Lokale Authentifizierung

Lokale Authentifizierung

Auf dem Bildschirm „Lokale Authentifizierung" legt Ihre Organisation fest, wie Benutzer sich mit Benutzername und Passwort bei DPMS anmelden, ob bei jeder Anmeldung ein zweiter Faktor erforderlich ist und welche Regeln für die Stärke und Gültigkeit dieser Passwörter gelten. IT-Administratoren und Datenschutzbeauftragte (DSB) rufen diesen Bereich auf, wenn DPMS erstmalig eingerichtet wird, nach einem Audit strengere Sicherheitsvorgaben gelten oder eine Migration zu Single Sign-On (SSO) vorbereitet wird. Da eine einzige Einstellung hier – die Durchsetzung der Zwei-Faktor-Authentifizierung – die nächste Anmeldung jedes Benutzers in der gesamten Plattform betrifft, gehört dieser Bildschirm zu den folgenreichsten Konfigurationsstellen in DPMS.

So öffnen Sie den Bildschirm

Klicken Sie in der linken Seitenleiste auf IT-Einstellungen. Erweitern Sie den Bereich Identitäts- und Zugriffsverwaltung und wählen Sie Lokale Authentifizierung aus. Die direkte URL lautet /it/settings/iam/local.

Sie benötigen die Berechtigung IT-Einstellungen – IAM, um auf diesen Bereich zugreifen zu können. Ohne diese Berechtigung zeigt DPMS eine Standard-Fehlermeldung an, und der Menüpunkt ist in der Seitenleiste möglicherweise gar nicht sichtbar.

Aufbau des Bildschirms

Am oberen Rand der Seite befindet sich eine Breadcrumb-Navigation: IT-Einstellungen → Identitäts- und Zugriffsverwaltung → Lokale Authentifizierung. Die ersten beiden Segmente sind anklickbare Links; das letzte Segment ist blau hervorgehoben und zeigt Ihren aktuellen Standort an. Links und rechts neben dem Segment „Identitäts- und Zugriffsverwaltung" befinden sich zwei kleine Pfeil-Schaltflächen — ein linkes und ein rechtes Chevron. Mit diesen können Sie zwischen den IAM-Unterbereichen (z. B. SAML oder OAuth) wechseln, ohne zum übergeordneten Menü zurückzukehren. Das ist praktisch, wenn Sie mehrere IAM-Konfigurationen nacheinander prüfen möchten.

Unterhalb der Breadcrumb-Navigation befindet sich die Hauptinhaltskarte. Als Titel steht dort Lokale Authentifizierung, und oben rechts finden Sie die Schaltfläche Bearbeiten. Der Rest der Karte zeigt Ihre aktuelle Konfiguration als schreibgeschützte Liste an. Boolesche Einstellungen (z. B. ob Großbuchstaben erforderlich sind) erscheinen entweder als grüner Punkt mit dem Wort Aktiviert oder als der schlichte Text Deaktiviert. Numerische Einstellungen (z. B. die Mindestlänge des Passworts) werden als Zahl gefolgt von einer Einheit angezeigt — etwa „8 Zeichen" oder „30 Minuten".

Die Zeilen sind logisch gruppiert: Die ersten beiden betreffen die Anmeldemethode und die 2FA-Durchsetzung. Eine Überschrift „Passwortanforderungen" leitet die restlichen Zeilen ein, in denen die einzelnen Komplexitätsregeln, die Mindest- und Höchstlänge sowie der Reset-Timer aufgeführt sind.

Arbeiten mit diesem Bildschirm

Lokale Anmeldung einrichten und Zwei-Faktor-Authentifizierung erstmalig aktivieren

Stellen Sie sich vor, Sie sind IT-Administrator in einem Unternehmen, das DPMS gerade in Betrieb nimmt. Benutzer sollen sich mit Benutzername und Passwort anmelden können, während SSO noch eingerichtet wird. Gleichzeitig soll die Zwei-Faktor-Authentifizierung von Anfang an aktiv sein.

