-Mail-Code; sie haben die App und den Backup-Code.
Alle Passkeys verloren? Melden Sie sich mit Ihrem Passwort und dem E-Mail-Code an und fügen Sie dann einen neuen Passkey hinzu oder aktivieren Sie eine Authenticator-App. Niemand muss Sie freischalten.
Den letzten zweiten Faktor entfernen — Sie dürfen Ihren letzten Passkey entfernen und 2FA ausschalten, während ein Passkey bleibt. Bliebe Ihr Konto dadurch ohne zweiten Faktor, warnt Mirox Sie: Der Geräte-Proxy ist dann für Sie geschlossen, und Anlagen von Organisationen, die 2FA verlangen, sind ausgeblendet, bis Sie wieder einen Faktor hinzufügen.

Die Schritte stehen in der Anleitung Zwei-Faktor-Authentifizierung einrichten.

Wie lange eine Anmeldung gilt

Wie lange Sie angemeldet bleiben, legt die Organisation fest, der Sie angehören, in ihrer Sicherheitsrichtlinie. Hat Ihre Organisation nichts festgelegt oder gehören Sie keiner Organisation an, gelten die Mirox-Standards. Sie stehen unter Plattform-Standards.

Die Zeit läuft je Anmeldung. Jeder Browser und jedes Smartphone hat seine eigene.
Sie folgen den Regeln Ihrer Organisation ab dem Moment, in dem Sie ihr beitreten.
Diese Regeln werden nie an die Benutzer eines Kooperationspartners weitergegeben. Jeder Benutzer folgt den Regeln seiner eigenen Organisation.

Erneut anmelden mit 2FA

Hat Ihr Konto 2FA und hat Ihre Organisation eine erneute 2FA-Abfrage festgelegt, endet eine Anmeldung auch eine festgelegte Zeit, nachdem Sie Ihren zweiten Faktor zuletzt in dieser Anmeldung nachgewiesen haben. Ihre Organisation legt diese Zeit für die Web-App und für die Mobile App fest. Standardmäßig gibt es keine erneute Abfrage.

Ein zweiter Faktor schützt Sie nur, wenn er regelmäßig vorgelegt wird. Ohne diese Regel könnte ein angemeldet gelassener Browser auf einem gemeinsam genutzten oder verlorenen Gerät wochenlang benutzt werden, ohne dass jemand einen Code eingibt.

Mitten in der Arbeit werden Sie nicht nach einem Code gefragt. Ist die Zeit abgelaufen, werden Sie abgemeldet und melden sich mit Ihrem Passwort und Ihrem Code erneut an. Dann beginnt die Zeit von vorn.

Ist die Zeit abgelaufen, werden Sie abgemeldet und melden sich erneut an: mit Ihrem Passwort und, wenn Sie 2FA haben, mit dem Code oder Ihrem Passkey. Einen halb offenen Zustand, in dem nur Teile von Mirox funktionieren, gibt es nicht.

Im Browser:

In den letzten 24 Stunden erscheint ein Countdown in der Kopfzeile.
Kurz vor dem Ende warnt Mirox Sie.
Am Ende sehen Sie die Anmeldeseite mit einem Satz, der den Grund für die Abmeldung nennt.
Nach der Anmeldung kehren Sie auf die Seite zurück, auf der Sie waren.

Speichern Sie, bevor der Countdown abläuft

Text in einem Formular, den Sie nicht gespeichert haben, geht verloren, wenn die Anmeldung endet. Wenn der Countdown läuft, speichern Sie zuerst Ihre Arbeit.

In der Mobile App sehen Sie den Anmeldebildschirm und melden sich erneut an. Alarm-Benachrichtigungen kommen in der Zwischenzeit weiter an.

Wenn Ihre Organisation ihre Regeln ändert

Eine Organisation kann ihre Regeln jederzeit ändern, und bereits laufende Anmeldungen folgen den neuen Regeln. Werden die Regeln strenger, endet eine Anmeldung, die jetzt zu alt ist, kurze Zeit nach der Änderung. Offene Browser-Tabs zeigen vorher eine Warnung. Siehe Wenn Sie die Regeln ändern.

Ihre Sitzungen

Jeder Browser und jede App, von denen aus Sie sich anmelden, hat eine eigene Sitzung, und Sie behalten die Kontrolle über alle.

Ihre Sitzungen ansehen — Die Sitzungsliste im Reiter Sicherheit Ihres Profils zeigt jede Anmeldung (Browser oder App), wann sie zuletzt aktiv war und wann sie endet.
Aus der Ferne abmelden — Sie können jede andere Sitzung abmelden oder alle anderen Sitzungen auf einmal. Wenn Sie alle anderen Sitzungen abmelden, wird auch die Mobile App abgemeldet. Eine abgemeldete Sitzung funktioniert sofort nicht mehr.
Self-Service-Identität — Ändern Sie Ihr Passwort, Ihren Benutzernamen oder Ihre E-Mail-Adresse über Ihr Profil. Das Ändern Ihres Passworts meldet Ihre anderen Sitzungen ab; das Ändern Ihrer E-Mail-Adresse hält die alte Adresse aktiv, bis die neue verifiziert ist.

Die Schritte stehen in der Anleitung Ihre Sitzungen verwalten.

