Es gibt verschiedene Wege die eigene mobile App oder auch die Web Version den eigenen Mitarbeiter*innen verfügbar zu machen und sicherzustellen, dass nur authorisierte Nutzende Zugriff haben. Im folgenden sollen die relevanten Fragestellungen aus der Perspektive der Informationssicherheit erläutert werden. Prinzipiell es das Ziel auf der einen Seite eine maximale Kontrolle des Zugriffs auf das Angebot sicher zu stellen und gleichzeitig aus Sicht der Nutzenden eine komfortable User Experience zu schaffen, die auch zu wiederholter Nutzung führt. Schliesslich will kein Mitarbeitender bei jeder App Öffnung die Zugangsdaten neu eingeben.

Da es bei Mitarbeitenden Apps, in der Regel um interne vertrauliche Inhalte und Informationen geht, hilft moderne Smartphonetechnologie hier dennoch auch auf privaten Endgeräten einen hohes Schutzniveau zu erreichen.

Zugangsdaten

Es gibt verschiedene Möglichkeiten Nutzendendaten so bereit zu stellen, dass Steuerung und Kontrolle des Zugangs gewährleistet sind. Daten können

via Dateiexport (bspw. als verschlüsselte csv Datei) an tchop übermittelt werden; dies kann mittels eines SFTP Folders oder auch eines speziellen Dienstes wie Cryptshare erfolgen
mittels Datenschnittstelle auf Seiten des Backends (bspw. SCIM)
mittels SSO Integration, so dass sich Mitarbeitende über das bestehende interne SSO anmelden können

Für speziellere Anforderungsfälle (bspw. wenn die E-Mail-Adressen oder Telefonnummern nicht aller Mitarbeitenden bekannt sind) gibt es weitere Möglichkeiten (bspw. via Magic Link und SMS). Aber spielen in den meisten Anwendungsfällen keine Rolle und sollen hier nicht weiter beleuchtet werden.

Prinzipiell also geht es um die Frage, ob der bestehende SSO Login des Unternehmensverwendet wird oder ob die Nutzenden einen eigenen Login von tchop zur Verfügung gestellt bekommen. Dabei gibt es für den tchop Login immer zwei Optionen:

Nutzende vergeben sich ein eigenes Passwort (wobei die Anforderungen an dieses anzustimmen sind)
Nutzende erhalten ein Passwort via E-Mail von tchop (Standardeinstellung ist ein zufällig generierstes, fünfstelliges Passwort mit einer Mischung aus Klein-, Großbuchstaben und Zahlen)

In beiden Fällen können Nutzende jederzeit ein Passwort zurücksetzen bzw. ein neues anfordern.

Passwörter werden nur verschlüsselt gespeichert und sind zu keinem Zeitpunkt durch Mitarbeitende, Entwickler oder sonstige Personen auf Seiten von tchop einsehbar.

Das vorgenerierte Passwort wird nur für die Bereitstellung als lesbarer Text verschickt. Gespeichert wird es verschlüsselt, d.h. das gleiche Passwort kann nicht noch einmal in dieser Form bereit gestellt werden.

Zusätzlich zu den beiden beschriebenen Optionen, gibt es die Möglichkeit der Bereitstellung eines sog. Magic Links (siehe unten).

Download App

Neben den Zugangsdaten ist der Download der mobilen Apps eine wichtige Hürde bei der Vertraulichkeit der App Bereitstellung. Hier bieten Apple und Google unterschiedliche Ansätze:

Apps für Mitarbeitende dürfen bei Apple eigentlich nur über den sog. B2B App Store vertrieben werden (mehr dazu siehe 🌐Bereitstellung Apps); neben der Möglichkeit des App Vertriebs über ein internes MDM kann die App über individuelle Download-Links verfügbar gemacht werden; für normale Nutzende ist die App im App Store nicht auffindbar
Apps für Mitarbeitende sind bei Google normal über den App Store verfügbar, da Google keine spezielle B2B App Kategorie kennt (es sei denn das Unternehmen verwendet Google Workplace Services); daher sind Android Apps immer öffentlich verfübar

Details zu dem Prozess des App Deployments und Vertriebs finden Sie hier 📱Mobile App Deployment & Vertrieb.

