Ein Passwort allein reicht nicht für die Anmeldung im Shop
Ein Konto im Großhandelsshop gibt Zugang zu vereinbarten Preisen, zum Kreditlimit und zu Bestellungen mit Zahlungsziel. Ein zweiter Anmeldefaktor sorgt dafür, dass sich mit einem gestohlenen Passwort allein niemand im Shop anmeldet. Der Mitarbeiter gibt einen Code aus der App oder aus der E-Mail ein und wird auf einem bekannten Gerät nicht ständig gefragt.
Wozu das dient
Magento schützt das Verkäufer-Panel, das Kundenkonto aber nicht
Den zweiten Anmeldefaktor gibt es in Magento nur für das Admin-Panel. Das Kundenkonto im Shop öffnet sich mit dem Passwort allein. Im B2C-Shop ist das das Risiko einer Bestellung. Im Großhandel stehen hinter diesem Passwort die Preise des Kunden, das Kreditlimit und das Recht, auf Rechnung zu kaufen.
Passwörter sickern aus anderen Diensten durch, stehen auf Zetteln am Rechner und werden im Unternehmen weitergegeben. Wer sie kennt, kann Ware auf Kosten des Kunden bestellen oder dessen Handelsbedingungen einsehen.
Zwei-Faktor-Anmeldung
Was es im Shop tut
Code aus der App oder per E-Mail
Der Mitarbeiter wählt eine Authenticator-App, empfohlen, oder einen Code an die Adresse des Kontos. Der Schutz wirkt ab dem ersten korrekt eingegebenen Code.
Der Nutzer schaltet den Schutz selbst ein
Jeder Mitarbeiter entscheidet über sein Konto auf dem Bildschirm „Anmeldesicherheit„. Das Einschalten verlangt das Passwort, das Ausschalten einen Code.
Abfrage nur auf einem neuen Gerät
Nach Eingabe des Codes kann der Browser 30 Tage gemerkt werden. Auf einem gemerkten Rechner endet die Anmeldung beim Passwort.
Passwort ohne Code öffnet das Konto nicht
Bis zur Eingabe des Codes funktionieren weder Warenkorb noch Adressen noch das Absenden von Bestellungen. Das gilt auch für die Anmeldung im Fenster und an der Kasse.
Sperre nach falschen Codes
Nach 5 falschen Codes ist das Konto 15 Minuten gesperrt, nach 50 bis der Firmenadministrator oder der Kundenservice den zweiten Faktor zurücksetzt. Der Inhaber erhält eine Nachricht, dass jemand sein Passwort kennt.
Zurücksetzen durch Unternehmen oder Kundenservice
Verliert ein Mitarbeiter sein Telefon, setzt der Firmenadministrator seinen zweiten Faktor aus der Mitarbeiterliste zurück. Das Konto des Administrators setzt der Kundenservice zurück.
Wer es nutzt
Jede Rolle bekommt, was sie bei der Arbeit braucht
Einkäufer
Schaltet den Schutz für sein Konto ein und gibt bei der Anmeldung auf einem neuen Gerät einen Code ein. Kann alle gemerkten Geräte mit einer Schaltfläche abmelden.
Firmenadministrator
Sieht bei jedem Mitarbeiter, ob der zweite Faktor eingeschaltet ist, und setzt ihn zurück, wenn jemand den Zugang verliert. Seinen eigenen setzt er nicht zurück, damit geht er zum Kundenservice.
Kundenbetreuer
Wird bei der Anmeldung im Namen des Kunden aus dem Panel nicht nach dessen Code gefragt. Setzt den zweiten Faktor von Kunden nicht zurück, auch nicht von eigenen.
Kundenservice
Setzt den zweiten Faktor eines beliebigen Kontos aus dem Kundenstammsatz im Panel zurück. Sieht das Ereignisprotokoll: Einschalten, Ausschalten, Zurücksetzen und Sperren.
Beispiel aus der Praxis
Marek von Instalbud schützt sein Konto bei Delta Hurt
01 Marek schaltet die App ein
Auf dem Bildschirm „Anmeldesicherheit„ gibt er sein Passwort ein, scannt den QR-Code mit dem Telefon und gibt den ersten Code ein.
02 Neuer Laptop, ein Code
Er meldet sich an einem neuen Rechner an, gibt den Code vom Telefon ein und setzt den Haken „Dieses Gerät merken„. 30 Tage lang gibt er hier nur das Passwort ein.
03 Jemand probiert Mareks Passwort
Ohne Code meldet er sich nicht im Shop an. Nach fünf Versuchen sperrt sich das Konto für eine Viertelstunde, und Marek erhält eine E-Mail und ändert sein Passwort.
04 Das Telefon geht verloren
Ewa, die Administratorin von Instalbud, setzt Mareks zweiten Faktor aus der Mitarbeiterliste zurück. Marek meldet sich mit dem Passwort an und koppelt ein neues Telefon.
Für die IT
Woher die Daten kommen und wie man das integriert
Der Code wird im Moment des Anlegens der Sitzung geprüft, nicht auf einem Bildschirm nach der Anmeldung. Daher liefert kein Zugang zum Shop, auch nicht die Anmeldung im Hyvä Checkout und „Angemeldet bleiben„, eine Sitzung vor dem Code.
Der Status des zweiten Faktors ist am Kunden in der REST-API sichtbar, Zurücksetzen und Ereignisprotokoll haben eigene Endpunkte. Das App-Geheimnis ist mit dem Projektschlüssel verschlüsselt.
Das Modul lässt sich für eine Website abschalten, ohne die Nutzereinstellungen zu löschen. Der zweite Faktor des Admin-Panels ist nativ in der Plattform und wird in der Projektkonfiguration eingeschaltet.
FAQ
Fragen: Zwei-Faktor-Anmeldung
Können wir den zweiten Faktor für alle Kunden erzwingen?
Haben Einkäufer, die täglich bestellen, nicht bald genug von den Codes?
Was, wenn jemand die E-Mail-Adresse an einem geschützten Konto ändert?
Hat Adobe Commerce B2B einen zweiten Faktor für Kunden?
Wir zeigen Ihnen das auf den Daten Ihres Unternehmens
Die Demo läuft auf einem Szenario aus Ihrem Vertrieb: Ihre Kunden, Ihre Preislisten, Ihr ERP. Nach einer Stunde wissen Sie, was Sie sofort bekommen und was wir im Projekt einrichten.