# Sicherheit > Was Konten und Daten in nexxus schützt. Passwortregeln, Zwei-Faktor-Authentifizierung mit Backup-Codes, gemerkte Browser, Zwei-Faktor-Pflicht je Rolle, Sitzungen, der Anmelde-Link, Begrenzungen, persönliche API-Tokens, das Anmeldeprotokoll, das Änderungsprotokoll und die Mandantentrennung. In nexxus liegen Ihre Kunden, Verträge und Stundennachweise, und der KI-Assistent kann damit arbeiten. Deshalb kommt es darauf an, wer sich anmeldet. Diese Seite beschreibt jeden Schutz rund um die Anmeldung und um Ihre Daten, die zugehörigen Einstellungen und was jede Person in ihrem eigenen Profil selbst tun kann. Die Administratorin von Brandt & Söhne hat am ersten Tag zwei Entscheidungen getroffen. Jeder Administrator muss eine Authenticator-App benutzen, ebenso die beiden Teamleitungen, die Urlaub freigeben und Projektsätze sehen. Alle anderen dürfen wählen. Vier Wochen später wird der Laptop der Buchhalterin aus ihrem Auto gestohlen. Sie meldet den Laptop vom Telefon aus in ihrem Profil ab, die Administratorin setzt ihre Authenticator-App zurück, und das Änderungsprotokoll zeigt, dass seit dem Diebstahl unter ihrem Konto nichts geändert wurde. ## Wie eine Anmeldung geschützt ist ## Passwortregeln nexxus folgt den aktuellen Empfehlungen von BSI und NIST: Länge und Prüfung gegen geleakte Passwörter, keine erzwungenen Zeichenklassen, kein Ablaufdatum. - **Mindestens 12 Zeichen.** - **Nicht der Benutzername.** - **Nicht aus einem bekannten Datenleck.** nexxus prüft neue Passwörter gegen die Sammlung geleakter Passwörter von Have I Been Pwned. Nur die ersten fünf Zeichen des SHA-1-Hashs verlassen den Server, das Passwort selbst wird nie übertragen. Ist der Dienst nicht erreichbar, wird das Passwort angenommen. - **Keine Regeln wie „eine Ziffer, ein Sonderzeichen“**, weil sie zu Passwörtern wie „Passwort1!“ führen. **Kein Ablaufdatum**, weil erzwungene Wechsel zu „Passwort2!“ führen. Die Regeln gelten überall, wo ein Passwort gesetzt wird: beim ersten Administrator, beim Annehmen einer Einladung, beim Ändern des eigenen Passworts und wenn ein Administrator ein neues setzt. Passwörter werden als BCrypt-Hash gespeichert. Die Meldungen des Servers: - „Das Passwort muss mindestens 12 Zeichen lang sein.“ - „Das Passwort darf nicht dem Benutzernamen entsprechen.“ - „Dieses Passwort taucht in bekannten Datenlecks auf und kann nicht verwendet werden.“ ### Das eigene Passwort ändern 1. Klicken Sie unten in der Leiste links auf Ihr Bild, wählen Sie Mein Profil und öffnen Sie den Reiter Sicherheit. 2. Geben Sie unter Passwort das neue Passwort in Neues Passwort und Neues Passwort wiederholen ein. 3. Klicken Sie auf Passwort ändern. nexxus bittet Sie zu bestätigen, dass Sie es sind (siehe [Bestätigen, dass Sie es sind](#bestätigen-dass-sie-es-sind)): mit dem Code aus Ihrer Authenticator-App oder, wenn Sie keine haben, mit Ihrem aktuellen Passwort. 