Zusätzliche Schutzfunktionen

Im Folgenden erläutern wir verschiedene Optionen, um den Zugang zur App über die Anmeldemethode und die individuellen Zugangsdaten hinaus abzusichern.

Option: Biometrische Identifikation

Der Authentifizierungsprozess in mobilen Anwendungen hat sich in den letzten Jahren von einer einfachen Passwort-Validierung zu einer Fingerabdruck-, Sprach- und sogar Gesichtserkennung entwickelt. Alle Apple iPhones verfügen seit 7 Jahren entweder über einen Fingerprint- oder einen Face ID Sensor. Einer CISCO Studie folgend, hatten Ende 2022 81% aller Smartphones eine biometrischen Identifikationsmethode aktiviert.

tchop bietet die wichtigsten Verfahren im Bereich mobiler Endgeräte als Option, um den Zugang nach der Eingabe des Passworts bei jeder zukünftigen App Session zu schützen.

tchop bietet dabei zwei Möglichkeiten:

freiwillige Aktivierung der biometrischen Identifikation durch den Nutzenden
erzwungene Aktivierung der biometrischen Identifikation durch den App Anbieter (als Sie als Kunden)

Im Falle der erzwungenen Aktivierung muss der Nutzende nach der erstmaligen Anmeldung jeden weiteren App Start mit dem biometrischen Merkmal bestätigen. Ohne diese Bestätigung wird der Nutzende wieder zurück auf den Anmeldescreen geworfen. Dort kann er sich wieder mit den bestehenden Anmeldedaten einloggen.

Nutzende, die über kein Smartphone mit biometrischer Identifikationsmethode verfügen, sind bei dieser Einstellung gezwungen sich jedesmal manuell anzumelden.

Option: Multifaktor-Authentifizierung

Die Multifaktor-Authentifizierung ist eine Option, um den Zugriff auf die App, die Web App oder das dahinterliegende tchop CMS noch besser zu schützen - ohne weitere, Personenbezogene Daten verarbeiten zu müssen. Kunden können diese Option auf bestimmte Nutzendengruppen beschränken, um beispielsweise die Administration und Redaktion des Angebots besonders zu schützen.

Die Multifaktor-Authentifizierung bei tchop funktioniert dabei mit gängigen Authenticator-Apps wie dem Microsoft Authenticator. Dadurch ist es nicht notwendig von den Nutzer*innen eine Telefonnummer zu speichern oder zu verarbeiten.

Die Multifaktor-Authentifizierung ist prinzipiell für alle Apps als Option verfügbar. Allerdings eignet sich das Smartphone als 2. Faktor vor allem bei Web Anwendungen, weniger bei den mobilen Apps. Ausserdem ist die User Experience bei mobilen Apps oft ein Hindernis für viele Nutzende. Deswegen entscheiden sich viele Kunden dafür nur Zugänge von Administration und Redaktion dadurch zusätzlich zu schützen.

Option: App Lock

Mit diesem Feature lässt sich die Sicherheit der eigenen Inhalte bzw. App (und damit auch die sensibler Informationen) auf einfache Art und Weise erhöhen.

Die App lässt sich bei einem aktivierten App-Lock nur öffnen, wenn das mobile Endgerät mit einem Zugangscode, Fingerabdruck oder einer Gesichtserkennung gesichert ist. Andernfalls bekommt der Nutzer einen Warnhinweis, der ihm erklärt, dass er die App erst nutzen kann, wenn er sein Gerät gesichert hat. Über einen Link auf dem Warnhinweis-Screen gelangt er direkt in die Einstellungen seines Telefons.

Auch bei diesem Sicherheits-Feature werden keinerlei Daten weitergeleitet, gespeichert oder erhoben.

