Nicht allgemein verfügbar. Die zertifikatsbasierte Authentifizierung wird als kundenspezifische Konfiguration umgesetzt und gemeinsam mit Flip entworfen und eingerichtet.

Mit der zertifikatsbasierten Authentifizierung melden sich Mitarbeitende über ein Zertifikat an, das dein Unternehmen auf dem Gerät hinterlegt hat, statt über einen zweiten Faktor auf einem privaten Handy. Sie ist für die Fälle gebaut, in denen eine App für Einmalcodes oder ein Passkey nicht praktikabel ist: Produktions- und Werksbereiche, in denen private Handys nicht erlaubt sind, und Geräte, die sich mehrere Personen teilen.

Die Zertifikate stellt deine Zertifizierungsstelle aus. Flip wird so konfiguriert, dass es dieser Stelle vertraut. Ab dann funktioniert jedes Zertifikat, das sie signiert, und jedes, das sie widerruft, funktioniert nicht mehr, ohne dass auf der Flip-Seite etwas registriert werden muss.

Verfügbarkeit

Dies ist keine allgemein verfügbare Funktion. Es gibt keine Einstellung zum Selbstaktivieren, und das Verhalten ist nicht für jedes Unternehmen identisch.

Was das praktisch bedeutet:

• Ob die Funktion für dein Unternehmen überhaupt verfügbar ist, ist ein eigenes Gespräch. Diese Seite beschreibt das Verfahren; sie bedeutet nicht, dass die Funktion bestellbar ist.
• Die Konfiguration wird mit dir abgestimmt und für deine Umgebung gebaut. Mehrere der Punkte unter Was wir gemeinsam entscheiden haben keine Standardantwort.
• Umfang, Fristen und Support ergeben sich aus dem, was mit Flip vereinbart ist, nicht aus dieser Seite.
• Der Text ist so geschrieben, dass deine IT- und Sicherheitsteams das Verfahren bewerten können. Es ist keine Anleitung zur Selbsteinrichtung.

Sprich mit deinem Customer Success Manager, bevor du auf Basis dieser Seite planst.

Zwei Einsatzarten

Ob ein Zertifikat gerätebezogen oder nutzerspezifisch (personalisiert) ausgestellt wird, entscheidest du. Beides lässt sich in verschiedenen Teilen deines Bestands parallel einsetzen.

Das Verfahren ermöglicht insbesondere die personalisierte Anmeldung mehrerer Nutzender auf gemeinsam genutzten Geräten. Mehrere Personen nutzen dasselbe Gerät, jede meldet sich als sie selbst an, und keine davon braucht dafür ein Handy.

Warum das weiterhin zwei Faktoren sind

Der häufigste Einwand lautet, dass mit dem Einmalcode ein Faktor wegfällt. Das ist nicht der Fall. Der Besitzfaktor wandert vom privaten Handy auf das Gerät, das dein Unternehmen kontrolliert.

In Kombination mit einem persönlichen Passwort oder einer PIN ergibt sich eine Anmeldung mit zwei Faktoren; bei personalisierten Zertifikaten sind beide Faktoren nutzergebunden.

Wie stark der Besitzfaktor ist, hängt davon ab, wo der private Schlüssel liegt. Ein Schlüssel in der Gerätehardware, in einem Sicherheitschip oder auf einer Smartcard lässt sich nicht vom Gerät kopieren, und das ist der starke Fall. Ein Zertifikat, dessen Schlüssel exportierbar ist, ist deutlich schwächer. Plane hardwaregebundene Schlüssel überall dort ein, wo deine Geräte das hergeben.

Was du bereitstellst

• Eine Zertifizierungsstelle. Eine eigene oder eine, die in deinem Geräteverwaltungssystem enthalten ist. Flip stellt keine Zertifikate aus.
• Einen Weg, Zertifikate auf die Geräte zu bringen, in der Regel ein MDM. Siehe den nächsten Abschnitt.
• Eine veröffentlichte Sperrinformation, damit Flip bei jeder Anmeldung prüfen kann, ob ein Zertifikat noch gültig ist.
• Eine Entscheidung zur Ausgabepolitik: wer ein personalisiertes Zertifikat bekommt, welche Geräte ein gerätebezogenes bekommen, und wie lange Zertifikate gültig sind.

Wie die Zertifikate auf die Geräte kommen

Für Flip spielt der Weg keine Rolle. Es sieht immer nur ein signiertes Zertifikat.

• Mobile-Device-Management-System (MDM), der Regelfall. Gängige MDM-Produkte können Zertifikate bei deiner Zertifizierungsstelle anfordern und automatisch installieren, wobei der private Schlüssel in der Gerätehardware abgelegt wird. Eine Richtlinie entscheidet, ob ein Gerät ein personalisiertes oder ein gerätebezogenes Zertifikat erhält.
• Active Directory. Auf domänengebundenen Windows-Rechnern erledigt die automatische Ausstellung dasselbe ohne MDM.
• Smartcard oder Sicherheitsschlüssel. Das Zertifikat muss nicht in Software liegen. Ein Mitarbeitendenausweis mit Smartcard-Chip oder ein Sicherheitsschlüssel per NFC oder USB funktioniert genauso.