4. Die Meldung Passwort geändert. bestätigt es. Ein neues Passwort beendet jede gemerkte Anmeldung (Angemeldet bleiben) auf allen Geräten, und jeder gemerkte Browser fragt wieder nach dem zweiten Faktor: Nach dem Ändern fragen alle gemerkten Browser bei der nächsten Anmeldung wieder nach dem zweiten Faktor. Wer sich immer mit Microsoft oder mit einem Anmelde-Link anmeldet, hat kein Passwort. Der Reiter zeigt dann: Ihr Konto hat kein Passwort. Sie melden sich per Anmeldelink oder über Microsoft an; ein Passwort setzt die Administration. ### Wenn jemand sein Passwort vergisst Passwort vergessen auf der Anmeldeseite öffnet Passwort zurücksetzen. Die Person gibt ihre E-Mail-Adresse ein und klickt auf Link senden. nexxus schickt eine Mail mit dem Knopf Neues Passwort vergeben. Der Link darin gilt 60 Minuten und nur einmal und öffnet die Seite Neues Passwort vergeben, die das Konto mit Namen und Adresse nennt. Nach Passwort speichern meldet sich die Person wie gewohnt an, der Benutzername ist schon eingetragen. - Die Seite antwortet immer Bitte prüfen Sie Ihr Postfach. Der Link ist 60 Minuten gültig., auch für eine Adresse ohne Konto. So verrät sie nicht, wer ein Konto hat. - Es gelten die Regeln des Anmelde-Links: Gehört die Adresse zu mehr als einem Konto, geht keine Mail hinaus, und mehr als drei Links in 15 Minuten verschickt nexxus für ein Konto nicht. - Verstößt das neue Passwort gegen die Regeln, nennt die Seite den Grund. Der Link bleibt dann gültig. - Offene Einladungen und Servicekonten bekommen keinen Link. Eine Einladung wird über ihren eigenen Link angenommen. - Die Authenticator-App bleibt eingerichtet und fragt bei der Anmeldung weiter nach dem Code. Wie jedes neue Passwort beendet auch dieses Angemeldet bleiben und die gemerkten Browser. - Wer bisher kein Passwort hatte, weil er sich per Anmelde-Link oder über Microsoft anmeldet, bekommt auf diesem Weg eines. Kommt keine Mail an, etwa weil kein Postausgangsserver eingerichtet ist, setzt ein Administrator das Passwort: 1. Ein Administrator öffnet die Person unter , wählt neben Speichern im Menü Weitere Aktionen (⋮) Passwort ändern und setzt ein vorläufiges Passwort. 2. Mit Passwortänderung erzwingen/aufheben sorgt er dafür, dass die Person bei der nächsten Anmeldung ein eigenes Passwort wählt. ## Zwei-Faktor-Authentifizierung Mit Zwei-Faktor-Authentifizierung reicht ein Passwort allein nicht mehr. Die Person gibt zusätzlich einen sechsstelligen Code ein, den ihr Telefon alle 30 Sekunden neu erzeugt. Jede Authenticator-App funktioniert, etwa Google Authenticator, Microsoft Authenticator, Aegis oder 1Password. ### Einrichten 1. Öffnen Sie Mein Profil und den Reiter Sicherheit. Unter Zwei-Faktor-Authentifizierung steht Nicht eingerichtet. Klicken Sie auf Einrichten. 2. Der Dialog Sicherheit öffnet sich. Klicken Sie neben Zwei-Faktor-Authentifizierung (Authenticator-App) auf Einrichten. 3. Scannen Sie den QR-Code mit Ihrer Authenticator-App. Wenn das Scannen nicht geht, tippen Sie den Manueller Schlüssel: in die App. 4. Sichern Sie die **Backup-Codes**. Es sind acht, je 20 Zeichen lang, und nexxus zeigt sie nur jetzt. Kopieren legt sie in die Zwischenablage. Bewahren Sie sie in einem Passwortmanager oder ausgedruckt auf, aber nicht auf demselben Telefon. 5. Geben Sie den aktuellen Code aus der App in Code aus der App ein und klicken Sie auf Aktivieren. Die Meldung Authenticator-App erfolgreich eingerichtet. bestätigt es, und das Profil zeigt Aktiv seit mit dem Datum. ### Mit Code anmelden Nach dem Passwort fragt die Anmeldeseite nach dem Code: Zwei-Faktor-Authentifizierung, Geben Sie den Code aus Ihrer Authenticator-App ein. Tippen Sie die sechs Ziffern ein; sobald sie vollständig sind, geht das Formular von selbst ab. - **Kein Telefon zur Hand?