Kann ich die Zwei-Faktor-Authentifizierung in Zircon CRM für alle Mitarbeiter vorschreiben?

Nein. In Zircon CRM entscheidet jeder Mitarbeiter im eigenen Profil, ob nach dem Passwort ein E-Mail-Code oder eine Authenticator-App folgt. Weil sie sich nicht erzwingen lässt, richten Sie sie am besten bei der Einführung gemeinsam mit allen ein.

Welche Authenticator-Apps funktionieren mit Zircon CRM?

Zircon CRM nutzt den TOTP-Standard. Google Authenticator und jede kompatible Authenticator-App funktionieren. Bei der Einrichtung erhalten Sie einen QR-Code und einen geheimen Schlüssel zur manuellen Eingabe, der QR-Code trägt Ihren Firmennamen.

Sehen Administratoren in Zircon CRM die Passwörter der Mitarbeiter?

Nein. Zircon CRM speichert Passwörter als Einweg-Hash mit bcrypt, niemand kann sie lesen. Administratoren können ein neues Passwort setzen, Mitarbeiter ändern ihr eigenes im Profil nach Eingabe des alten.

Was passiert, wenn sich jemand mit falschem Passwort bei Zircon CRM anmelden will?

Zircon CRM lehnt die Anmeldung mit einer allgemeinen Meldung ab, die nicht verrät, ob das Konto existiert, und protokolliert den Versuch mit E-Mail und IP-Adresse. Eine Kontosperre gibt es nicht. Schalten Sie deshalb den zweiten Schritt ein: Damit reicht ein Passwort allein nicht.

Was schützt die Anmeldung zum Kundenportal von Zircon CRM?

reCAPTCHA bei Anmeldung und Registrierung, Honeypot-Felder bei der Selbstregistrierung sowie E-Mail-Bestätigung und Freigabe durch einen Administrator für neue Registrierungen. Inaktive Kontaktpersonen können sich nicht anmelden. Eine Zwei-Faktor-Anmeldung für Kontaktpersonen gibt es nicht.

Zircon CRM / Administration

Läuft im Browser · DE / EN / HU

Zwei-Faktor-Authentifizierung, reCAPTCHA und Anmeldeprotokoll

In Zircon CRM liegen Ihre Kunden, Verträge und Rechnungen. Deshalb zählt, wer sich anmelden darf. Mitarbeiter ergänzen ihr Passwort um einen Code per E-Mail oder eine Authenticator-App, reCAPTCHA schützt Anmeldeseiten und öffentliche Formulare. Anmeldeversuche landen mit IP-Adresse im Aktivitätsprotokoll.

20-Minuten-Demo anfragen Alle Module

E-Mail-Code oder AuthenticatorReset-Links eine Stunde gültigAnmeldeprotokoll mit IP-Adresse

Kurz gesagt

Wie schützt Zircon CRM die Anmeldung?

Zircon CRM schützt die Anmeldung in mehreren Schichten. Mitarbeiter können die Zwei-Faktor-Authentifizierung einschalten: Nach dem Passwort fragt das System einen einmal gültigen Code per E-Mail oder den sechsstelligen Code einer Authenticator-App ab. reCAPTCHA schützt Anmeldeseiten und öffentliche Formulare, Anmeldungen und Fehlversuche werden mit IP-Adresse protokolliert. Gedacht für Administratoren und Geschäftsführung.

Kommt Ihnen das bekannt vor?

Ein Passwort steht vor Ihren Kundendaten.

Wenn einer dieser Punkte zutrifft, ist die Anmeldung bei Ihnen eine Schwachstelle.

01
Dasselbe Passwort an fünf Stellen
Ein Vertriebler nutzt für das CRM dasselbe Passwort wie für einen Onlineshop, der vor Jahren gehackt wurde. Gelangt es nach außen, reicht das Passwort allein für die Anmeldung.
02
Keine Spur, wer sich angemeldet hat
Sie finden eine seltsame Änderung an einem Kundendatensatz, können aber nicht nachsehen, wer sich an dem Tag von wo angemeldet hat.
03
Bots füllen Ihre Formulare aus
Auf Registrierungs- und Anfrageformularen landen täglich automatische Einträge, und jemand löscht sie von Hand.
04
Der Reset-Link lebt wochenlang
Eine alte E-Mail zum Zurücksetzen des Passworts würde noch Wochen später jeden hereinlassen, der das Postfach lesen kann.

