Veränderungen am Login bei mittwald

Bei einer Zwei-Faktor-Authentifizierung gibt es einen zusätzlichen Schritt beim Login: Man muss nicht nur nachweisen, dass man etwas weiß (Passwort), sondern auch etwas besitzt (Handy mit Code-Generator). 

Ein Login ist nur möglich, wenn beide Faktoren (Wissen + Besitz) vorhanden sind. 

Dadurch werden Logins mit nur einem Faktor verhindert. Es reicht nicht aus, ein Passwort zu erraten. Man muss außerdem das Handy mit Code-Generator besitzen. 

Dadurch werden bspw. Phishing-Angriffe deutlich erschwert. 

Das liest du hier.

Für die Generierung der Codes benötigst du eine App, die das TOTP-Verfahren unterstützt. Es gibt eine Vielzahl an Apps dafür – darunter befinden sich auch Open-Source-Apps. Beispielsweise kannst du folgende Apps nutzen:

Android

• 2FA Authenticator (2FAS) (Open Source)
• Google Authenticator
• Microsoft Authenticator

Apple

• Apple Schlüsselbund
• 2FA Authenticator (2FAS) (Open Source)
• Google Authenticator

Systemübergreifend 

Viele Passwortmanager unterstützen die Generierung von TOTP-Codes. Wenn du deinen Passwortmanager sicher und selbst bei mittwald hosten möchtest, haben wir hier eine Anleitung für dich.  
Möchtest du das nicht, so haben wir bspw. mit Bitwarden gute Erfahrungen gemacht. 

Hast du die Zwei-Faktor-Authentifizierung aktiviert, ist die Code-Eingabe bei jedem Login notwendig. Das bietet die größte Sicherheit. 

Zwei-Faktor-Authentifizierung per TOTP lässt sich nur durch Mitwirkung unserer Kund*innen einrichten. Das stellt sich für einige als Hürde dar, weshalb wir es nicht verpflichtend einsetzen. 

Die Zwei-Faktor-Authentifizierung ist grundsätzlich als sicherer einzustufen. 

Grund: Der E-Mail-Code wird unverschlüsselt per E-Mail übertragen. Die E-Mails lassen sich leider nicht verschlüsseln, da dies vom Empfänger unterstützt werden muss. Das können wir nicht voraussetzen. 

Der E-Mail-Code muss nur einmalig eingegeben werden. Das Gerät wird damit eindeutig per Cookie markiert. Der Zwei-Faktor-Code hingegen muss bei jedem Login eingegeben werden. 

Wir empfehlen dir dringend, dein Passwort zu ändern. 

In diesem Fall liegen einem Unbekannten deine Zugangsdaten vor. Möglicherweise bist du Opfer eines Phishing-Angriffs geworden oder ein*e ehemalige*r Mitarbeiter*in kennt deine Zugangsdaten. 

Zusätzliche Sicherheit gewinnst du, wenn du die Zwei-Faktor-Authentifizierung einrichtest. Wie das geht, liest du hier.

Eine komplette Befreiung von der Code-Eingabe ist nicht vorgesehen. Du kannst dich entscheiden: 

• E-Mail-Code (einmalig pro Gerät) oder 
• Zwei-Faktor-Authentifizierung (bei jedem Login). 

Wenn keine der Alternativen für dich funktioniert, melde dich gerne beim Kundenservice. Dann schaffen wir gemeinsam einen sicheren Login für dich.

Wenn du einen Code per E-Mail erhältst, ist die Eingabe nur beim ersten Login von einem neuen Gerät notwendig. Alle weiteren Logins sind ohne E-Mail-Code möglich. Löschst du die Cookies auf deinem Gerät, ist es erneut notwendig, den E-Mail-Code einzugeben. 

Als neues Gerät bezeichnen wir alle Geräte, die sich in letzter Zeit nicht im Kundencenter eingeloggt haben. 

Das erkennen wir, indem wir im Browser einen eindeutigen Cookie speichern (technisch notwendig). Wenn du deine Cookies löschst oder einen anderen Browser nutzt, musst du den E-Mail-Code beim Login erneut eingeben. 

Das kann verschiedene Gründe haben: 

1. Du hast bereits die Zwei-Faktor-Authentifizierung aktiviert. Dann wirst du beim Login nach einem Code gefragt, den du per App selbst generieren kannst. 
2. Du hast dich mit dem Gerät schon einmal eingeloggt. Der E-Mail-Code muss nur einmal pro Gerät eingegeben werden. 
3. Es gibt ein Problem bei der E-Mail-Zustellung. Bitte wende dich in diesem Fall an unseren Kundenservice. Wir finden gemeinsam eine Lösung. 

• Kundencenter 
• Bestellstrecke auf der Website 
• AV Manager 
• AV-Wizard (wird durch den AV Manager ersetzt) 
• Reseller-SSH/Jump-Server 

Der Login ins mStudio ist von dieser Änderung nicht betroffen. Es handelt sich dabei um ein vollständig getrenntes System. 