** Klicken Sie auf Backup-Code verwenden und geben Sie einen der Backup-Codes ein. Jeder gilt einmal. - **Ihr eigener Rechner?** Setzen Sie den Haken bei Dieses Gerät 30 Tage merken (siehe [Gemerkte Browser](#gemerkte-browser)). - **Ein falscher Code** schickt Sie zurück zum Passwort: Der eingegebene Code war ungültig. Bitte melden Sie sich erneut an. Das ist Absicht. Nach dem Passwort bleibt die Code-Eingabe 2 Minuten lang und nur in diesem Browser offen, und ein falscher Code schließt sie. Auch der Anmelde-Link per E-Mail fragt nach dem Code. Die Anmeldung mit Microsoft nicht: dort richten Sie die Mehr-Faktor-Authentifizierung in Microsoft Entra ein. ### Abschalten Öffnen Sie den Dialog Sicherheit mit Verwalten und klicken Sie auf Deaktivieren. nexxus fragt nach einem aktuellen Code aus der App oder einem Backup-Code: Zum Deaktivieren geben Sie einen aktuellen Code aus Ihrer Authenticator-App oder einen Backup-Code ein. Danach erscheint Authenticator-App wurde deaktiviert. Verlangt Ihre Rolle die App, werden Sie bei der nächsten Anmeldung erneut zur Einrichtung geführt. ### Wenn das Telefon weg ist Hat jemand Telefon und Backup-Codes verloren, setzt ein Administrator die App zurück: Person öffnen, Reiter Sicherheit, 2FA zurücksetzen klicken und bestätigen: Möchten Sie die Authenticator-App dieses Benutzers wirklich zurücksetzen? Der Benutzer kann sich danach wieder ohne zweiten Faktor anmelden. Das Zurücksetzen entfernt auch alle gemerkten Browser der Person, damit ein gestohlener Laptop den neuen Faktor nicht überspringt. ## Gemerkte Browser Am eigenen Rechner ist ein Code bei jeder Anmeldung lästig. Setzen Sie bei der Code-Eingabe den Haken Dieses Gerät 30 Tage merken, dann überspringt dieser Browser den Code 30 Tage lang. **Das Passwort wird immer verlangt.** Ein gemerkter Browser ersetzt nur den Code. Ihre gemerkten Browser stehen im Dialog Sicherheit unter Gemerkte Geräte: Auf diesen Browsern entfällt der Code für 30 Tage. Das Passwort wird weiterhin verlangt. Jeder Eintrag zeigt eine Bezeichnung wie „Chrome auf macOS“, den Chip Dieses Gerät für den Browser, an dem Sie gerade sitzen, wann und von welcher Adresse er gemerkt wurde, wann er zuletzt benutzt wurde und wann er abläuft. - Die Schaltfläche Gerät abmelden am Ende eines Eintrags entfernt einen Browser: er fragt bei der nächsten Anmeldung wieder nach dem Code. - Alle abmelden entfernt alle gemerkten Browser, auch diesen. - Beide fragen einmal nach, ob Sie sicher sind, verlangen aber keinen Code, damit Sie schnell handeln können, wenn ein Laptop weg ist. nexxus entfernt alle gemerkten Browser von selbst, wenn sich das Passwort ändert, wenn Sie eine neue Authenticator-App einrichten oder sie abschalten und wenn ein Administrator sie zurücksetzt. Das Cookie, das einen gemerkten Browser kennzeichnet, wechselt bei jeder Benutzung. Taucht eine alte Kopie davon auf, schließt nexxus daraus, dass es kopiert wurde, und entfernt **alle** gemerkten Browser des Kontos. ## Zwei-Faktor-Pflicht je Rolle Sie können die Authenticator-App für bestimmte Rollen zur Pflicht machen. Personen mit einer solchen Rolle kommen ohne App nicht in nexxus; bei der nächsten Anmeldung werden sie einmalig durch die Einrichtung geführt, auf jedem Anmeldeweg, auch über Microsoft und den Anmelde-Link. Die Liste arbeitet mit den **Systemrollen** (ADMIN, STAFF und die übrigen), nicht mit Berechtigungsrollen. Machen Sie sie mindestens für ADMIN zur Pflicht. 