Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung (2FA, im Dashboard Zwei-Faktor-Authentifizierung) ergänzt die Anmeldung im Dashboard um einen zweiten Schritt. Frontmail unterstützt TOTP-Authenticator-Apps (1Password, Google Authenticator, Microsoft Authenticator, Authy, Aegis, …) mit Backup-Codes.

Aktivieren

Bestätigen Sie zuerst Ihre E-Mail-Adresse – die Zwei-Faktor-Authentifizierung lässt sich nur für eine bestätigte Adresse aktivieren (damit niemand den Inhaber eines Postfachs aus einem Konto aussperren kann, das mit dessen E-Mail-Adresse registriert wurde). Öffnen Sie dann Einstellungen → Sicherheit (Anmeldung & Sicherheit) und klicken Sie neben Zwei-Faktor-Authentifizierung auf Aktivieren.
Bestätigen Sie mit Ihrem Passwort.
Scannen Sie den QR-Code mit Ihrer Authenticator-App (oder geben Sie den darunter angezeigten Schlüssel manuell ein).
Geben Sie den 6-stelligen Code ein, den die App anzeigt.
Sichern Sie die 10 Backup-Codes und bestätigen Sie mit Ich habe sie gesichert – mit jedem Code können Sie sich einmal anmelden, falls Sie Ihr Telefon verlieren. Sie sehen sie nicht noch einmal.

Sie erhalten eine E-Mail, sobald die Zwei-Faktor-Authentifizierung aktiviert oder deaktiviert wird. Neue Backup-Codes ersetzt alle Ihre Backup-Codes; Deaktivieren schaltet die Zwei-Faktor-Authentifizierung ab (beides fragt nach Ihrem Passwort).

Anmelden

Geben Sie nach E-Mail-Adresse und Passwort den aktuellen Code aus Ihrer App ein – oder wählen Sie Stattdessen einen Backup-Code verwenden. Setzen Sie ein Häkchen bei Diesem Gerät 30 Tage vertrauen, um den Code in diesem Browser zu überspringen.

Der Code wird bei jeder Anmeldemethode abgefragt: E-Mail und Passwort, per E-Mail gesendeter Anmeldelink (Magic Link) sowie Google / GitHub. Nach dem Link bzw. dem Anbieter zeigt das Dashboard den Schritt der Zwei-Faktor-Authentifizierung, bevor Sie angemeldet sind. Ein vertrauenswürdiges Gerät überspringt ihn bei allen Methoden.

Anmeldelinks auf einem anderen Gerät

Ein per E-Mail gesendeter Anmeldelink funktioniert sofort in dem Browser, in dem Sie ihn angefordert haben. In einem anderen Browser oder auf einem anderen Gerät geöffnet, zeigt er zuerst Anmeldung fortsetzen? mit der E-Mail-Adresse des Kontos – fahren Sie nur fort, wenn Sie den Link gerade selbst angefordert haben. Ebenso bestätigt ein anderswo geöffneter Link zur Bestätigung der E-Mail-Adresse zwar die Adresse, meldet diesen Browser aber nicht an. So kann ein von jemand anderem gesendeter Link Sie nicht unbemerkt bei dessen Konto anmelden.

Gerät verloren?

Melden Sie sich mit einem Ihrer Backup-Codes an, deaktivieren Sie dann die Zwei-Faktor-Authentifizierung und aktivieren Sie sie erneut, um das neue Gerät einzurichten – dabei erhalten Sie auch neue Backup-Codes. Haben Sie keine Backup-Codes, kontaktieren Sie den Support von der E-Mail-Adresse des Kontos aus; zu Ihrer Sicherheit erfordert die Wiederherstellung eines Kontos eine Identitätsprüfung und braucht Zeit.

Anmelde-E-Mail-Adresse ändern

Einstellungen → Sicherheit → E-Mail-Adresse ändern fragt nach Ihrem aktuellen Passwort (Konten ohne Passwort müssen sich in den letzten 15 Minuten angemeldet haben). Frontmail schreibt dann an Ihre aktuelle Adresse, um die Änderung zu genehmigen; erst danach erhält die neue Adresse ihren Bestätigungslink. Die alte Adresse bekommt außerdem eine Benachrichtigung, sobald die Änderung abgeschlossen ist. Eine gestohlene Sitzung allein kann das Konto daher nicht in ein anderes Postfach umziehen.

Superadmins

Konten von Frontmail-Mitarbeitern mit Superadmin-Zugriff müssen die Zwei-Faktor-Authentifizierung aktiviert haben und sich innerhalb der letzten Stunde angemeldet haben, um die Admin-Tools zu nutzen.

Sitzungen

Einstellungen → Sitzungen (Aktive Sitzungen) listet jedes Gerät auf, auf dem Sie angemeldet sind, mit Browser, IP-Adresse und Anmeldezeit. Mit Abmelden beenden Sie einzelne Sitzungen, mit Überall sonst abmelden alle anderen. Außerdem erhalten Sie eine E-Mail, wenn sich jemand von einem neuen Gerät anmeldet.

2FA gilt für den Zugang zum Dashboard. API-Schlüssel sind davon nicht betroffen – schützen Sie sie wie unter Öffentliche und private Schlüssel beschrieben.