Zwei-Faktor-Authentifizierung (2FA) für Ihr igumbi Konto

Was ist neu?

Wir haben eine optionale Zwei-Faktor-Authentifizierung (2FA) in igumbi eingeführt. Dies ist eine zusätzliche Sicherheitsebene, die Ihr Konto vor unbefugten Zugriffen schützt. Die Funktion ist vollständig optional — wenn Sie 2FA nicht nutzen möchten, funktioniert Ihr System weiterhin wie gewohnt.

Warum ist Login-Sicherheit so wichtig?

Hotels und Ferienunterkünfte erhalten täglich viele Buchungs-E-Mails, Buchungsanfragen und Systemmeldungen. Das macht Betriebe anfällig für Phishing-Angriffe. Diese Mails sind oft professionell gestaltet, wirken auf den ersten Blick seriös und erzeugen Zeitdruck — mit dem Ziel, Zugangsdaten abzufangen. Ein falscher Klick und die Passwörter sind in falsche Hände geraten. Genau hier schützt die 2FA: Sie verhindert, dass gestohlene Passwörter allein ausreichen, um Schaden anzurichten.

Was ist Zwei-Faktor-Authentifizierung?

2FA funktioniert wie folgt:

1. Sie melden sich mit Benutzername und Passwort an (wie bisher)
2. Statt direkt angemeldet zu werden, werden Sie aufgefordert, einen 6-stelligen Code einzugeben
3. Dieser Code kommt aus einer Authenticator-App auf Ihrem Smartphone (z.B. Google Authenticator, Microsoft Authenticator oder ähnliche)
4. Nur wenn Benutzername, Passwort und dieser Code korrekt sind, werden Sie angemeldet

Der Code ist zeitbasiert und ändert sich alle 30 Sekunden automatisch. Selbst wenn jemand Ihr Passwort kennt, kann er sich nicht anmelden, ohne die Authenticator-App zu haben.

Das gleiche Prinzip kennen Sie vielleicht von Gmail, Amazon oder anderen Online-Diensten — ein zweiter Schritt beim Login, der Ihr Konto auch dann schützt, wenn das Passwort bekannt ist.

Wann sollten Sie 2FA aktivieren?

2FA ist besonders sinnvoll, wenn:

• Mehrere Mitarbeiter das System nutzen — jeder mit eigenem Konto
• Sie sensible Daten haben (Gästedaten, Zahlungsinformationen, Reservierungen)
• Buchungsänderungen oder Stornierungen hohe finanzielle Auswirkungen haben
• Sie nicht möchten, dass Mitarbeiter die Konten anderer nutzen
• Ihr Team von unterschiedlichen Orten arbeitet (Home Office, mobile Buchungen)
• Sie die Auditierbarkeit verbessern möchten („Wer hat diese Änderung vorgenommen?")

Wann ist 2FA eher nicht nötig:

• Kleinbetriebe mit nur 1–2 Benutzern (meist nur Sie als Inhaber)
• Sie arbeiten nur von einem festen Ort mit einem Computer
• Sie sind der Einzige, der Zugriff auf die igumbi-App hat

In diesen Fällen bietet 2FA wenig zusätzlichen Schutz und könnte das Anmelden umständlicher machen.

Wichtig: Jeder Mitarbeiter braucht ein eigenes Konto

Ein häufiger Fehler ist das Teilen von Login-Daten. Das führt zu Problemen:

• Sie wissen nicht, wer Änderungen vorgenommen hat
• Wenn ein Mitarbeiter geht, müssen Sie das Passwort ändern (alle anderen sind dann auch raus)
• Sicherheitsrisiko: Mehr Menschen kennen das Passwort
• Keine Haftungskette bei Problemen

Stattdessen:

• Jeder Mitarbeiter bekommt sein eigenes Benutzerkonto mit eigenem Passwort
• Sie sehen in der Reservierungshistorie, welcher Mitarbeiter was geändert hat
• Wenn jemand geht, deaktivieren Sie einfach sein Konto — andere sind nicht betroffen
• 2FA schützt dieses Konto zusätzlich vor Missbrauch

Wie funktioniert 2FA in igumbi?

Aktivierung durch den Benutzer:

1. Benutzer meldet sich an und geht zu „Benutzer bearbeiten"
2. Klickt auf „2FA aktivieren"
3. Ein QR-Code wird angezeigt
4. Benutzer scannt den Code mit einer Authenticator-App
   • Alternativ: Kann einen 40-Zeichen-Code manuell in die App eingeben
5. Benutzer gibt einen 6-stelligen Code ein, um zu bestätigen, dass die App richtig konfiguriert ist
6. 2FA ist jetzt aktiviert

Wichtig für Mitarbeiter: Die Authenticator-App muss auf dem Smartphone des Mitarbeiters installiert sein. Falls der Mitarbeiter sein Smartphone verliert oder die App löscht, kann er sich nicht mehr anmelden. Wir können im Support die 2 Faktor Authentifiyierung für einen Benutzer deaktivieren. Daraufhin kann die 2FA mit einer neuen Authenticator-App auf einem anderen Gerät aktiviert werden.

Login/ Anmeldung mit 2FA:

1. Benutzer gibt Benutzername und Passwort ein
2. System zeigt ein Formular für den 6-stelligen Code
3. Benutzer öffnet die Authenticator-App und sieht den aktuellen 6-stelligen Code
4. Code wird eingegeben und bestätigt

Das wars! Der Code ist nur 30 Sekunden gültig — das ist genug Zeit zum Eintippen, berücksichtigt aber auch kleine Zeitunterschiede zwischen Smartphones und Server. Es wird auch der letzte Code davor akzeptiert. Somit ist das Zeitfenster nicht zu eng.