1. Öffnen Sie und gehen Sie zum Abschnitt Zwei-Faktor-Pflicht. 2. Wählen Sie die Rollen unter Rollen mit verpflichtender Authenticator-App. Leer heißt: für niemanden verpflichtend. Prüfen Sie vorher, dass mindestens ein Konto mit dieser Rolle die App einrichten kann: Vor dem Eintragen prüfen, dass mindestens ein Konto dieser Rolle ein Smartphone zur Hand hat. 3. Klicken Sie auf Speichern. nexxus bittet Sie zu bestätigen, dass Sie es sind. 4. Nach dem Speichern bekommt jeder Administrator des Mandanten mit E-Mail-Adresse eine Mail: wer die Regel wann geändert hat und wie sie vorher und nachher lautete. Nehmen Sie eine Rolle aus der Liste, warnt die Seite vor dem Speichern, zum Beispiel Konten der Rolle STAFF können sich künftig ohne zweiten Faktor anmelden. **Was die betroffenen Personen sehen.** Nach dem Passwort (oder dem Anmelde-Link oder der Microsoft-Anmeldung) erscheint die Seite Zwei-Faktor-Anmeldung einrichten: Ihre Rolle verlangt eine Authenticator-App. Einmalig einrichten, danach genügt der Code. Sie zeigt den QR-Code, den Manueller Schlüssel: und die Backup-Codes. Die Person gibt den Code unter Code aus der App ein, klickt auf Einrichtung abschließen und ist angemeldet. Ein „später“ gibt es nicht. Konten, die einen zweiten Faktor brauchen, bekommen nie das 30-Tage-Cookie von Angemeldet bleiben. ## Bestätigen, dass Sie es sind Manche Änderungen brauchen mehr als eine offene Sitzung, denn am Rechner könnte gerade jemand anderes sitzen. nexxus verlangt dann einen frischen Nachweis, dass Sie es sind. Das passiert, wenn Sie: - Ihr eigenes Passwort ändern, - ein API-Token anlegen oder rotieren, - die Liste der Rollen mit Zwei-Faktor-Pflicht ändern. Der Dialog Bitte bestätigen fragt nach dem Code aus Ihrer Authenticator-App (Kein Zugriff auf die App? Ein Backup-Code gilt ebenfalls.) oder, wenn Ihr Konto keine App hat, nach Ihr Passwort. Klicken Sie auf Bestätigen. Ein gemerkter Browser überspringt diesen Schritt nicht, und nexxus fragt bei jeder solchen Änderung neu. ## Angemeldet bleiben und Sitzungen | Wie Sie sich angemeldet haben | Wie lange Sie angemeldet bleiben | |---|---| | Ohne Angemeldet bleiben | Bis der Browser geschlossen wird, und höchstens 12 Stunden ohne Aktivität. Ein offener Tab zählt als Aktivität. | | Mit Angemeldet bleiben | 30 Tage, gerechnet ab der letzten Benutzung. Der Browser meldet Sie nach dem Schließen wieder an. | | Mit Authenticator-App, Haken gesetzt | Die Sitzung hält bis zu 30 Tage, aber das Schließen des Browsers beendet sie. Mit Dieses Gerät 30 Tage merken entfällt beim nächsten Mal der Code. | | Mit Microsoft | 30 Tage gemerkt, wie mit gesetztem Haken, es sei denn, das Konto braucht einen zweiten Faktor. | **Abmelden** mit Abmelden im Menü Ihres Bildes (Wollen Sie sich wirklich abmelden?) beendet die Sitzung und löscht