Was es kann

So schützt Zircon CRM die Anmeldung und alles danach.

Der Schutz beginnt bei der Anmeldung und setzt sich bei Konten, Links und gespeicherten Geheimnissen fort.

Zwei-Faktor-Authentifizierung per E-Mail-Code oder App

Jeder Mitarbeiter wählt im eigenen Profil: aus, E-Mail-Code oder Authenticator-App. Der E-Mail-Code gilt eine Stunde und nur einmal. Die App-Variante folgt dem TOTP-Standard, jede kompatible Authenticator-App funktioniert, und falsche Codes werden mit IP-Adresse protokolliert.

Deaktivierung wirkt sofort

Inaktive Mitarbeiter und Kontaktpersonen können sich nicht anmelden. Wer bereits angemeldet ist, wird beim nächsten Klick abgemeldet.

Kurzlebige Links und Sitzungen

Links zum Zurücksetzen des Passworts gelten eine Stunde, Links zum Setzen des Passworts für Kontaktpersonen 48 Stunden, Links zur E-Mail-Bestätigung zwei Tage. Sitzungen laufen standardmäßig nach 8 Stunden Inaktivität ab, und „Angemeldet bleiben“ ist an den Browser gebunden, in dem es entstand.

reCAPTCHA und Honeypot-Felder

Google reCAPTCHA schützt die Anmeldung für Mitarbeiter und Kunden, die Kundenregistrierung, das öffentliche Ticketformular und jedes Lead- oder Anfrageformular, bei dem Sie es einschalten. Büro-IP-Adressen lassen sich ausnehmen. Versteckte Honeypot-Felder filtern zusätzlich Selbstregistrierungen.

Passwörter und Geheimnisse unlesbar

Passwörter von Mitarbeitern und Kontaktpersonen werden als Einweg-Hash mit bcrypt gespeichert, auch Administratoren können sie nicht lesen. Postfach-Passwörter, OAuth-Geheimnisse und Authenticator-Schlüssel liegen verschlüsselt mit dem eigenen Schlüssel Ihrer Installation.

Anmeldeprotokoll

Das Aktivitätsprotokoll erfasst erfolgreiche und fehlgeschlagene Anmeldungen, Versuche mit unbekannter E-Mail-Adresse, fehlgeschlagene zweite Schritte und Passwort-Resets, mit Datum und IP-Adresse. Nur Administratoren sehen es und können nach Datum filtern.

Geschützte Dokumentlinks

Geteilte Links zu Rechnungen, Kostenvoranschlägen und Verträgen lassen sich so einstellen, dass sie nur angemeldete Portalnutzer öffnen. Der öffentliche Ticketlink lässt sich abschalten.

Schutz in der Anwendung

Jedes Formular und jede Datenanfrage trägt ein Sicherheitstoken gegen Cross-Site-Request-Forgery (CSRF). Hochgeladen werden nur erlaubte Dateitypen, für Ticketanhänge gilt eine eigene Liste.

So funktioniert es

Fünf Schritte zu einer soliden Grundeinstellung.

01
Ausgehende E-Mail einrichten
Am besten mit Microsoft- oder Gmail-OAuth 2.0, damit kein Postfach-Passwort gespeichert werden muss. E-Mail-Codes und Reset-Links laufen über diesen Weg.
02
reCAPTCHA-Schlüssel eintragen
reCAPTCHA für Kundenanmeldung und Registrierung einschalten, ebenso für jedes öffentliche Lead- oder Anfrageformular.
03
Über Selbstregistrierung entscheiden
Abschalten oder an Freigabe durch einen Administrator und E-Mail-Bestätigung knüpfen.
04
Das Team um den zweiten Schritt bitten
Bitten Sie alle Mitarbeiter, ihn im Profil einzuschalten, am besten mit einer Authenticator-App.
05
Das Protokoll regelmäßig prüfen
Filtern Sie das Aktivitätsprotokoll nach Datum und achten Sie auf Fehlversuche und unbekannte IP-Adressen.