Option: Magic Link

Mit dem Magic Link bietet tchop eine Möglichkeit, die den Nutzenden speziell die Anmeldung in der mobilen App erleichtert. Schliesslich ist das Anmelden mit E-Mail und Passwort auf einem Smartphone für viele mühsam und fehlerbehaftet. Der Magic Link löst dieses Problem auf elegante Art und Weise.

Mit der Anmeldung bekommt der bzw. die Nutzenden neben den Download Links der mobilen Apps und einer kurzen Anleitung auch den sogenannten Magic Link (Hyperlink im Text). Nach der Installation der App auf dem Smartphone, muss der bzw. die Nutzenden nur den Link clicken. Dann öffnet sich die mobile App und meldet den bzw. diejenige automatisch an - ohne Eingabe irgendwelcher Daten.

Dabei ist es wichtig, dass der Click auf dem Smartphone genutzt wird auf dem zuvor die App installiert wurde. Eine kurze Anleitung ist daher wichtig.

Generiert wird der Magic Link auf Zufallsbasis (RFC 4122). In der Datenbank wird jeder Link zufällig einem/r Nutzer*in zugewiesen. Es lässt sich einstellen, ob der Magic Link einmal oder zweimal genutzt werden darf. In jedem Falle wird eine zeitliche Beschränkung aus Sicherheitsgründen empfohlen. Ausserdem hat der Magic Link ebenfalls aus Sicherheitsgründen ein “Verfallsdatum”, welches sich einstellen lässt. Nach der eingestellten Zeitdauer läuft der Link und ein neuer muss angefordert werden.

Weder bei der Generierung noch bei der Nutzung des Magic Links werden Personenbezogenen Daten und auch keine IP genutzt oder gespeichert. Der Magic Links ist technisch prinzipiell unabhängig davon, ob ein generiertes oder selbst gesetztes Passwort verwendet wird.

Der Magic Link funktioniert für die mobilen Apps genauso wie für die Web Version (abhängig davon auf welchem Endgerät man den Link clickt).

Für Mitarbeitenden Apps eignet sicher Magic Link jedoch oft nicht, da die E-Mails zum Austausch von Anmeldedaten nur an die betriebliche E-Mail Adresse gehen, die meisten Mitarbeitenden die App aber auf einem privaten Endgerät installieren. Die Nutzung des Magic Link ist daher nur eine Option.

Weitere Optionen

Der Zugang zu den Apps ist zudem von zwei weiteren Faktoren abhängig. Diese sind zum einen

die App Version: tchop hat die Möglichkeit ein App Update (bspw. aus Sicherheitsgründen) als verpflichtend einzustufen. Nutzende bekommen dann den Hinweis, dass für die weitere Nutzung ein Update der App notwendig ist. Dieses muss der Nutzende dann manuell durchführen (spez. wenn er die Funktion automatischer Updates deaktiviert hat). Weigert er sich die App zu aktualisieren, kann er sie nicht weiter nutzen.
das Betriebssysstemversion des Endgeräts: es ist wichtig, dass Nutzende die Betriebssystemversion Ihres Endgeräts auf einem aktuellen Stand halten, da viele Updates auch aus Sicherheitsgründen wichtig sind. Ältere Betriebssystemversionen bieten tendenziell einen schlechteren Schutz vor Malware. Die tchop Apps sind daher nur auf aktuellen Versionen lauffähig, d.h. aktualisiert ein Mitarbeitender sein Betriebssystem nicht ausreichend, wird er nicht mehr in der Lage sein die App zu aktualisieren und zu nutzen.

Details zu den Anforderungen finden sich hier 📱Mobile App Deployment & Vertrieb.

Zugangskontrolle
Zugangsdaten
Download App
Zusätzliche Schutzfunktionen
Option: Biometrische Identifikation
Option: Multifaktor-Authentifizierung
Option: App Lock
Option: Magic Link
Weitere Optionen