• In der schreibgeschützten Ansicht sehen Sie, dass sowohl Lokale Benutzer als auch Zwei-Faktor-Authentifizierung erzwingen den Status Deaktiviert haben. Klicken Sie auf Bearbeiten, um das Formular zu öffnen.
• Klicken Sie auf den Schalter Lokale Anmeldung. Er wird blau und zeigt Aktiviert an — damit ist die passwortbasierte Anmeldung für alle Benutzer eingeschaltet.
• Klicken Sie auf den Schalter Zwei-Faktor-Authentifizierung erzwingen. Auch er wird blau. Wichtig: Dieser Schalter ist nur dann interaktiv, wenn Sie als Administrator der Hauptgesellschaft (Standard-Unternehmen) angemeldet sind. In Untergesellschaften oder Arbeitsbereichen erscheint der Schalter ausgegraut. Die Änderung muss dann in den IT-Einstellungen der übergeordneten Organisation vorgenommen werden.
• Lassen Sie die Passwortanforderungen vorerst auf den Standardwerten und klicken Sie auf Speichern.

DPMS übernimmt die Änderung sofort. Ab jetzt wird jeder Benutzer bei der Anmeldung aufgefordert, zusätzlich zu seinem Passwort einen Einmalcode aus einer Authentifizierungs-App einzugeben. Bereits eingeloggte Benutzer erhalten diese Aufforderung erst bei ihrer nächsten Anmeldung.

Passwortrichtlinie nach einem Audit verschärfen

Nach einem internen Sicherheitsaudit verlangt das Compliance-Team, dass alle Passwörter mindestens zehn Zeichen lang sein müssen und mindestens einen Großbuchstaben, eine Ziffer sowie eines aus einem eingeschränkten Satz von Sonderzeichen (!@#$) enthalten. Die maximale Länge soll 40 Zeichen betragen.

• Prüfen Sie in der schreibgeschützten Ansicht die aktuellen Werte in den Passwortanforderungen-Zeilen. Klicken Sie dann auf Bearbeiten.
• Aktivieren Sie im Abschnitt „Passwortanforderungen" den Schalter Großbuchstaben und anschließend den Schalter Mindestens eine Ziffer.
• Aktivieren Sie den Schalter Sonderzeichen. Sobald Sie diesen einschalten, erscheint direkt darunter ein Texteingabefeld. Geben Sie die erlaubten Zeichen ein — in diesem Fall !@#$. Wenn Sie aus Versehen ein Zeichen doppelt eingeben (z. B. !!), entfernt DPMS das Duplikat automatisch, sodass nur eine Instanz gespeichert wird.
• Scrollen Sie zum Feld Mindestlänge. Ändern Sie den Wert auf 10. Ändern Sie Maximale Länge auf 40.
• Klicken Sie auf Speichern. DPMS prüft serverseitig, ob die Mindestlänge nicht größer als die maximale Länge ist. Bei gültigen Werten erscheint eine Erfolgsmeldung, und die schreibgeschützte Ansicht zeigt alle fünf aktualisierten Zeilen.

Von nun an müssen alle Benutzer, die ein Passwort in DPMS festlegen oder ändern — unabhängig davon, über welchen Bildschirm das geschieht —, sämtliche dieser Regeln erfüllen.

Achtung: Das Formular gibt im Browser keine Warnung aus, wenn die Mindestlänge größer als die maximale Länge ist. Wenn Sie beispielsweise Minimum 20 und Maximum 10 eingeben, lehnt der Server die Speicherung ab und zeigt eine Fehlermeldung an. Prüfen Sie daher stets, dass Minimum ≤ Maximum gilt, bevor Sie auf Speichern klicken.

Ablaufzeit für Passwort-Reset-Links verkürzen

Ihr DSB hat die Sicherheitsrichtlinie überprüft und entschieden, dass Reset-Links mit einer Gültigkeitsdauer von 60 Minuten zu lang sind. Die neue Richtlinie sieht 15 Minuten vor.

• Klicken Sie auf Bearbeiten in der Karte „Lokale Authentifizierung".
• Scrollen Sie zum Feld Reset-Timer am unteren Ende des Passwortanforderungen-Abschnitts. Der aktuelle Wert ist 60.
• Löschen Sie den Wert und geben Sie 15 ein. Werte zwischen 5 und 60 Minuten sind zulässig.
• Klicken Sie auf Speichern.

Die schreibgeschützte Ansicht zeigt nun „15 Minuten" in der Zeile „Reset-Timer". Alle Passwort-Reset-E-Mails, die ab sofort verschickt werden, enthalten Links, die nach 15 Minuten ablaufen. Dies gilt für alle lokalen Benutzerkonten in der gesamten Plattform — es gibt keine andere Stelle in DPMS, an der diese Einstellung vorgenommen werden kann.