In einem Cookie können wir eine winzige Datenmenge auf deinem Gerät ablegen. Darüber können wir später dein Gerät eindeutig identifizieren. Diese Cookies sind technisch notwendig, um sich in unserem Kundencenter einloggen zu können. 

Du kannst die Cookies in deinem Browser jederzeit löschen. Dann ist eine erneute Eingabe des E-Mail-Codes erforderlich. 

Allgemeine Informationen zur Erkennung von Phishing-E-Mails erhältst du auf den Seiten vom BSI zum Thema Phishing. 

Achte bei den E-Mails darauf, dass sie deine korrekten persönlichen Daten enthalten (z. B. Anrede, Kundennummer). Weiterhin versenden wir unsere E-Mails immer mit einer @mittwald.de-E-Mail-Adresse (korrekte Schreibweise beachten). 

Mit Ausnahme des Newsletters sollten in der Nachricht enthaltene Links immer mit https://(www.)mittwald.de/ beginnen. Prüfe das, bevor du die Links anklickst. Im Zweifel melde dich jederzeit bei uns, dann unterstützen wir dich. 

In den letzten Jahren gab es immer wieder erfolgreiche Phishing-Angriffe auf unsere Kund*innen, teilweise auch mit erheblichem Schaden. Dabei haben Kund*innen versehentlich ihre Zugangsdaten an Angreifer*innen weitergegeben. 

Zum Schutz davor haben wir die Zwei-Faktor-Authentifizierung eingeführt. Dabei wird der zum Login benötigte Code in der Regel per App generiert. Das wird bereits gut angenommen. Aktuell wird dieses Feature vor allem von sicherheitsbewussten Kund*innen genutzt. Diese sind vermutlich seltener Opfer von Phishing-Attacken. 

Um auch alle anderen Kund*innen vor solchen Angriffen zu schützen, gibt es ebenso die Eingabe des E-Mail-Codes.

Einen E-Mail-Code musst du beim Login mit deiner Kundennummer (6 Ziffern, z. B. 123456), deiner Server-Nummer (erkennbar am “r” am Anfang, z. B. r12345) oder deinem Webhosting-Paket (p123456) eingeben. 

Der E-Mail-Code muss nur beim ersten Login von einem neuen Gerät eingegeben werden. 

Logins mit einem Projekt auf deinem Server (z. B. p123456 auf r12345), Datenbank-User (z. B. p123456d1), FTP-User (p123456f1) oder E-Mail-Adressen sind nicht von dieser Änderung betroffen. Diese können sich wie gewohnt einloggen. Auch beim Webmailer ist kein Code notwendig.

Die Eingabe ist nur beim ersten Login von einem neuen Gerät notwendig. Löschst du die Cookies auf deinem Gerät, ist es erneut notwendig, den Code einzugeben. 

Hast du die Zwei-Faktor-Authentifizierung aktiviert, ist die Code-Eingabe bei jedem Login notwendig. Das ist die sicherste Variante. Wir empfehlen, diese Einstellung zu aktivieren. Wie das geht, liest du hier. 

Nein, das ist leider nicht möglich. Gerne löschen wir bei Bedarf alle Geräte einer Kundennummer. Melde dich dafür beim Kundenservice.

Nein, SMS ist kein sicheres Kommunikationsmittel und ist darum nicht zum Versand sicherheitsrelevanter Informationen geeignet.

Wir schicken den E-Mail-Code an die E-Mail-Adresse unseres Vertragspartners. Diese E-Mail-Adresse kannst du im Kundencenter im Menü unter Vertragsdaten > Meine Vertragsdaten > Vertragspartner einsehen und ändern.

Vermutlich löscht dein Browser regelmäßig deine Cookies (z. B. beim Schließen des Browsers). Bitte prüfe deine Einstellungen.

Die E-Mail-Codes sind nur für 30 Minuten gültig. Starte einen neuen Login, dann schicken wir dir einen neuen E-Mail-Code zu.

Bitte melde dich in diesem Fall bei unserem Kundenservice. Wir finden eine individuelle Lösung. 
Bitte halte deine 6-stellige Kundennummer bereit. Du findest sie auf unseren Rechnungen. 

Eine akute Gefahr besteht, wenn dein Gerät nicht mit einer Display-Sperre/einem Passwort geschützt ist und der Angreifer auf deine Zugangsdaten zugreifen kann (z.B., weil sie im Browser gespeichert sind). 

Bitte melde dich in diesem Fall bei unserem Kundenservice. Wir können deine Geräte dann löschen.

Wir vergessen dein Gerät spätestens nach einem Jahr. Wenn du schon früher sicherstellen möchtest, dass das Gerät sich nicht mehr einloggen kann, lösche die Cookies für die Domain login.mittwald.de.

Beachte, dass es bei der Nutzung von geteilten oder öffentlichen Geräten generell große Sicherheitsrisiken gibt (z. B. durch Keylogger o.ä.). 

Bitte logge dich nach der Nutzung aus und lösche immer die Cookies auf dem Gerät. So profitierst du vom Schutz durch den E-Mail-Code. 

Besser ist, wenn du die Zwei-Faktor-Authentifizierung aktivierst. Wie das geht, liest du hier.