auf dem Server Ihre gemerkten Anmeldungen, für jedes Gerät. Ein kopiertes Cookie funktioniert danach nicht mehr, und andere Browser fragen nach einer neuen Anmeldung, sobald ihre laufende Sitzung endet. Läuft eine Sitzung ab, führt der nächste Klick zur Anmeldeseite. Melden Sie sich ohne Haken bei Angemeldet bleiben an, entfernt nexxus außerdem eine gemerkte Anmeldung, die dieser Browser vielleicht noch von einer früheren Person trägt. Ein gemeinsam genutzter Rechner meldet also nicht die nächste Person als die vorige an. ## Anmelde-Link per E-Mail Mit dem Anmelde-Link melden sich Personen ohne Passwort an, etwa an einem Rechner, an dem sie es nicht eintippen möchten. 1. Klicken Sie auf der Anmeldeseite auf Anmelde-Link per E-Mail. 2. Geben Sie die Adresse unter E-Mail-Adresse ein und klicken Sie auf Link senden. 3. Die Seite sagt Bitte prüfen Sie Ihr Postfach. Der Link ist 15 Minuten gültig. Die Mail enthält den Knopf „Jetzt anmelden“. 4. Der Link meldet die Person an. Hat das Konto eine Authenticator-App, fragt nexxus vorher nach dem Code. - Der Link gilt **15 Minuten** und funktioniert **einmal**. - nexxus verschickt einen Link nur, wenn genau ein Konto diese E-Mail-Adresse hat. Die Seite sagt in jedem Fall dasselbe, damit niemand herausfinden kann, ob es zu einer Adresse ein Konto gibt. - Ein abgelaufener oder benutzter Link zeigt Der Anmelde-Link ist ungültig oder abgelaufen. Bitte fordern Sie einen neuen an. - Der Anmelde-Link braucht einen funktionierenden Mailversand. Ohne ihn sagt die Seite trotzdem „Bitte prüfen Sie Ihr Postfach“, aber es kommt nichts an. ## Sperren und Begrenzungen nexxus sperrt Konten nach Fehlversuchen nicht. Es protokolliert jeden Fehlversuch (siehe [Anmeldeprotokoll](#anmeldeprotokoll-und-aktivität)) und begrenzt, wie oft bestimmte Anfragen von einer Adresse kommen dürfen: | Was | Grenze | Dann | |---|---|---| | Anmelde-Link anfordern | 10 je Stunde und Adresse, dazu 3 je 15 Minuten und Konto | Zu viele Versuche. Bitte warten Sie einen Moment und versuchen Sie es erneut. Anfragen über die Grenze je Konto werden still verworfen. | | Code eingeben (Anmeldung, Einrichtung, Bestätigung) | 5 je 2 Minuten und Adresse | Zu viele Versuche. Bitte warten Sie einen Moment und versuchen Sie es erneut. | | Falsche API-Tokens | 20 je Minute und Adresse | Token-Anfragen von dieser Adresse werden eine Minute lang abgewiesen, auch mit gültigen Tokens | Für das Passwortformular selbst setzt nexxus keine Grenze. Ist Ihre Installation aus dem Internet erreichbar, setzen Sie davor eine Begrenzung für die Anmeldung, im Reverse Proxy oder in der Web Application Firewall. ## Persönliche API-Tokens Ein persönliches API-Token ist Ihr Konto ohne Browser: ein Skript, ein BI-Werkzeug oder ein Assistent schickt es statt eines Sitzungs-Cookies und arbeitet mit genau Ihren Rechten. Sie können es jederzeit zurückziehen. ### Ein Token anlegen 1. Öffnen Sie Mein Profil und den Reiter API-Tokens. 2. Klicken Sie auf Neues Token. Tragen Sie unter Wofür ist das Token? etwa „BI-Export“ ein, damit Sie später wissen, welches Sie zurückziehen. 3. Wählen Sie Gültig für: 30 Tage, 90 Tage, 1 Jahr (voreingestellt) oder Unbegrenzt. Kurz ist besser, wenn das Token in einer Datei liegt, die jemand anderes lesen könnte. 