Konto und Anmeldesicherheit

Unter Verwaltung → Konto (app.xicbot.de/konto) schützen Sie Ihren eigenen Zugang: Sie ändern das Passwort, richten eine zweite Stufe mit Code oder Sicherheitsschlüssel ein, beenden Anmeldungen auf anderen Geräten und sehen die letzten Anmeldeversuche. Die Seite steht jeder Rolle offen und betrifft nur die angemeldete Person, nicht das übrige Team. Wie die Anmeldung selbst abläuft, beschreibt Anmelden und Zugang.

Aufbau der Seite

Die Seite trägt die Überschrift Konto und darunter den Satz „Zweite Stufe, angemeldete Geräte und die letzten Anmeldungen an diesem Konto.“ Es folgen diese Karten in dieser Reihenfolge:

Meldungen der Karten Zweite Stufe, Sicherheitsschlüssel und Angemeldete Geräte erscheinen als Band über der ersten Karte; Passwort ändern zeigt seine Meldungen in der eigenen Karte. Solange Sicherheitsschlüssel, Angemeldete Geräte und Letzte Anmeldungen laden, steht dort „Wird geladen …“, eine leere Liste zeigt „Noch keine Einträge.“ Jede der drei Listen lädt für sich. Scheitert eine, steht in ihrer Karte „Die Liste konnte nicht geladen werden.“ mit dem Grund, etwa „Der Dienst antwortet gerade nicht.“, und dem Knopf Erneut laden; die anderen Karten zeigen ihre Listen trotzdem. Einen neuen Sicherheitsschlüssel anlegen lässt sich erst, wenn die Liste der Schlüssel geladen ist.

Name des Kontos

Die Karte Name des Kontos zeigt den Firmen- oder Projektnamen aus der Registrierung. Er steht im Kontowechsel und in Einladungsmails. Der Inhaber ändert ihn im Feld Firma oder Projekt mit Namen speichern; danach steht „Der Name des Kontos ist gespeichert.“, und Kopfleiste und Kontowechsel zeigen den neuen Namen. Der Name ist Pflicht und hat höchstens 160 Zeichen. Alle anderen Rollen sehen den Namen mit dem Satz „Den Namen des Kontos ändert der Inhaber.“; während einer Betreuung steht dort „Während einer Betreuung lässt sich der Name des Kontos nicht ändern.“ Die Änderung steht im Protokoll mit altem und neuem Namen.

Benachrichtigungen

• Wochenbericht per Mail: Der Inhaber schaltet ihn mit Wochenbericht erhalten an oder ab, wie auf der Seite Auswertung; der Bericht geht an seine bestätigte Adresse. Andere Rollen sehen, ob er bestellt ist. Lässt sich der Stand nicht laden, steht dort „Die Liste konnte nicht geladen werden.“ mit dem Knopf Erneut laden.
• Übergaben an einen Menschen: Die Adresse dafür steht je Assistent im Feld Adresse für die Übergabe; ohne Adresse geht keine Mail hinaus. Die Karte verweist auf Assistenten.
• Sicherheitsmails: Immer an. Wird das Kennwort, die zweite Stufe, ein Sicherheitsschlüssel, die Wiederherstellungscodes oder die Anmeldeadresse geändert, geht eine Mail an Ihre Adresse; abbestellen lässt sie sich nicht.

Passwort ändern

Die Karte erklärt: „Das bisherige Passwort bestätigt, dass Sie es sind. Mit dem Speichern enden alle anderen Sitzungen dieses Kontos, diese hier bleibt angemeldet.“

1. 1

   Schritt 1

   Felder ausfüllen

   Tragen Sie das bisherige Passwort ein und zweimal das neue.

2. 2

   Schritt 2

   Speichern

   Wählen Sie Passwort speichern. Während der Übertragung zeigt der Knopf „Wird gesendet …“. Ist ein Feld leer oder weichen die beiden neuen Passwörter voneinander ab, sendet die Seite nichts und markiert die Felder.

3. 3

   Schritt 3

   Bestätigung

   Die Karte meldet „Das Passwort ist geändert. Alle anderen Sitzungen wurden beendet.“ und leert die drei Felder. Unter Angemeldete Geräte verschwinden die beendeten Anmeldungen ohne neues Laden.