Alle drei enden am selben Punkt: einem Zertifikat, das von einer Stelle signiert ist, der Flip vertraut. Das Vertrauen wird einmal konfiguriert, und du wählst den Ausbringungsweg, der zu deinem Bestand passt.

Eine eigene Anmeldeadresse

Das ist eine technische Randbedingung mit sichtbarer Folge, also plane sie ein.

Ein Server kann ein Zertifikat nur entgegennehmen, wenn er beim Aufbau der gesicherten Verbindung danach fragt, also bevor eine Seite lädt. Fragt er, zeigt der Browser eine Zertifikatsauswahl. Wer kein Zertifikat hat, sähe eine verwirrende Abfrage.

Flip fragt deshalb auf der normalen Anmeldeadresse nicht nach Zertifikaten. Die Zertifikatsanmeldung läuft über eine eigene Adresse, die nur dafür genutzt wird, und die normale bleibt unberührt. In der Praxis:

• Im Web erreichen Mitarbeitende sie über einen eigenen Einstiegspunkt, sodass nur Personen mit Zertifikat dort landen.
• In der mobilen App kann die Weiterleitung auf verwalteten Geräten automatisch geschehen, ohne dass jemand etwas auswählen muss.

Was Flip konfiguriert

Pro Unternehmen, und größtenteils einmalig:

1. Den Vertrauensanker. Deine Zertifizierungsstelle wird ausschließlich für dein Unternehmen als vertrauenswürdig hinterlegt, sodass sie nie zur Anmeldung bei einem anderen dienen kann.
2. Die Zuordnung des Identifikators. Welches Feld im Zertifikat den Identifikator trägt und wie er einer Person in Flip zugeordnet wird.
3. Die Geräteregel. Woran ein gerätebezogenes Zertifikat von einem personalisierten unterschieden wird.
4. Die Sperrquelle. Wo geprüft wird und wie lange eine zwischengespeicherte Antwort gilt.

Was wir gemeinsam entscheiden

Diese Punkte haben keine Standardantwort. Sie legen euer Sicherheitsniveau und die Bedienung in der Fläche fest und sind der eigentliche Inhalt der Konfigurationsarbeit.

• Welches Zertifikatsfeld den Identifikator trägt und welches Muster zu erwarten ist.
• Woran ein Zertifikat als gerätebezogen und nicht als personalisiert erkannt wird.
• Ob die direkte Anmeldung mit einem personalisierten Zertifikat zusätzlich eine PIN verlangt.
• Auf geteilten Geräten: Länge der PIN und die Sperrregel dahinter.
• Was passiert, wenn kein oder ein ungültiges Zertifikat vorliegt: abweisen oder auf die normale Anmeldung zurückfallen.
• Ob ein gerätebezogenes Zertifikat allen Personen im Unternehmen die Anmeldung erlaubt oder nur einer festgelegten Liste auf diesem Gerät.
• Welche Geräte, Betriebssysteme und Browser in der Fläche funktionieren müssen.

Grenzen, die du einplanen solltest

Offen benannt, weil dein Sicherheitsteam danach fragen wird.

• Das Vertrauen folgt deiner Zertifizierungsstelle. Flip vertraut dem, was sie signiert. Die Sorgfalt bei der Ausgabe auf deiner Seite wird damit zur Sicherheitslage von Flip. Die Gegenmaßnahmen sind, die akzeptierten Namensmuster einzugrenzen und das Vertrauen ausschließlich an dein Unternehmen zu binden.
• Ein Widerruf wirkt nicht sofort. Arbeitet Flip mit einer zwischengespeicherten Sperrliste, kann ein widerrufenes Zertifikat bis zur nächsten Aktualisierung weiter funktionieren. Eine Live-Prüfung ist aktueller, hängt aber davon ab, dass dein Endpunkt erreichbar ist. Das Intervall ist eine Entscheidung und sollte zu eurer Risikobereitschaft passen.
• Flip muss deinen Sperr-Endpunkt erreichen können. Ist er nur im internen Netz veröffentlicht, muss die Erreichbarkeit vor allem anderen gelöst werden. Das ist der häufigste praktische Blocker.
• Ein gerätebezogenes Zertifikat senkt die personenbezogene Sicherheit bewusst. Wer das geteilte Gerät in der Hand hat und einen gültigen Benutzernamen samt PIN kennt, kann sich anmelden. Das ist der beabsichtigte Tausch zugunsten der Bedienbarkeit in der Fläche, und Zertifikat plus PIN halten es bei zwei Faktoren.
• Ein personalisiertes Zertifikat ohne PIN ist reiner Besitz. Stark, wenn der Schlüssel hardwaregebunden und nicht exportierbar ist, schwach, wenn er es nicht ist. Deshalb ist die PIN-Frage oben wichtig.