Teknoloji ve güvenlik · · 5 dk. okuma · Yazar: Alexander
İki faktörlü kimlik doğrulama: şirket hesapları için temel koruma
İki faktörlü kimlik doğrulama, şirket hesabının parolasına ikinci bir kontrol ekler. İkinci faktör ve hesap kurtarma doğru yapılandırılmışsa çalınan veya tahmin edilen parola giriş için tek başına yeterli olmaz.
İki faktörlü kimlik doğrulama nedir?
2FA iki farklı kanıt türünü birleştirir: bildiğiniz bir Passwort ile sahip olduğunuz bir telefon veya Sicherheitsschlüssel gibi. Parmak izi ya da yüz de sürece dahil olabilir. İki ayrı parola gerçek 2FA değildir; ikisi de bilgi faktörüdür.
Faydası nettir: saldırgan parolayı ele geçirse bile ikinci faktör olmadan hemen giriş yapamaz. Almanya Federal Bilgi Güvenliği Dairesi BSI, önemli Online-Konten için Zwei-Faktor-Authentisierung öneriyor ve güvenliği belirgin biçimde artırdığını açıklıyor. Kaynak: BSI 2FA ve sichere Passwörter bilgileri, erişim 03.11.2026.
2FA her saldırıyı durdurmaz. Sahte giriş sayfası tek kullanımlık kodu isteyebilir; dikkatsiz onaylanan Push talebi korumayı aşabilir. Bu nedenle açık süreçler ve güvenli kurtarma gerekir.
Hangi şirket hesapları önce 2FA ile korunmalı?
Diğer hizmetleri açabilecek veya işletmeyi durdurabilecek hesaplardan başlayın. İş E-Mail hesabı genellikle ilk sıradadır; parola sıfırlama bağlantıları, faturalar ve gizli veriler buradan geçer. Sonra Admin-Zugänge, Cloud, Buchhaltung, Online-Banking, Domain ve Hosting yönetimi, Social Media ve reklam hesapları gelir.
Hizmet, sorumlu kişi, hesap sahibi, 2FA yöntemi ve kurtarma yolunu gösteren bir erişim listesi hazırlayın. Ortak parolaları, eski çalışan hesaplarını ve yedeği olmayan yöneticileri böyle görürsünüz. Parolaları tabloda değil Passwortmanager içinde tutun.
Günlük kullanıma göre değil olası zarara göre öncelik verin. Seyrek açılan Domain-Registrar, ele geçirilen DNS hem web sitesini hem e-postayı etkileyebileceği için Newsletter-Tool hesabından daha kritik olabilir.
- İş E-Mail ve merkezi kimlik hesapları
- Website, Hosting, Domain ve DNS yönetimi
- Cloud, Buchhaltung, Banking ve ödeme hizmetleri
- CRM, Kundendaten, Terminbuchung ve Fachsoftware
- Social Media, Google-Unternehmensprofil ve reklam hesapları
Küçük işletme için hangi 2FA yöntemi uygun?
Yöntemlerin koruma düzeyi farklıdır. SMS yalnız paroladan genellikle iyidir, fakat telefon numarasına bağlıdır. Authenticator-App cihazda süreli kod üretir. Push onayı kullanışlıdır; çalışanların her isteği düşünmeden kabul etmemesi için giriş ayrıntıları veya sayı eşleştirme göstermelidir.
FIDO2 tabanlı Hardware-Sicherheitsschlüssel ve Passkeys, girişi gerçek hizmete daha güçlü bağlar ve Phishing saldırılarına dayanıklıdır. BSI, FIDO2 yöntemini güçlü veya parolasız giriş olarak tanımlıyor ve önemli hesaplar için güvenli ikinci faktörler öneriyor. Kaynak: BSI FIDO2 ve Zwei-Faktor-Authentisierung, erişim 03.11.2026.
| Yöntem | Koruma | Tipik kullanım |
|---|---|---|
| SMS kodu | Yalnız paroladan iyi, telefon numarasına bağlı | Hizmet daha güçlü seçenek sunmuyorsa geçiş çözümü |
| Authenticator kodu | İnternetsiz çalışır; Phishing sayfasına girilebilir | Küçük ekipler için pratik standart |
| Push onayı | Kolay; dikkatsiz onay riski vardır | Giriş ayrıntısı veya sayı eşleştirmeyle |
| Hardware-Key / FIDO2 | Phishing saldırılarına karşı güçlü | E-Mail, Admin, Cloud, Domain ve kritik hesaplar |
| Passkey | Cihaz korumalı ve Phishing dayanımlı giriş | Hizmet ve Geräteverwaltung güvenilir destekliyorsa |
2FA varken parolalar yine güçlü olmalı mı?