Was beim Speichern passiert

• Das neue Passwort gilt sofort. Alle anderen Anmeldungen Ihres Zugangs enden; angemeldet bleiben dieses Gerät und eine laufende Übernahme durch den Betreiber.
• API-Schlüssel des Kontos sind keine Anmeldungen und bleiben gültig. Sie werden unter API-Schlüssel und Webhooks verwaltet.
• An Ihre E-Mail-Adresse geht die Mail „Ihr Passwort wurde geändert“ in der Sprache Ihres Zugangs, ohne gesetzte Sprache auf Deutsch. Eine Anmeldung über die Anmeldeseite setzt diese Sprache auf die an dem Gerät gewählte; ist dort keine gewählt, bleibt sie. Der Sprachknopf EN/DE der Anwendung stellt sie ebenfalls um, außer während einer Übernahme durch den Betreiber. Sie nennt unter Konto Ihre Adresse und unter Zeitpunkt Datum und Uhrzeit in deutscher Zeit und sagt, ob dabei andere Sitzungen beendet wurden. Läuft gerade eine Übernahme durch den Betreiber, nennt die Mail sie als laufende Betreuung durch den Support und sagt, wie sie endet: mit ihrer Frist oder vorher unter Angemeldete Geräte oder durch Zurücksetzen des Passworts.
• Die Mail warnt: „Waren Sie das nicht? Setzen Sie Ihr Passwort sofort zurück. Damit enden alle Sitzungen des Kontos, auch die, aus der geändert wurde.“ Der Knopf Passwort zurücksetzen führt zur Seite, auf der Sie einen Link für ein neues Passwort anfordern. Waren Sie es selbst, ist nichts weiter zu tun.
• Lässt sich die Mail nicht verschicken, bleibt die Änderung trotzdem gespeichert.
• Das Protokoll verzeichnet in der Regel „Passwort geändert“. Kommt dieser Eintrag nicht zustande, gilt das neue Passwort trotzdem.

Meldungen beim Passwortwechsel

Zu jeder Meldung an einem Feld zeigt die Karte zusätzlich „Bitte prüfen Sie die markierten Felder.“

Zweite Stufe

Die Karte erklärt: „Nach dem Passwort verlangt die Anmeldung zusätzlich einen Code aus einer Authentifizierungs-App oder einen Sicherheitsschlüssel. Ein erbeutetes Passwort allein genügt dann nicht.“ Den Code richten Sie in dieser Karte ein, Schlüssel in der Karte Sicherheitsschlüssel. Beide Wege lassen sich nebeneinander nutzen.

Code einrichten

1. 1

   Schritt 1

   Einrichten

   Wählen Sie Einrichten. Die Karte zeigt das Geheimnis, eine Folge aus 32 Zeichen aus A bis Z und 2 bis 7, und dazu den Hinweis „Tragen Sie diesen Wert in Ihre Authentifizierungs-App ein und bestätigen Sie mit dem angezeigten Code.“

2. 2

   Schritt 2

   Geheimnis übernehmen

   In die Zwischenablage kopieren kopiert den Wert, danach zeigt der Knopf Kopiert. Geht das nicht, erscheint „Die Zwischenablage ist hier nicht verfügbar. Markieren Sie den Wert und kopieren Sie ihn von Hand.“; ein Klick in den Wert markiert ihn ganz. Einen QR-Code zeigt die Seite nicht, tragen Sie den Wert in der App ein. Fragt die App nach Einstellungen: zeitbasiert, 6 Stellen, 30 Sekunden, SHA1.

3. 3

   Schritt 3

   Bestätigen

   Tragen Sie den aktuellen Code aus der App in Sechsstelliger Code ein und wählen Sie Bestätigen. Die Seite meldet „Zweite Stufe ist aktiv.“ und blendet das Geheimnis aus.