Lokale Anmeldung nach SSO-Migration deaktivieren

Ihr Unternehmen hat vollständig auf einen SAML-Identitätsanbieter umgestellt und möchte nicht mehr, dass sich Benutzer mit Benutzername und Passwort anmelden können.

• Vergewissern Sie sich, dass Ihre SAML- oder OAuth-Konfiguration in den benachbarten IAM-Unterbereichen vollständig funktionsfähig und getestet ist. Mit den Chevron-Pfeilen in der Breadcrumb-Navigation können Sie zu diesen Bildschirmen wechseln, ohne den IAM-Bereich zu verlassen.
• Kehren Sie zu „Lokale Authentifizierung" zurück und klicken Sie auf Bearbeiten.
• Klicken Sie auf den Schalter Lokale Anmeldung, um ihn zu deaktivieren. Er wird grau.
• Klicken Sie auf Speichern.

Ab diesem Moment akzeptiert die DPMS-Anmeldeseite für keinen Benutzer mehr lokale Zugangsdaten. Wer sich mit Benutzername und Passwort anmelden möchte, wird abgewiesen und muss den SSO-Weg nutzen.

Achtung: DPMS zeigt keine Warnung an, wenn Sie „Lokale Benutzer" deaktivieren, ohne dass ein funktionierender Identitätsanbieter konfiguriert ist. Wenn Sie diese Einstellung deaktivieren, ohne dass SAML oder OAuth eingerichtet ist, sind alle Benutzer — einschließlich Ihnen selbst — von der Plattform ausgesperrt. Überprüfen Sie Ihre SSO-Konfiguration stets, bevor Sie diese Änderung speichern.

Feldbeschreibungen

Lokale Anmeldung — Bestimmt, ob Benutzer sich mit einem in DPMS gespeicherten Benutzernamen und Passwort anmelden können. Deaktivieren Sie diese Option nur dann, wenn ein alternativer Identitätsanbieter (SAML oder OAuth) vollständig konfiguriert und getestet ist.

Zwei-Faktor-Authentifizierung erzwingen — Wenn aktiviert, muss jeder Benutzer bei jeder Anmeldung einen Einmalcode eingeben. Diese Option kann nur in den IT-Einstellungen des Haupt-Unternehmens (Standard-Unternehmen) geändert werden. Die Änderung gilt ab der nächsten Anmeldung, nicht rückwirkend für aktive Sitzungen.

Großbuchstaben — Verlangt mindestens einen Großbuchstaben (A–Z) in jedem Passwort. Standardmäßig deaktiviert.

Kleinbuchstaben — Verlangt mindestens einen Kleinbuchstaben (a–z) in jedem Passwort. Standardmäßig deaktiviert.

Mindestens eine Ziffer — Verlangt mindestens eine numerische Ziffer (0–9) in jedem Passwort. Standardmäßig deaktiviert.

Sonderzeichen — Verlangt mindestens ein Sonderzeichen in jedem Passwort. Wenn Sie diesen Schalter aktivieren, erscheint ein Texteingabefeld, in dem Sie die erlaubten Sonderzeichen eingeben müssen (z. B. !@#$%^&*). Das Feld akzeptiert zwischen 1 und 255 Zeichen und entfernt Duplikate automatisch während der Eingabe. Das Feld ist Pflicht, wenn der Schalter aktiv ist — Sie können nicht speichern, wenn der Schalter an und das Feld leer ist. Wenn noch kein benutzerdefinierter Wert gespeichert wurde, füllt DPMS das Feld mit einer vordefinierten Standardmenge gängiger Sonderzeichen.

Mindestlänge — Die kürzeste Passwortlänge, die DPMS akzeptiert, in Zeichen. Muss zwischen 4 und 50 liegen. Die Überprüfung, ob der Mindestwert nicht größer als der Maximalwert ist, erfolgt serverseitig, nicht im Browser. Der Plattformstandard ist 8 Zeichen, wenn noch kein Wert gespeichert wurde.

Maximale Länge — Die längste Passwortlänge, die DPMS akzeptiert, in Zeichen. Muss zwischen 5 und 50 liegen. Der Plattformstandard ist ein sinnvoller Höchstwert, wenn noch kein Wert gespeichert wurde.

