Guten Morgen @Herr Bates ,

soweit ich weiß und es das Helpcenter auch bestätigt, gibt es keine Einschränkungen:

https://support.personio.de/hc/de/articles/207787815-Aktivierung-der-Zwei-Faktor-Authentifizierung-f%C3%BCr-bestimmte-Mitarbeiterrollen

Hattest Du es dort versucht?

Beste Grüße

Dash

Moin Dash,

ja, vielen Dank. So haben wir das eingestellt. Das geht, für “bestimmte” Mitarbeiterrollen, aber ich finde keinen Weg, es für ALLE Mitarbeiter einzustellen. Es gäbe nur den Umweg allen Mitarbeitern eine Sonderrolle zuzuweisen, aber das kann ja nicht die Lösung sein.

Grüße

Stimmt, Du hast Recht. Habe es eben versucht, der Reiter “Sicherheit” ist leer. Und dann dachte ich mir, dupliziere ich die Rolle mal:

und gucke was dann passiert, das geht aber gar nicht, da kam dann ein Fehler:

Interessant, schauen wir mal, was der Support sagt, wirkt wie ein Fehler, oder @Lena ?

Beste Grüße

Dash

Hallo @Herr Bates,

das ist korrekt, bei der Mitarbeiterrolle Alle Mitarbeiter ist es nicht möglich die Zwei-Faktor-Authentifizierung einzurichten. Da es sich bei dieser Rolle um eine Art "Generalrolle" handelt, die allen Mitarbeitern unwiderruflich zugewiesen wird, wurde bei deren Einrichtung entschieden, die Zwei-Faktor-Authentifizierung nicht anzubieten. Hintergrund war, mögliche Probleme beim initialen Login eines neuen Mitarbeiters zu vermeiden. Wir empfehlen daher eine weitere Rolle für alle Mitarbeiter anzulegen. Damit die Zuweisung dieser Rolle bei Neueintritt von Mitarbeitern nicht übersehen wird, würde ich Dir empfehlen, diese als Onboarding-Schritt mit aufzunehmen. 

Viele Grüße,
Karo

Dieses Thema haben wir bei uns dadurch gelöst, dass wir für die 2-Faktor-Authentifizierung eine neue Rolle mit Namen “Zwei-Faktor-Authent” angelegt haben, die keine weiteren Rechte besitzt, aber diese Art der Anmeldung erfordert. Dann haben wir alle Mitarbeiter in diese Rolle mit aufgenommen und schon kann sich jeder so anmelden, bzw. diejenigen für die wir das nicht benötigen kann ich aus der Rolle heraus nehmen. Beim Onboarding wird jedem neuen Mitarbeiter diese Rolle zugewiesen. 

Ach übrigens, der Microsoft - Authentikator unterstützt den generierten 2D-Code ebenso. Man muss also nicht unbedingt den Google-Authentikator verwenden wenn man den anderen schon am Handy hat.

Empfehlung!: Alle Authentikator-Zugänge auch auf einem zweiten Gerät zu aktivieren (z.B. Smartphone/Tablett) sollte das erste Gerät irreparabel beschädigt werden oder verloren gehen, ist der Aufwand enorm die Zugangsdaten wieder herzustellen, wenn ein zweites Gerät nicht angemeldet ist.  

Hallo @rostertag,

vielen Dank für deine Best Practices zu diesem Thema!

Viele Grüße,
Karo