• Der Server nimmt den Code des laufenden 30-Sekunden-Abschnitts an und je einen davor und danach; Leerzeichen im Code werden entfernt. So stört eine leicht abweichende Uhr im Telefon nicht.
• Vor der Bestätigung ist der Code nicht wirksam, die Anmeldung fragt noch nicht danach.
• Das Geheimnis steht nur bis zur Bestätigung auf der Seite. Nach einem Neuladen zeigt die Karte wieder Einrichten; ein erneutes Einrichten erzeugt ein neues Geheimnis, das vorige gilt dann nicht mehr.
• Bestehende Anmeldungen bleiben beim Einrichten offen. Beenden können Sie sie unter Angemeldete Geräte.
• Ein falscher oder zu alter Code ergibt „Der Code stimmt nicht. Bitte versuchen Sie es erneut.“
• Ist die zweite Stufe beim Klick auf Einrichten schon aktiv, etwa nach dem Einrichten in einem zweiten Fenster, meldet die Seite „Die zweite Stufe ist bereits aktiv.“ und zeigt den aktuellen Stand. Gibt es beim Bestätigen keine offene Einrichtung mehr, meldet sie „Es gibt keine offene Einrichtung. Bitte beginnen Sie mit „Einrichten“ neu.“, und die Karte zeigt wieder Einrichten.
• Das Protokoll verzeichnet „Zwei-Faktor eingeschaltet“.

Code abschalten

Ist der Code aktiv, tragen Sie in der Karte Ihr Passwort unter Passwort ein und wählen Abschalten. Ohne Passwort lässt sich die zweite Stufe nicht entfernen, damit ein unbeaufsichtigter Rechner dafür nicht genügt. Das Geheimnis wird dabei gelöscht; ein späteres Einrichten beginnt mit einem neuen. Ein falsches Passwort ergibt „Das Passwort stimmt nicht.“ Das Protokoll verzeichnet „Zwei-Faktor abgeschaltet“.

Sicherheitsschlüssel

Ein Sicherheitsschlüssel ergänzt das Passwort, er ersetzt es nicht: die Anmeldung prüft zuerst das Passwort und verlangt danach die Bestätigung am Schlüssel. Kann der Browser keine Sicherheitsschlüssel verwenden, steht statt des Formulars „Dieser Browser kann keine Sicherheitsschlüssel verwenden.“

Schlüssel hinzufügen

1. 1

   Schritt 1

   Namen vergeben

   Tragen Sie unter Name des Schlüssels eine Bezeichnung ein, an der Sie ihn später erkennen. Das Feld ist Pflicht und fasst bis zu 80 Zeichen.

2. 2

   Schritt 2

   Hinzufügen

   Wählen Sie Schlüssel hinzufügen. Der Browser fragt nach dem Schlüssel; in der Grundeinstellung bleiben dafür 120 Sekunden. Der Schlüssel speichert die Anmeldung unter XICBOT und Ihrer E-Mail-Adresse.

3. 3

   Schritt 3

   Bestätigung

   Nach der Bestätigung am Schlüssel meldet die Seite „Der Sicherheitsschlüssel ist hinterlegt.“ und der Schlüssel steht in der Liste.

• Tragen Sie den Namen vor dem Klick ein. Ist das Feld leer, meldet die Seite am Feld „Name des Schlüssels ist ein Pflichtfeld.“, und der Browser fragt gar nicht erst nach dem Schlüssel.
• In der Grundeinstellung sind bis zu 10 Schlüssel je Zugang möglich.
• Schon hinterlegte Schlüssel Ihres Zugangs bietet der Browser nicht erneut an; ein Schlüssel steht nur einmal in der Liste.
• Das Protokoll verzeichnet „Sicherheitsschlüssel hinterlegt“.

Hinterlegte Schlüssel entfernen

Ohne Schlüssel steht in der Karte „Für dieses Konto ist kein Sicherheitsschlüssel hinterlegt.“, und zwar nur, wenn die Liste geladen ist. Sonst zeigt die Liste jeden Schlüssel mit seinem Namen, „Angelegt: …“ und „Zuletzt verwendet: …“, den ältesten zuerst. „Zuletzt verwendet“ zeigt „-“, bis der Schlüssel bei einer Anmeldung benutzt wurde.

