Zwei-Faktor-Authentisierung ab Sommersemester 2027: mehr Sicherheit für Studierenden-Daten

Die weltweiten Ereignisse rund um die PHP-Sicherheitslücke im Oktober haben gezeigt, wie wichtig es ist, über das Internet verfügbare Dienste gegen Angriffe zu schützen. Die FernUniversität hat ihre Systeme nach dem neuesten Stand der Technik abgesichert – dafür sorgen die Mitarbeitenden des Zentrums für Digitalisierung und IT (ZDI). Ab dem Sommersemester 2027 werden zentrale Anwendungen für Studierende zusätzlich durch eine Zwei-Faktor-Authentisierung (2FA) geschützt. Wer gut vorbereitet sein möchte, kann sie jetzt schon einrichten. Ab dem Sommersemester ist eine Anmeldung ohne 2FA dann nicht mehr möglich.

Bei der 2FA wird der Anmeldevorgang durch einen zusätzlichen Sicherheitsnachweis ergänzt. Neben ihrem Benutzernamen und Kennwort benötigen die Nutzenden einen zweiten Faktor, der bei der Anmeldung vom System abgefragt wird. Die FernUniversität setzt dafür auf sogenannte zeitbasierte Einmalpasswörter (Time-based One-Time Password – TOTP), die man beispielsweise über eine Authentisierungs-App auf dem Smartphone abrufen kann. Dieses Verfahren ist aus vielen anderen Anwendungen bekannt.

Selbst wenn Benutzername und Kennwort einmal durch Phishing oder Hackerangriffe in falsche Hände geraten sein sollten, ist der Account vor missbräuchlichem Zugriff geschützt, da eine Anmeldung ohne das Einmalpasswort nicht möglich ist.

Der Zugriffsschutz mittels 2FA umfasst folgende zentrale Systeme der FernUniversität:

• Moodle,
• Virtueller Studienplatz (VU),
• studyPORT,
• OnlineÜbungssystem und OnlinePrüfungssystem,
• Prüfungsanmeldung im Prüfungsportal und über WebRegis.

Seit 2024 ist die 2FA bereits Voraussetzung für die Nutzung des VPN-Zugangs, den man z.B. benötigt, um auf viele Angebote der Universitätsbibliothek zugreifen zu können. Daher nutzen bereits mehr als 21.000 Studierende die 2FA.

Die Anmeldung mit 2FA erfolgt zukünftig komfortabel über das Single Sign-on (SSO) der FernUniversität. Nach einer erfolgreichen Anmeldung an einem der Systeme können Studierende alle angebundenen Dienste nutzen, ohne sich jedes Mal erneut anmelden zu müssen.

Ab dem Sommersemester 2027 wird die Nutzung der 2FA für die oben genannten Systeme verpflichtend. Die Einführung erfolgt voraussichtlich in mehreren Schritten. Über den konkreten Zeitplan wird die FernUniversität die Studierenden rechtzeitig informieren.
Wer die 2FA jetzt schon einrichtet, ist in jedem Fall gut vorbereitet und kann sie im Account-Portal schon einmal testen.

Die FernUniversität empfiehlt für die 2FA die Nutzung einer Authentisierungs-App auf dem Smartphone, wie beispielsweise den Google Authenticator oder den Microsoft Authenticator.
Alternativ kann eine Authentisierungsapp auch auf einem Tablet oder PC genutzt werden. Grundsätzlich ist jede Authentisierungs-App geeignet, die den verbreiteten Standard TOTP (zeitbasierte Einmalpasswörter) unterstützt. Wer bereits eine solche App verwendet, kann den FernUni-Account einfach dort einbinden.

Wer statt einer Software-Lösung lieber eine Hardware-Lösung einsetzen möchte, dem empfiehlt das ZDI, einen YubiKey oder einen Reiner SCT Authenticator zu verwenden. Insbesondere der YubiKey stellt eine barrierearme Lösung dar: Bei der Anmeldung genügt in der Regel eine kurze Berührung des angeschlossenen Sicherheitsschlüssels.

Ausführliche Schritt-für-Schritt-Anleitungen können im Account-Portal aufgerufen werden

Sollten bei der Einrichtung oder Nutzung der 2FA Probleme auftreten, können sich Studierende per E-Mail an den Helpdesk der FernUniversität wenden: helpdesk.