Wie deaktivieren Sie 2FA?

Falls nötig, können Sie 2FA jederzeit wieder ausschalten:

• Der Benutzer selbst: Kann in seinen Kontoeinstellungen auf „2FA deaktivieren" klicken

Häufig gestellte Fragen

F: Reicht ein starkes Passwort nicht aus?

A: Auch starke Passwörter können durch Phishing, Malware oder Datenlecks in falsche Hände geraten — das ist in der Hotellerie leider häufig zu sehen. 2FA schützt Sie zusätzlich: Selbst wenn das Passwort kompromittiert wurde, können Unbefugte sich nicht anmelden, weil der zweite Faktor fehlt.

F: Warum eine Authenticator-App und nicht SMS oder E-Mail?

A: SMS-Codes können durch SIM-Swapping oder andere Angriffe abgefangen werden und funktionieren nicht, wenn kein Mobilfunksignal vorhanden ist. E-Mail-Codes sind unsicher, wenn das E-Mail-Konto selbst kompromittiert wurde. Authenticator-Apps generieren Codes lokal auf Ihrem Gerät, benötigen keine Netzwerkverbindung und verfallen nach 30 Sekunden — deutlich sicherer.

F: Was ist, wenn ich meinen Code vergesse?

A: Der Code ist zeitbasiert und ändert sich alle 30 Sekunden. Warten Sie einfach bis zur nächsten Seite — dann generiert Ihre App einen neuen Code. Sie haben etwa 60 Sekunden Zeit, einen Code einzutippen oder können zwischen Ihrem Smartphone und Computer Copy-Pasten.

F: Was passiert, wenn ich mein Smartphone verliere?

A: Sie können sich nicht mehr anmelden. Wir empfehlen daher: - Kontaktieren Sie den igumbi Support — wir deaktivieren die 2FA für Ihr Konto - Nach der Deaktivierung können Sie sich mit Passwort anmelden - Sie können dann 2FA mit einem neuen Smartphone erneut aktivieren

Tipp: Wenn möglich, machen Sie 2FA auf einem Smartphone ein Backup (viele Authenticator-Apps bieten Cloud-Backups).

F: Funktioniert 2FA auf dem Desktop und Smartphone?

A: Ja! 2FA funktioniert überall — Sie melden sich an, geben Ihren Code ein, und Sie sind online. Die Authenticator-App muss nur auf einem Gerät sein (normalerweise Ihr Smartphone), aber die Code-Eingabe funktioniert auf jedem Gerät.

F: Kostet 2FA extra?

A: Nein. 2FA ist kostenlos und für alle igumbi-Benutzer verfügbar.

F: Welche Authenticator-Apps funktionieren?

A: Alle Standard-Apps, die RFC 6238 (Zeitbasierte Einmalpasswörter) unterstützen, funktionieren:

• Google Authenticator (kostenlos, Android & iOS)
• Microsoft Authenticator (kostenlos, Android & iOS)
• Authy (kostenlos, Android & iOS)
• FreeOTP (kostenlos, Open Source, Android & iOS)
• Proton Authenticator (kostenlos, Android & iOS)
• Und viele weitere

Alle diese Apps sind kostenlos erhältlich im Google Play Store oder Apple App Store.

Unsere Empfehlung: Proton Authenticator — kostenlos, Open Source und von einem datenschutzorientierten schweizer Anbieter, der nicht zu den großen US-Anbietern gehört.

Unsere Empfehlung

Für Hotels mit mehreren Mitarbeitern:

Aktivieren Sie 2FA. Es ist eine kleine Investition in Sicherheit mit großem Nutzen: - Jeder Mitarbeiter hat sein Konto und nur sie/er kann darauf zugreifen - Unbefugte können nicht zugreifen

Für kleine Betriebe (1–2 Personen):

2FA ist optional. Wenn Sie: - nur Sie als Inhaber das System nutzen - von einem Ort arbeiten - ein starkes Passwort haben

...dann bietet 2FA wenig zusätzlichen Nutzen. Sie können die Funktion nutzen, müssen es aber nicht.

Nächste Schritte

1. Jeder Mitarbeiter erstellt ein eigenes Benutzerkonto (falls noch nicht geschehen)
2. Entscheiden Sie, wer 2FA aktivieren sollte
3. Testen Sie es: Der erste Mitarbeiter aktiviert 2FA und meldet sich an
4. Rollen Sie es aus: Nach erfolgreicher Testung können weitere Mitarbeiter folgen

Bereit zum Starten? Jeder Mitarbeiter kann 2FA direkt in den Kontoeinstellungen aktivieren. Haben Sie Fragen oder benötigen Unterstützung? Unser Team hilft gerne weiter.

Technische Details (für Sicherheits-interessierte)

2FA in igumbi basiert auf dem RFC 6238-Standard (TOTP: Time-based One-Time Password):

• Algorithmus: HMAC-SHA1 (Branchenstandard)
• Code-Länge: 6 Ziffern
• Code-Gültigkeitsdauer: 30 Sekunden
• Akzeptanzfenster: ±30 Sekunden (total ±60 Sekunden), um Zeitschwankungen zu berücksichtigen
• Speicherung: Der geheime Schlüssel wird verschlüsselt gespeichert und nie per E-Mail versendet

Das ist die gleiche Technologie, die auch Google, Microsoft, Amazon und andere große Unternehmen für 2FA einsetzen.