1. 1

   Schritt 1

   Passwort eintragen

   Tragen Sie über der Liste Ihr Passwort unter Passwort ein. Darunter steht „Zum Entfernen eines Schlüssels geben Sie zuerst Ihr Passwort ein.“

2. 2

   Schritt 2

   Entfernen

   Wählen Sie Entfernen in der Zeile des Schlüssels. Eine Rückfrage folgt nicht. Die Seite meldet „Der Sicherheitsschlüssel wurde entfernt.“, das Protokoll verzeichnet „Sicherheitsschlüssel entfernt“.

Meldungen zu Sicherheitsschlüsseln

Die zweite Stufe bei der Anmeldung

Ist ein Code aktiv oder ein Schlüssel hinterlegt, geht die Anmeldung nach dem Passwort weiter: mit dem Feld Sechsstelliger Code, mit dem Knopf Mit Sicherheitsschlüssel anmelden oder mit beidem, je nachdem, was eingerichtet ist. Für diesen Schritt bleiben 10 Minuten und 5 Versuche, und er gelingt nur von derselben Netzadresse aus, von der das Passwort kam. Mehr zum Ablauf steht unter Anmelden und Zugang.

Angemeldete Geräte

Die Karte erklärt: „Jede Zeile ist ein angemeldeter Browser. Beenden Sie jede Sitzung, die Sie nicht zuordnen können.“ Sie zeigt bis zu 50 offene Anmeldungen, die zuletzt benutzte zuerst. Eine Anmeldung gilt 30 Tage, abgelaufene erscheinen nicht mehr.

• Beenden in einer Zeile beendet genau diese Anmeldung, auch eine Übernahme durch den Betreiber. Die Seite bestätigt das mit „Die Sitzung ist beendet.“, eine ältere Fehlermeldung verschwindet dabei. Das Protokoll verzeichnet in der Regel „Sitzung beendet“, bei einer Übernahme „Übernahme durch den Betreiber beendet“. Gibt es die Anmeldung nicht mehr, weil sie schon beendet, abgelaufen oder in einem anderen Fenster abgemeldet ist, lädt die Seite ihre Listen neu und meldet „Diesen Eintrag gibt es nicht mehr. Die Liste wurde neu geladen.“ Scheitert auch das Neuladen, steht stattdessen „Diesen Eintrag gibt es nicht mehr. Laden Sie die Seite neu, um den aktuellen Stand zu sehen.“; den Grund, aus dem das Laden scheiterte, nennt die Liste selbst mit „Die Liste konnte nicht geladen werden.“ und dem Knopf Erneut laden.
• Alle anderen beenden erscheint, sobald mehr als eine andere Anmeldung offen ist; Übernahmen zählen dabei nicht mit. Die Rückfrage lautet „Alle anderen Sitzungen beenden? Dieses Gerät bleibt angemeldet.“ mit dem Zusatz „Ausgenommen bleiben eine laufende Betreuung durch den Betreiber und die API-Schlüssel Ihres Kontos.“ Abbrechen schließt sie ohne Folge. Nach dem Bestätigen meldet die Seite „Alle anderen Sitzungen sind beendet.“, auch hier verschwindet eine ältere Fehlermeldung. Das Protokoll verzeichnet in der Regel „Alle anderen Sitzungen beendet“.
• Aus einer Übernahme heraus, also in der Ansicht des Betreibers, zeigt die Karte weder Beenden noch Alle anderen beenden. An Stelle der Erklärung steht dann der Satz, dass sich die Sitzungen dieses Kontos während einer Übernahme nicht beenden lassen und die Übernahme selbst über Übernahme beenden endet. Die Schnittstelle weist beide Aufrufe aus einer Übernahme weiterhin mit 403 und in_impersonation ab; kommt ein solcher Aufruf doch zustande, meldet die Seite „Während einer Übernahme ist dieser Bereich gesperrt.“
• Das Gerät einer beendeten Anmeldung verlangt beim nächsten Abruf eine neue Anmeldung.
• Anmeldungen enden außerdem nach 30 Tagen, mit Abmelden, beim Passwortwechsel und beim Zurücksetzen des Passworts; mehr unter Anmelden und Zugang.

