Email
Hauptinhalt

Service-Information: 2FA-Nutzung ohne Smartphone

An der Universität Marburg ist die Zwei-Faktor-Authentisierung (2FA) auch ohne Smartphone-App vollumfänglich möglich. Ob analoge Papier-Tokens, Desktop-Programme oder plattformunabhängige Hardware-Lösungen – wir unterstützen Ihre digitale Souveränität und bieten flexible Alternativen für einen barrierefreien Zugang.

1. Der Paper-Token

Für Nutzerinnen und Nutzer, die eine rein analoge Lösung bevorzugen oder technische Geräte nicht einsetzen können, steht der klassische Paper-Token zur Verfügung.

  • Kapazität: Ein Token enthält 150 Einmalpasswörter. Es werden maximal zwei Tokens pro Person ausgegeben.
  • Einsatzbereich: Er dient als analoge Alternative für seltene Logins oder als Ausfallreserve. Aufgrund des hohen manuellen Aufwands ist er nicht für den täglichen, mehrfachen Login empfohlen.
  • Bezug: Die Ausgabe erfolgt ausschließlich persönlich gegen Vorlage eines Lichtbildausweises am IT-Servicedesk.

2. Geräte-Token (HOTP-Einrichtung)

Für Personen, die aus gesundheitlichen Gründen keine standardmäßige Authenticator-App nutzen können, stellen wir am IT-Servicedesk die Konfiguration für einen zählerbasierten Geräte-Token (HOTP) bereit.

  • Funktionsweise: Das HOTP-Verfahren erzeugt auf Tastendruck zählerbasiert einen 8-stelligen Sicherheitscode (SHA512-Hash).
  • Keine Geräteausgabe: Bitte beachten Sie, dass das HRZ keine physischen Hardware-Generatoren ausgibt. Am IT-Servicedesk erhalten Sie nach Identitätsprüfung den entsprechenden HOTP-QR-Code zur Einrichtung.
  • Einsatz: Dieser Code kann anschließend beispielsweise direkt in der Uni-App (wie ein regulärer App-Token) oder auf entsprechend kompatiblen eigenen Endgeräten hinterlegt werden.
  • Bezug: Die Freischaltung und Erstellung des QR-Codes erfolgt persönlich am IT-Servicedesk.

3. Hardware-Token: Private YubiKeys (HOTP-Konfiguration)

Besitzen Sie bereits privat einen YubiKey? Wir unterstützen Sie dabei, diesen als Hardware-Token für Ihre universitären Dienste einzurichten, damit er funktional einem offiziellen Dienst-Token entspricht.

  • Initialisierung vor Ort: Um Ihren YubiKey sicher mit Ihrem Uni-Account zu verknüpfen, bringen Sie diesen persönlich zum IT-Servicedesk. Wir konfigurieren den Key für Sie mit einem HOTP-Token (8-stellig, SHA512).
  • Schutz der Konfiguration (Slot-Sperre): Während der Einrichtung wird der entsprechende Slot auf Ihrem YubiKey mit einem Konfigurationspasswort gesperrt. Dies verhindert, dass die universitäre Konfiguration versehentlich überschrieben oder gelöscht wird.
  • Rückgabe/Studienende: Wenn Sie die Universität verlassen oder den Slot wieder für andere Zwecke freigeben möchten, entsperren wir den Slot am IT-Servicedesk gerne wieder für Sie.

4. Desktop-Lösungen (Windows, macOS, Linux)

Sie können 2FA-Codes direkt auf Ihrem Rechner generieren. Die folgenden Tools sind plattformübergreifend verfügbar und unterstützen unsere Sicherheitsstandards (8-stellige Codes, SHA512):

  • KeePassXC & Proton Authenticator: Diese Programme laufen nativ auf Windows, macOS und Linux. (Anleitung KeePassXC | Anleitung Proton Authenticator)
  • Passwortmanager (Bitwarden, Passbolt): Diese Dienste bieten hohe Sicherheitsstandards und ermöglichen die Verwaltung Ihrer TOTP-Codes direkt im Browser oder als Desktop-Anwendung.
  • YubiKey mit Yubico Authenticator: Wenn Sie privat einen YubiKey besitzen, können Sie diesen mit der Software Yubico Authenticator nutzen. Die Codes werden dabei physisch auf dem Key gespeichert. (Anleitung Authenticator)

5. TAN-Tokens: Nur noch als Backup-Methode (Notfallreserve)

Die Umstellung ist vollzogen: Selbstgenerierte TAN-Tokens (Listen mit 12 achtstelligen Einmalpasswörtern auf SHA512-Basis) dienen ausschließlich als Backup-Tokens für den Notfall:

  • Reine Portalanmeldung: TAN-Codes sind nur noch für den Login im 2FA-Portal freigeschaltet. Ein Login an regulären Diensten (Webmail, VPN, Marvin etc.) ist mit diesen Codes nicht mehr möglich.
  • Selbsterstellung im Portal: Sie können sich im 2FA-Portal eigenständig bis zu zwei Backup-Listen mit jeweils 12 Einmalcodes generieren. Wir empfehlen dringend, diese auszudrucken und sicher aufzubewahren, um sich bei Verlust des Haupttokens jederzeit selbst helfen zu können.
  • Kein Postversand / Antrag: Der Support stellt keine TAN-Listen mehr aus und versendet keine Listen per Post.
  • Abschaltung von Alttokens (Januar 2027): Ältere TAN-Listen (> 12 Codes bzw. ältere Formate aus HIS-Importen) werden im Januar 2027 endgültig deaktiviert. Betroffene Personen werden vorab individuell per E-Mail informiert, sobald für ihren Token ein verbindliches Ablaufdatum gesetzt wird.

6. Ausblick: FIDO2 und Passkeys

Wir arbeiten derzeit an der Unterstützung von FIDO2 und Passkeys. Dieses Verfahren wird die Anmeldung vereinfachen, da das manuelle Abtippen von Codes entfällt.

Vorteile für Sie: Sobald dieses Verfahren freigeschaltet ist, können Sie eine Vielzahl an sicheren Geräten nutzen:

  • Hardware-Keys: Alle FIDO2-fähigen Geräte wie der YubiKey, Nitrokey oder Google Titan Key.
  • Browser-Integration: Nutzung moderner Standards wie Windows Hello oder macOS Touch ID.

Wir informieren Sie an dieser Stelle, sobald die Registrierung von FIDO2-Geräten im Portal möglich ist.