Evet. Bir Anbieter ihlali E-Mail, Hosting veya Buchhaltung hesabını açmamalı; bu nedenle her hesap benzersiz ve yeterince uzun parola kullanmalıdır. Passwortmanager rastgele parolalar üretip saklar.
BSI her hizmet için ayrı parola ve Passwortmanager kullanımını öneriyor. Manager için uzun, hatırlanabilir Master-Passwort seçin ve onu da 2FA ile koruyun. Kaynak: BSI sichere Passwörter ve Passwortmanager rehberi, erişim 03.11.2026.
Ortak Login yerine kişisel Konten kullanın. Böylece yetkiler göreve göre verilir ve çalışan ayrıldığında tek hesap kapatılır.
2FA işletmede karışıklık olmadan nasıl kurulur?
Bir sorumlu ve sıra belirleyin. Önce E-Mail ve bir Admin-Zugang üzerinde pilot kurulum yapın, adımları belgeleyin ve tüm ekibe geçmeden ikinci cihazda girişi test edin.
Telefon kaybını planlayın: Ersatzgerät kimden alınır, Wiederherstellungscodes nerede tutulur ve iki yönetici kritik hesabı kurtarabilir mi? Backup-Codes şifreli veya fiziksel korumalı biçimde, günlük telefondan ayrı saklanmalıdır.
Çalışanlara kısa eğitim verin: beklenmeyen Push taleplerini reddetmek, giriş adresini kontrol etmek, kodu telefonda paylaşmamak ve şüpheli durumu hemen bildirmek. Yönetilen Website-Abo, site Updates, Backups ve rollerini düzenleyebilir; E-Mail ve Cloud için yine şirket süreci gerekir.
- Erişim listesi hazırlayıp kritik hesapları işaretlemek
- Ortak Login yerine kişisel Konten açmak
- Passwortmanager seçip 2FA ile korumak
- Önce E-Mail, Admin, Cloud ve finans hesaplarını geçirmek
- Backup-Codes, Ersatzgerät ve Vertretung test etmek
- Çalışan ayrılışında hesap kapatmayı belgelemek
Almanya’da 2FA yasal olarak zorunlu mu?
Her küçük işletmenin her hesabında 2FA kullanmasını isteyen genel bir kural yoktur. Ancak Art. 32 DSGVO; risk, Stand der Technik ve işleme koşullarına uygun technische und organisatorische Maßnahmen ister. Kaynak: EUR-Lex üzerinden Art. 32 DSGVO, erişim 03.11.2026.
Gesundheitsdaten, kapsamlı Kundendaten, Personalakten veya Zahlungsdaten için tek parolayı yeterli koruma olarak savunmak daha zordur. Sözleşmeler, Cyberversicherung, Auftraggeber veya sektör kuralları da MFA isteyebilir.
Hangi sistemde hangi yöntemin ne zaman etkinleştirildiğini, kurtarma ve erişim iptal sürecini belgeleyin. Bu kayıt iç kontrollerde, sigorta sorularında ve olay yönetiminde yardımcı olur.
2FA Notfallplan içinde neler olmalı?
Cihaz kaybında kimin aranacağını, faktörün nasıl kapatılacağını, Ersatzschlüssel konumunu ve kimlik kontrol yetkisini belirleyin. En az iki yetkili kişi kritik şirket Konten hesaplarını ortak günlük anahtar olmadan kurtarabilmelidir.
Çalışan veya cihaz değişiminden sonra kurtarmayı test edin. Eski telefonları, numaraları, App-Verknüpfungen ve anahtarları silin; aktif oturumları da kontrol edin.
Şüpheli girişte güvenilir cihazdan parolayı değiştirin, bilinmeyen oturum ve faktörleri iptal edin, Weiterleitungen, roller ve Recovery-Adressen kontrol edin. Zamanı ve işlemleri kaydedip DSGVO Meldepflicht olup olmadığını değerlendirin.
2FA hakkında sık sorulan sorular
SMS ile 2FA yeterli mi?
Genellikle yalnız paroladan iyidir; kritik hesaplarda Authenticator, Passkey veya Hardware-Key daha güçlüdür.
2FA telefonu kaybolursa ne olur?
Faktörü hemen kapatın ve test edilmiş Backup-Codes, Ersatzgerät veya ikinci yöneticiyle kurtarın.
Her çalışan ayrı hesap kullanmalı mı?
Evet. Kişisel Konten izlenebilir ve ayrı ayrı kapatılabilir.
Saldırgan 2FA sistemini aşabilir mi?
Phishing, çalınmış oturum veya dikkatsiz Push onayıyla olabilir. FIDO2 riski azaltır.
Kurtarma kodları nerede saklanmalı?
Şifreli veya fiziksel korumalı, günlük telefon ve dizüstü bilgisayardan ayrı tutulmalıdır.