Reset-Timer — Gibt an, wie viele Minuten ein per E-Mail versendeter Passwort-Reset-Link gültig bleibt. Muss zwischen 5 und 60 liegen. Der Plattformstandard beträgt in der Regel 30 Minuten. Ein niedrigerer Wert verringert das Zeitfenster, in dem ein abgefangener Reset-Link missbraucht werden könnte.

Einbindung in den Rest von DPMS

Die Lokale Authentifizierung ist ein Unterbereich der Identitäts- und Zugriffsverwaltung in den IT-Einstellungen. Der IAM-Bereich definiert als Ganzes die Authentifizierungsstrategie Ihrer Organisation. SAML- und OAuth-Konfigurationsbildschirme befinden sich direkt neben der Lokalen Authentifizierung. Mit den Chevron-Pfeilen in der Breadcrumb-Navigation können Sie bequem zwischen diesen Unterbereichen wechseln.

Die hier gespeicherte Einstellung zur Zwei-Faktor-Authentifizierung gilt plattformweit und wird sofort nach dem Speichern wirksam. Alle Teile von DPMS, die entscheiden, ob Benutzer nach einem zweiten Faktor gefragt werden, lesen aus dieser Konfiguration. Ebenso werden sämtliche Passwort-Komplexitätsregeln, die Sie hier festlegen, überall in DPMS durchgesetzt — wann immer ein lokaler Benutzer sein Passwort setzt oder ändert.

Prüfen Sie nach dem Abschluss der Konfiguration die benachbarten SAML- und OAuth-Bildschirme, wenn Ihre Organisation Verbundidentität verwendet, um sicherzustellen, dass Ihre Authentifizierungsstrategie vollständig und konsistent ist. Wenn Sie 2FA zum ersten Mal aktiviert haben, informieren Sie Ihre Benutzer rechtzeitig, damit sie vor ihrer nächsten Anmeldung eine Authentifizierungs-App einrichten können.

Tipps und häufige Stolperfallen

Achtung: Wenn Sie „Lokale Benutzer" deaktivieren, ohne dass SAML oder OAuth funktionsfähig konfiguriert ist, sperren Sie alle Benutzer — einschließlich sich selbst — aus DPMS aus. Es erscheint keine Warnmeldung. Überprüfen Sie Ihre SSO-Konfiguration immer, bevor Sie diese Änderung speichern.

Tipp: Der Schalter „Zwei-Faktor-Authentifizierung erzwingen" ist in Untergesellschaften und Arbeitsbereichen ausgegraut und kann nicht betätigt werden. Er lässt sich ausschließlich in den IT-Einstellungen der übergeordneten (Standard-)Organisation ändern. Wenn Sie diesen Schalter nicht bedienen können, wenden Sie sich an den Administrator der Hauptorganisation.

• Das Feld „Sonderzeichen" ist Pflicht, wenn der Schalter aktiviert ist. Wenn Sie den Schalter einschalten, das Textfeld aber leer lassen und auf Speichern klicken, wird das Formular nicht abgeschickt. Geben Sie mindestens ein erlaubtes Zeichen ein oder deaktivieren Sie den Schalter wieder.
• Doppelt eingegebene Zeichen werden im Sonderzeichen-Feld stillschweigend entfernt. Wenn Sie einen Text einfügen, der wiederholte Zeichen enthält (z. B. !!@#), behält DPMS nur eine Instanz jedes Zeichens. Der gespeicherte Wert wäre dann !@#. Dieses Verhalten ist beabsichtigt, kann aber überraschen.
• Der Browser warnt nicht, wenn die Mindestlänge größer als die maximale Länge ist. Sie können Minimum 30 und Maximum 10 eingeben und auf Speichern klicken, ohne sofortige Rückmeldung. Der Server erkennt den Fehler und zeigt eine Meldung an, aber es gibt keinen Hinweis vor dem Senden.
• 2FA gilt erst ab der nächsten Anmeldung, nicht sofort. Bereits angemeldete Benutzer werden nicht unterbrochen. Die 2FA-Aufforderung erscheint erst beim nächsten Login.
• Es gibt keine Warnung bei nicht gespeicherten Änderungen. Wenn Sie über den Zurück-Pfeil oder die Navigation das Bearbeitungsformular verlassen, ohne zu speichern, gehen alle Ihre Änderungen stillschweigend verloren. Klicken Sie auf Speichern, bevor Sie die Seite verlassen.