Empfehlungen & Hinweise zur Login-Sicherheit

INHALTSVERZEICHNIS

• Gut zu wissen
• Nutzerrechte: So wenig Rechte wie nötig
• Nutzerverwaltung: regelmäßig überprüfen
• Logins absichern: Starkes Passwort + Zwei-Faktor-Authentifizierung
• Teilen Sie keine Passwörter = jede Person erhält einen eigenen Login

In diesem Artikel erhalten Sie unsere Empfehlungen und Hinweise rund um Ihre Login- und Account-Sicherheit.

Gut zu wissen

• Wir raten dazu, diese Empfehlungen bei Erst-Einreichung und regelmäßig prüfend umzusetzen

Nutzerrechte: So wenig Rechte wie nötig

1. Klicken Sie auf Account  und wählen Nutzerverwaltung aus.
2. Rufen Sie einen Login auf und prüfen Sie, ob die vergebenen Nutzerrechte dem "least privilege" Konzept entsprechen: So wenig Rechte wie möglich zu vergeben (die für die Arbeit benötigt werden) mit dem Ziel: Im Schadensfall die Daten zu minimieren, die betroffen wären.
   
3. Speichern Sie, falls Änderungen vorgenommen wurden.
4. Wiederholen Sie diesen Schritt für die weiteren Logins.

Nutzerverwaltung: regelmäßig überprüfen

1. Prüfen Sie in der Nutzerverwaltung regelmäßig, ob alle aktiven Logins noch benötigt werden.
   
2. Falls nicht: Archivieren/löschen Sie diejenigen Nutzer, die nicht mehr benötigt werden, um auch hier, Angriffsflächen zu minimieren: Login deaktivieren, archivieren oder löschen

Logins absichern: Starkes Passwort + Zwei-Faktor-Authentifizierung

1. Starkes Passwort: Wählen Sie, idealerweise haben Sie interne Passwort-Vorgaben dafür, ein starkes Passwort für Ihren FundraisingBox Login
   • Sie können auch beispielsweise ein Passwort mit einer gewissen Zeichenlänge zufällig erstellen lassen (wie z.B. über diese Seite der TU Braunschweig) und dies in Ihrem Passwort-Manager (sofern genutzt) sicher verwalten
2. Zwei-Faktor-Authentifizierung (2FA): Sichern Sie Ihren Login (bestehend aus Nutzername und Passwort) durch einen weiteren Faktor ab
   • Entweder durch einen USB Stick: Yubico: Überblick und YubiKey mit der FundraisingBox verknüpfen
   • oder durch eine App, wie z.B.: Google Authenticator mit der FundraisingBox verknüpfen (es gehen auch andere Apps)

Teilen Sie keine Passwörter = jede Person erhält einen eigenen Login

Um Nutzerrechte personalisiert einstellen zu können und auch im Audit-Log Aktivitäten sinnvoll nachvollziehen zu können (und da Passwörter generell nie geteilt werden sollten) sollte jede Person einen eigenen Login erhalten - Sie können unbegrenzt viele Logins anlegen.