Wo ein zweiter Faktor verlangt wird

2FA ist in den meisten Bereichen von Mirox Ihre eigene Entscheidung. An zwei Stellen ist ein zweiter Faktor (Authenticator-App oder Passkey) eine Bedingung:

Der Geräte-Proxy, immer. Um ein Anlagengerät über den Proxy im Browser zu öffnen, brauchen Sie 2FA auf Ihrem Konto und eine laufende Anmeldung. Wenn Sie sich abmelden oder Ihre Sitzung endet oder an anderer Stelle abgemeldet wird, endet damit auch der Proxy-Zugriff.
Anlagen einer Organisation, die 2FA verlangt. Eine Organisation kann für den Zugriff auf ihre Anlagen einen zweiten Faktor verlangen. Ohne ihn sehen Sie diese Anlagen nicht. Sie bleiben angemeldet, und ein Hinweis in der Kopfzeile fordert Sie auf, 2FA zu aktivieren. Sobald Sie 2FA aktivieren, sind die Anlagen wieder da. Das gilt für Sie auch auf den Anlagen eines Kooperationspartners, der 2FA verlangt. Siehe 2FA verlangen.

API-Tokens

Für Integrationen und Skripte, die ohne Browser mit Mirox kommunizieren, erstellen Sie API-Tokens — langlebige Anmeldedaten, die auf eine Berechtigungsgruppe statt auf Ihr vollständiges Konto gescopt sind.

Gescopter Zugriff — Jedes Token ist an eine Berechtigungsgruppe gebunden, sodass es nur das tun kann, was diese Gruppe erlaubt, niemals mehr als Ihr eigener Zugriff.
Rotation — Rotieren Sie ein Token, um ein neues Geheimnis auszustellen und das alte sofort außer Betrieb zu nehmen, ohne die Integration löschen und neu erstellen zu müssen.
Sichtbarkeit — Listen Sie Ihre Tokens auf, um deren Berechtigungsgruppe, Erstellungs- und Ablaufdaten sowie deren letzten Verwendungsort zu sehen.
Nicht Teil der Anmelderegeln — Ein Token ist für die Automatisierung gemacht. Es wird nie nach einem zweiten Faktor gefragt, und die Regeln zur Anmeldedauer beenden es nicht. Es funktioniert, bis es abläuft oder Sie es widerrufen.

Um ein Token zu erstellen oder zu rotieren, müssen Sie selbst angemeldet sein — ein Token kann niemals verwendet werden, um ein anderes Token zu erstellen oder zu rotieren. Eine weitere Regel: Solange Ihre eigene Organisation 2FA verlangt, können Sie nur dann ein neues Token erstellen, wenn Ihr Konto einen zweiten Faktor hat. Siehe API-Tokens für die verfügbaren Berechtigungsgruppen, Limits und Nutzungsdetails.

Was die Anmelderegeln nicht betreffen

API-Tokens funktionieren weiter, wie oben beschrieben.
Alarm-Benachrichtigungen werden immer zugestellt, per E-Mail, Push, Telegram und Webhook. Das gilt auch für Anlagen, die für Sie ausgeblendet sind, weil ihre Organisation 2FA verlangt.
VPN-Verbindungen beruhen auf Ihrem VPN-Zertifikat. Sie hängen weder von einer Anmeldung noch von 2FA ab. Bewahren Sie das Zertifikat sicher auf.

Die vollständige Liste steht auf der Seite Sicherheitsrichtlinie der Organisation.

Ratenbegrenzung

Um die Plattform stabil zu halten und Konten vor Brute-Force-Versuchen zu schützen, sind die Anmeldung und andere sensible Aktionen (Registrierung, Zugriffsanfragen, Zurücksetzen des Passworts) pro Benutzer und pro Netzwerkadresse ratenbegrenzt.

Warnung

Wenn Sie das Limit überschreiten, werden weitere Anfragen für kurze Zeit abgewiesen. Bauen Sie in jede automatisierte Integration eine wachsende Wartezeit zwischen Wiederholungen ein, damit eine Flut von Anfragen sie nicht aussperrt.

Wiederholt falsche Passwörter oder falsche 2FA-Codes bei einem einzelnen Konto werden gesondert behandelt — unter Konto vorübergehend gesperrt finden Sie, wie lange diese Pause dauert und wie Sie wieder hineinkommen.

Administrativer Zugriff

In seltenen Support-Situationen kann ein Mirox-Plattformadministrator vorübergehend auf Ihr Konto zugreifen, um ein Problem in Ihrem Namen zu untersuchen.

Dies erfordert einen protokollierten Grund und wird in einem eigenen Audit-Trail festgehalten.
Auf diese Weise kann nur auf Standard-Benutzerkonten zugegriffen werden — Administratoren können dies nicht untereinander tun.
Der Zugriff ist kurzlebig und endet automatisch; solange er aktiv ist, macht ein Banner den Zugriff sichtbar.

Zusammenspiel mit dem Berechtigungssystem

Die Authentifizierung beantwortet die Frage, wer Sie sind; das Berechtigungssystem beantwortet, was Sie erreichen können. Beide arbeiten bei jeder Anfrage zusammen:

Die Authentifizierung ermittelt Ihre Identität aus Ihrer Sitzung oder Ihrem API-Token.
Das Berechtigungssystem wertet aus, was diese Identität tun darf.
Jede Operation wird vor ihrer Ausführung gegen Ihre Berechtigungen geprüft.

Diese Trennung hält die Zugriffskontrolle flexibel, ohne die Garantie zu schwächen, dass Sie immer nur Ihre eigenen Ressourcen sehen.