Sicherheitseinstellungen im Portal

Im Bereich Sicherheit der Portal-Einstellungen legst du fest, wie gut die Konten deiner Portalnutzer geschützt sind: welche Passwörter erlaubt sind, wie lange eine Anmeldung gültig bleibt und ob dein Portal in Suchmaschinen erscheint.

Dieser Artikel zeigt dir alle Sicherheitseinstellungen und wann du welche Option nutzt.

---

So funktioniert's

Die Sicherheitseinstellungen gelten für alle Portalnutzer des jeweiligen Portals. Du findest sie im Portal Builder über das Zahnrad-Symbol oben rechts im Bereich Sicherheit. Die wichtigsten Einstellungen:

• Passwortrichtlinie: Mindestlänge und Zeichenarten für Passwörter.

• Suchmaschinenindexierung: ob dein Portal in Suchergebnissen erscheint.

• Benutzerermittlung verhindern: ob Anmelde- und Registrierungsseite verraten, dass eine E-Mail-Adresse bereits registriert ist.

• Token-Timeouts: wie lange eine Anmeldung gültig bleibt.

• Erweiterte Authentifizierungseinstellungen: zusätzliche Schutzfunktionen, die epilot für dich verwaltet.

Beispiel: Ein Stadtwerk startet sein Kundenportal. Es verlangt Passwörter mit mindestens 10 Zeichen, schaltet Benutzerermittlung verhindern ein und lässt die Testkonfiguration des Portals nicht von Suchmaschinen indexieren.

Konfiguration

Passwortrichtlinie festlegen

1. Öffne dein Portal im Portal Builder, klicke oben rechts auf das Zahnrad-Symbol und wechsle in den Bereich Sicherheit.

2. Trage unter Passwortrichtlinie die Mindestlänge ein. Erlaubt sind 8 bis 256 Zeichen.

3. Lege fest, welche Zeichen ein Passwort enthalten muss: Kleinbuchstaben erforderlich, Großbuchstaben erforderlich, Zahlen erforderlich und Sonderzeichen erforderlich.

4. Optional: Schalte Wiederverwendung früherer Passwörter verhindern ein. Lege dann unter Anzahl gesperrter früherer Passwörter fest, wie viele der letzten Passwörter gesperrt sind (1 bis 24).

Die Richtlinie gilt, wenn Portalnutzer ein Passwort festlegen, also bei der Registrierung und beim Ändern oder Zurücksetzen des Passworts.

Suchmaschinen und Benutzerermittlung

5. Schalte Suchmaschinenindexierung ein, wenn dein Portal in Suchergebnissen erscheinen soll, zum Beispiel wenn Kunden „Kundenportal Stadtwerke 2PUNKT0“ suchen. Lass die Option für Portale aus, die noch nicht produktiv sind oder nur über deine Website erreichbar sein sollen.

6. Schalte Benutzerermittlung verhindern ein, damit Anmelde- und Registrierungsseite nicht verraten, ob es zu einer E-Mail-Adresse schon ein Konto gibt. So können Angreifer keine gültigen Adressen ausprobieren. Dafür sehen Besucher dann auch nicht mehr direkt, ob sie eine unbekannte oder bereits registrierte Adresse eingegeben haben.

Token-Timeouts anpassen

Nach der Anmeldung bekommt ein Portalnutzer Tokens, die seine Sitzung ausweisen. Mit den Timeouts steuerst du, wie lange diese gültig sind:

• Refresh-Token-Timeout (Stunden): wie lange ein Nutzer angemeldet bleiben kann, ohne sich neu einzuloggen. Erlaubt sind 1 bis 87.600 Stunden (bis zu 10 Jahre).

• Access-Token-Timeout (Minuten) und ID-Token-Timeout (Minuten): wie lange die kurzlebigen Tokens gelten, bevor sie im Hintergrund erneuert werden. Erlaubt sind jeweils 5 bis 1.440 Minuten. Sie dürfen das Refresh-Token-Timeout nicht überschreiten.

7. Trage unter Token-Timeouts die gewünschten Werte ein, zum Beispiel ein Refresh-Token-Timeout von 30 Stunden für eine kürzere Anmeldedauer.

8. Klicke auf Speichern.

Erweiterte Authentifizierungseinstellungen

Diese Schutzfunktionen verwaltet epilot. Du siehst hier, welche aktiv sind. Zum Ändern wendest du dich an den Support.

• Protokollierung von Benutzeraktivitäten: protokolliert Anmeldeversuche detailliert, zum Beispiel mit Risikobewertung, IP-Adresse und Geräteinformationen.

• Adaptive Authentifizierung: bewertet das Risiko jeder Anmeldung. Je nach Risiko wird die Anmeldung blockiert oder ein zusätzlicher Bestätigungsschritt verlangt.

• Erkennung kompromittierter Zugangsdaten: prüft Passwörter bei Registrierung, Anmeldung und Zurücksetzen gegen Listen geleakter oder häufig erratener Passwörter.

Weitere Einstellungen im Bereich Sicherheit

Im Bereich Sicherheit findest du außerdem Berechtigung Verträge hinzuzufügen. Damit können Portalnutzer Verträge selbst hinzufügen, die du ihnen nicht automatisch zuordnen konntest, zum Beispiel über die Vertragsnummer. Wie das funktioniert, erklärt Verträge und Vertragszuordnung.

Häufige Fragen

Gilt eine neue Passwortrichtlinie auch für bestehende Passwörter?

Die Richtlinie wird geprüft, wenn ein Passwort festgelegt wird. Bestehende Passwörter müssen deine Kunden nicht sofort ändern.

Warum sieht ein Kunde bei der Registrierung keinen Hinweis, dass seine Adresse schon registriert ist?

Wahrscheinlich ist Benutzerermittlung verhindern eingeschaltet. Dann verrät das Portal nicht, ob eine Adresse bekannt ist. Hat der Kunde schon ein Konto, setzt er sein Passwort auf der Anmeldeseite zurück.

Bleiben Nutzer in der Mobile App länger angemeldet?

Ja. In der App bleiben Nutzer 30 Tage angemeldet. Das Refresh-Token-Timeout gilt nur für das Portal im Browser. Mehr zur App in Portal als Mobile App.

Wie schütze ich die Registrierung zusätzlich?

Wähle schwer zu erratende Registrierungsmerkmale, zum Beispiel E-Mail plus Kundennummer. Mehr dazu in Selbstregistrierung und Identifikatoren.