Übernahme durch den Betreiber

• Für eine Übernahme legt der Betreiber eine eigene, befristete Anmeldung für einen Zugang Ihres Kontos an. Ihr Passwort wird dabei weder gelesen noch gesetzt.
• Übernommen wird der Zugang mit der höchsten Rolle, in der Reihenfolge Inhaber, Verwaltung, Bearbeiten, Lesen; bei gleicher Rolle der zuerst angelegte.
• Aus einer Übernahme heraus sind gesperrt: der Passwortwechsel, das Einrichten und Abschalten des Codes, das Hinzufügen und Entfernen von Sicherheitsschlüsseln sowie das Beenden Ihrer Anmeldungen, einzeln oder mit Alle anderen beenden. Die Schnittstelle antwortet darauf mit 403 und in_impersonation.
• Beginn und Ende einer Übernahme stehen an zwei Stellen. Der Betreiber hält sie in einem eigenen Protokoll fest, den Beginn mit Zeitpunkt, übernommenem Zugang, Ablaufzeit und, falls angegeben, dem Grund. Dieses Protokoll ist vom Protokoll Ihres Kontos getrennt; wie lange es aufbewahrt wird, steht unter Aufbewahrung und Löschung. Im Protokoll Ihres Kontos stehen zusätzlich „Übernahme durch den Betreiber begonnen“ und „Übernahme durch den Betreiber beendet“. Das Ende verzeichnen beide in der Regel, wenn der Betreiber die Übernahme beendet oder sich aus ihr abmeldet, wenn Sie sie unter Angemeldete Geräte beenden und wenn sie mit allen Anmeldungen des übernommenen Zugangs endet, also beim Zurücksetzen des Passworts über den Link, beim Zurücksetzen der zweiten Stufe durch den Betreiber und beim Entfernen des Zugangs aus dem Team. Ebenso verzeichnen beide das Ende in der Regel, wenn der übernommene Zugang selbst in ein anderes Konto wechselt; es steht dann im Protokoll des Kontos, in dem die Übernahme begann. Je Übernahme steht das Ende nur einmal, auch wenn Sie und der Betreiber sie gleichzeitig beenden. Läuft eine Übernahme nach 4 Stunden von selbst ab, entsteht kein Eintrag zum Ende.
• Was während einer Übernahme geändert wird, verzeichnet das Protokoll Ihres Kontos wie jede andere Änderung, mit der E-Mail-Adresse des übernommenen Zugangs. Ob gerade eine Übernahme läuft, zeigt die Liste oben als „Übernahme durch den Betreiber“.

Letzte Anmeldungen

Die Tabelle zeigt die 50 jüngsten Anmeldeversuche an Ihrem Zugang, erfolgreiche wie gescheiterte, den jüngsten zuerst. Die Spalten heißen Zeit, Ergebnis und Wer. Wer nennt Browser und System nach denselben Regeln wie Angemeldete Geräte, die ganze Kennung zeigt der Mauszeiger. Ort oder IP-Adresse zeigt die Tabelle nicht.

Einträge im Protokoll

Anmeldung, Abmeldung und jede Änderung auf dieser Seite hinterlassen einen Eintrag im Protokoll des Kontos. Das Protokoll sehen nur die Rollen Verwaltung und Inhaber; bei den anderen Rollen fehlt der Punkt in der Seitenleiste, und die Schnittstelle gibt es ihnen nicht heraus. Wer mit einer anderen Rolle einen unbekannten Eintrag unter Letzte Anmeldungen sieht, wendet sich an jemanden mit einer dieser Rollen. Code einschalten und abschalten sowie Sicherheitsschlüssel hinzufügen und entfernen werden nur zusammen mit ihrem Eintrag wirksam: Kommt der Eintrag nicht zustande, bleibt alles beim Alten, und die Seite meldet „Nicht gespeichert: Der Eintrag ins Protokoll kam nicht zustande. Bitte versuchen Sie es erneut.“ Anmelden, Abmelden, das Setzen eines Passworts und das Beenden von Anmeldungen gelten dagegen auch dann, wenn ihr Eintrag scheitert. Mehr unter Team und Rollen.

Über die Schnittstelle

Dieselben Vorgänge stehen unter /api/v1/ bereit. Sie verlangen die Marke einer Anmeldung im Kopf Authorization: Bearer …; ein API-Schlüssel des Kontos genügt dafür nicht. Einzelheiten stehen unter API-Anmeldung, API: Konto und API-Grenzen.

Häufige Fragen