Überblick

Im Kundenportal sehen Ihre Kunden ihre Rechnungen, Abos und Zahlungsdaten – also genau das, was niemand sonst sehen sollte. Zur Absicherung gibt es Passkeys (Anmeldung per Fingerabdruck, Gesichtserkennung oder Geräte-PIN) und die Zwei-Faktor-Authentifizierung per App. Sie entscheiden als Anbieter über den Rahmen; ob ein Kunde sie nutzt, entscheidet er selbst – es sei denn, Sie machen 2FA zur Pflicht.

Was Ihre Kunden einrichten können

• Passkey – der Kunde meldet sich mit dem an, was sein Gerät ohnehin schützt. Es gibt kein Passwort, das erraten oder abgephisht werden könnte. Mehrere Passkeys je Kunde sind möglich, etwa für Laptop und Telefon.
• Zwei-Faktor-Authentifizierung – zusätzlich zum Passwort ein Code aus einer Authenticator-App. Beim Einrichten bekommt der Kunde Wiederherstellungscodes; sie sind der Rettungsanker, wenn das Telefon verloren geht. Jeder Code lässt sich nur einmal verwenden.

Beides findet der Kunde im Portal unter „Sicherheit" und kann es dort jederzeit selbst aktivieren und wieder entfernen.

Was Sie einstellen

Unter Einstellungen → Kundenportal → Sicherheit gibt es vier Stellschrauben. Nur der Account-Inhaber darf sie ändern.

• Passkey-Anmeldung erlauben. Ausgeschaltet blendet das Portal die Passkey-Schaltflächen aus und blockiert die Neuanmeldung; bereits hinterlegte Passkeys bleiben gespeichert.
• 2FA für Endkunden verpflichtend. Kunden ohne 2FA sehen dann 30 Tage lang einen Hinweis im Portal; danach wird der Zugang ohne 2FA blockiert. Das 2FA-Angebot selbst lässt sich nicht abschalten.
• Magic-Link überspringt 2FA. Diese Einstellung entscheidet, ob ein per E-Mail zugeschickter Anmeldelink den zweiten Faktor ersetzt. Für reine B2C-Angebote ist das bequem; wo sensible Daten im Portal liegen, lassen Sie sie aus – sonst genügt der Zugriff auf das E-Mail-Postfach des Kunden.
• Automatische Abmeldung bei Inaktivität. Meldet angemeldete Kunden nach einer Zeit ohne Aktivität ab. Die Grenze gilt für alle Ihre Kunden und wird zusätzlich serverseitig durchgesetzt – ein offener Laptop im Büro ist damit kein dauerhaft offenes Portal.

Sinnvoll ist, Passkeys zu erlauben und Ihren Kunden die Wahl zu lassen: Passkeys sind bequemer, eine Authenticator-App funktioniert auf jedem Gerät.

In das Portal eines Kunden schauen

Fragt ein Kunde, warum er eine Rechnung nicht findet, hilft ein Blick auf genau seine Ansicht. Auf der Kunden-Detailseite gibt es dafür „Ins Kundenportal einloggen". Der Knopf öffnet das Portal in einem neuen Tab, angemeldet als dieser Kunde.

• Die Sitzung gilt 48 Stunden; der Hinweis am Knopf nennt diese Grenze schon vor dem Klick.
• Voraussetzung ist ein eingerichteter Portal-Zugang des Kunden. Fehlt er, lehnt Kyvento den Aufruf ab.
• Ihre eigene Kyvento-Anmeldung bleibt unberührt, und eine Abmeldung im Portal-Tab wirkt nicht auf die Sitzung, die Ihr Kunde auf seinem Gerät hat.
• Jeder Aufruf wird protokolliert – mit Ihrer Benutzerkennung und dem betroffenen Kunden.
• Die Funktion setzt eine persönliche Anmeldung voraus; über API-Token steht sie nicht zur Verfügung.

Behandeln Sie den Zugang wie das, was er ist: eine Einsicht in die Daten eines Dritten. Nutzen Sie ihn für den konkreten Anlass, nicht als Dauerzugang.

Der Sicherheits-Reset

Für zwei Notfälle – ein Kunde ist ausgesperrt, oder ein Zugang scheint kompromittiert – gibt es einen Vorgang. Er räumt den Portal-Zugang vollständig ab: Die Zwei-Faktor-Authentifizierung wird deaktiviert, alle hinterlegten Passkeys werden gelöscht, alle angemeldeten Geräte werden ausgeloggt und noch offene Anmelde-Links entwertet.

Das ist Absicht und kein Zuviel: Wer den Reset auslöst, tut es, weil der Zugang womöglich in fremder Hand ist. Bliebe ein Passkey oder ein bereits verschickter Login-Link bestehen, entwertete der Reset alles außer genau dem Weg, über den der Angreifer hereinkam.

Der Kunde richtet danach alles neu ein – Passkey und zweiter Faktor sind weg, nicht nur einer davon. Sagen Sie ihm das dazu, sonst steht er vor einem Portal, das ihn plötzlich nicht mehr kennt.

Wie Sie ihn auslösen

Eine Schaltfläche in der Oberfläche gibt es dafür bislang nicht. Der Vorgang lässt sich aus einer angemeldeten Sitzung heraus über die Schnittstelle auslösen (POST /api/v1/customers/{id}/reset-2fa); Kyvento fragt dabei Ihr Passwort erneut ab. Über API-Token ist der Endpunkt bewusst nicht erreichbar. Wenn Sie diesen Weg nicht selbst gehen möchten, wenden Sie sich an unseren Support – wir lösen den Reset aus.

Halten Sie bereit, um welchen Kunden es geht und warum. Und prüfen Sie vorher, mit wem Sie sprechen: Ein Reset entfernt sämtliche Schutzschichten auf einmal – genau das ist der Hebel, den jemand von außen sucht. Ein Rückruf unter der hinterlegten Nummer ist die einfachste Absicherung. Jeder Reset wird protokolliert und bleibt nachvollziehbar.

Gut zu wissen

• Passkeys sind an das Gerät gebunden, auf dem sie erstellt wurden – oder an den Passwortmanager des Kunden, wenn er sie dort synchronisiert.
• Wer alle Wiederherstellungscodes aufgebraucht hat, sollte im Portal neue erzeugen, bevor er sie braucht.
• Diese Einstellungen betreffen ausschließlich das Kundenportal. Die Absicherung Ihres eigenen Kyvento-Zugangs steht in Zwei-Faktor-Authentifizierung aktivieren.

Nächste Schritte

• Sichern Sie Ihren eigenen Zugang ab – siehe Zwei-Faktor-Authentifizierung aktivieren