Arbeitet zusammen mit

Auch nach der Anmeldung entscheidend.

Ehrlich gesagt

Gut zu wissen, bevor Sie starten.

Die Zwei-Faktor-Anmeldung wählt jeder Mitarbeiter selbst. Sie lässt sich nicht verpflichtend machen und steht Kontaktpersonen im Kundenportal nicht zur Verfügung.
Zircon CRM sperrt Konten nach Fehlversuchen nicht und begrenzt die Zahl der Versuche nicht. Die Anmeldung schützen der zweite Schritt, reCAPTCHA und das Anmeldeprotokoll.
E-Mail-Codes und Reset-Links brauchen funktionierenden E-Mail-Versand, die Authenticator-App eine Bildverarbeitungs-Erweiterung auf dem Server, reCAPTCHA eigene Google-reCAPTCHA-Schlüssel.
Administratoren können das Aktivitätsprotokoll leeren. Als Nachweis taugt es nur, solange niemand es löscht.
Sitzungsdauer und Cookie-Sicherheit legt die Serverkonfiguration fest, nicht die Oberfläche.

Bevor Sie schreiben

Berechtigte Fragen. Ehrliche Antworten.

01
Kann ich die Zwei-Faktor-Authentifizierung in Zircon CRM für alle Mitarbeiter vorschreiben?
Nein. In Zircon CRM entscheidet jeder Mitarbeiter im eigenen Profil, ob nach dem Passwort ein E-Mail-Code oder eine Authenticator-App folgt. Weil sie sich nicht erzwingen lässt, richten Sie sie am besten bei der Einführung gemeinsam mit allen ein.
02
Welche Authenticator-Apps funktionieren mit Zircon CRM?
Zircon CRM nutzt den TOTP-Standard. Google Authenticator und jede kompatible Authenticator-App funktionieren. Bei der Einrichtung erhalten Sie einen QR-Code und einen geheimen Schlüssel zur manuellen Eingabe, der QR-Code trägt Ihren Firmennamen.
03
Sehen Administratoren in Zircon CRM die Passwörter der Mitarbeiter?
Nein. Zircon CRM speichert Passwörter als Einweg-Hash mit bcrypt, niemand kann sie lesen. Administratoren können ein neues Passwort setzen, Mitarbeiter ändern ihr eigenes im Profil nach Eingabe des alten.
04
Was passiert, wenn sich jemand mit falschem Passwort bei Zircon CRM anmelden will?
Zircon CRM lehnt die Anmeldung mit einer allgemeinen Meldung ab, die nicht verrät, ob das Konto existiert, und protokolliert den Versuch mit E-Mail und IP-Adresse. Eine Kontosperre gibt es nicht. Schalten Sie deshalb den zweiten Schritt ein: Damit reicht ein Passwort allein nicht.
05
Was schützt die Anmeldung zum Kundenportal von Zircon CRM?
reCAPTCHA bei Anmeldung und Registrierung, Honeypot-Felder bei der Selbstregistrierung sowie E-Mail-Bestätigung und Freigabe durch einen Administrator für neue Registrierungen. Inaktive Kontaktpersonen können sich nicht anmelden. Eine Zwei-Faktor-Anmeldung für Kontaktpersonen gibt es nicht.

Sprechen wir.

Das erste Gespräch ist unverbindlich
Ein Mensch antwortet — kein Bot

Bringen Sie Ihre aktuellen Passwort- und Zugangsregeln mit, falls es welche gibt. In der Demo gehen wir eine Anmeldung mit Authenticator-App durch und zeigen, was das Protokoll bei einem falschen Passwort festhält.

E-Mail: hello@zircon.hu
Telefon: +36 30 487 7979
Erreichbar: Werktags 9–17 Uhr
Support: support@zircon.hu (für Bestandskunden)