• (1) Aktivierung/Deaktivierung der Funktion
• (2) Festlegen Länge des zu erzeugenden Codes
  Nur für die methoden SMS und E-Mail
• (3) Gültikeitsdauer des zu erzeugenden Codes
  Nur für die methoden SMS und E-Mail
• (4) Erzwingt 2FA für alle Be­nut­zer­
  Auf Ebene der Konten kann die Funktion aktiviert wer­den­ (Opt-In)
• (5) Auswahl und Priorisierung der zur Ver­fü­gung­ stehenden 2FA Methoden
• (6) Fallback ohne 2FA
  Falls aktiviert, ist die Anmeldung auch dann mög­lich­, wenn ein 2FA Code wegen fehlender In­for­ma­tio­nen­ nicht zugestellt wer­den­ kann. Nützlich in der Einführungsphase, falls noch nicht bei allen Konten die für 2FA notwendigen In­for­ma­tio­nen­ verfügbar sein sollten
• (7) Issuer bei der Verwendung der TOTP Methode über eine Authenticator APP auf einem mo­bi­len­ Ge­rät­
  In der APP wird die­ser­ Text als auch der Anzeigename des Kontos angezeigt
• (8) Standardmässig kann TOTP auf dem eigenen Konto lediglich aktiviert wer­den­.
  Für die Deaktivierung ist die Berechtigung für «Konfiguration ändern (edtcfg-001)» erforderlich. Mit diesem Schalter lassen Sie die Deaktivierung von TOTP für alle Per­so­nen­ am eigenen Konto zu. Sollten Sie dies zulassen, sollte eine Fallback Methode (5) konfiguriert sein oder der Fallback ohne 2FA (6) zugelassen sein. Andernfalls kann sich ein Be­nut­zer­ nicht mehr anmelden.
• (9) Ab August '23: Konfiguration des Zeitfensters für die Überprüfung.
  Ein Wert grösser als 0 bewirkt, dass generierte Codes aus die­ser­ Anzahl vergangenen, beziehungsweise zu­künf­ti­gen­ Intervallen zu 30 Sekunden akzeptiert wer­den­. Dies mindert die Schwierigkeiten, wenn die Zeit nicht auf allen Endgeräten zu 100% synchron sein sollte. Werte grösser als 1 sind nur zu Testzwecken ratsam.

Au­then­ti­fi­zie­rung­ über die «OCI Methode» oder über die «Integrierte Windows-Anmeldung» sind grundsätzlich von der 2FA ausgenommen. Für die restlichen Authentifizierungsmethoden lassen sich einige Ausnahmen definieren.

• (1) Mitglieder die­ser­ Benutzergruppe sind von der 2FA ausgenommen
• (2) Befreit Konten im Testmodus von der 2FA
• (3) Verzicht auf den zweiten Faktor, falls die IP Adres­se­ der Verbindung identisch ist mit derjenigen der letzten Anmeldung per 2FA
  Für regelmässige Anmeldungen vom selben Standort erhöht dies möglicherweise die Akzeptanz bei Ihren Kun­den­, wenn der zweite Faktor nicht bei jeder Anmeldung erzwungen wird.
• (4) Erzwingen des zweiten Faktors trotzdem nach n Tagen, falls (3) aktiviert ist
  Falls (3) aktiviert ist, kön­nen­ Sie der zweiten Faktor trotzdem nach einen gewissen Anzahl Tagen erzwingen.
• (5) Befreiung von Nutzern aus bestimmten Netzwerken, bei­spiels­wei­se­ dem lokalen Netz am Firmenstandort, komplett von der 2FA
• (6) Testfunktion zur Überprüfung der Da­ten­ in (5)