4. Klicken Sie auf Token anlegen und bestätigen Sie, dass Sie es sind, mit Ihrem App-Code oder Ihrem Passwort. 5. Das Token erscheint einmal oben, es beginnt mit `cx_`. Klicken Sie auf Kopieren und legen Sie es dort ab, wo das Skript es lesen kann. nexxus speichert nur einen Hash: ist das Token weg, legen Sie ein neues an. ### Benutzen Schicken Sie das Token im Header `Authorization`. Eine Anmeldung oder Sitzung gibt es nicht: ```bash # Wer bin ich? curl -H "Authorization: Bearer cx_..." https:///api/v1/user/current # Die OpenAPI-Beschreibung aller Routen, erzeugt aus dem laufenden Code curl -H "Authorization: Bearer cx_..." https:///api/openapi.json ``` API-Dokumentation neben der Tokenliste öffnet dieselbe Beschreibung als lesbare Seite. Jede Änderung mit einem Token trägt Ihren Namen und Ihren Mandanten, als hätten Sie selbst geklickt. Ein falsches, abgelaufenes oder zurückgezogenes Token bekommt die Antwort „Ungültiges oder zurückgezogenes API-Token.“, ohne zu sagen, welcher der drei Fälle vorliegt. ### Rotieren und zurückziehen Die Liste zeigt jedes Token mit Name (darunter die ersten Zeichen des Tokens, zum Wiedererkennen), Angelegt, Zuletzt benutzt, Gültig bis und Status (gültig, abgelaufen oder zurückgezogen). - Rotieren ersetzt ein Token: das alte gilt sofort nicht mehr, und ein neues mit demselben Namen und der Restlaufzeit in ganzen Tagen erscheint einmal. Sie bestätigen, dass Sie es sind. - Zurückziehen beendet ein Token sofort und endgültig. Ein Code ist dafür nicht nötig, damit Sie schnell handeln können. Zurückgezogene Tokens bleiben als Nachweis in der Liste. Sie können höchstens 20 gültige Tokens haben. Wird ein Konto gelöscht, gelten alle seine Tokens sofort nicht mehr. Administratoren sehen die Tokens anderer Personen nicht. ### Was ein Token nicht kann Ein Token kann alles, was Ihr Konto kann, mit einer Ausnahme: nichts, was das Konto selbst verändert. Tokens verwalten, das Passwort ändern, die Authenticator-App einrichten oder abschalten, gemerkte Browser verwalten und das Profil bearbeiten geht nur nach einer Anmeldung im Browser. Die Antwort lautet „Diese Aktion ist mit einem API-Token nicht möglich“. Ein abgeflossenes Token kann sich also weder selbst verewigen noch den zweiten Faktor abschalten. Eigene Scopes haben Tokens nicht: ein Token, das weniger dürfen soll, braucht ein Konto mit weniger Rechten. ## Anmeldeprotokoll und Aktivität nexxus protokolliert jede Anmeldung, jeden Fehlversuch, jede Abmeldung, jede Passwortänderung und jeden gemerkten Browser, mit Zeit, Adresse und Browser. Fehlversuche werden mit dem eingetippten Benutzernamen festgehalten, auch wenn es kein solches Konto gibt. **Jede Person** sieht ihre eigenen Einträge unter Mein Profil, Reiter Aktivität: Was unter Ihrem Konto geschehen ist, neueste zuerst: Anmeldungen, auch fehlgeschlagene, und Änderungen an Daten. Eine Anmeldung, die Sie nicht erkennen, melden Sie bitte der Administration. | Eintrag | Bedeutung | |---|---| | Angemeldet | Eine Sitzung wurde erteilt. Dahinter steht der Weg: mit Passwort, mit Passwort und Code, per Anmeldelink, über Microsoft oder gemerkter Browser | | Anmeldung fehlgeschlagen | Falsches Passwort oder falscher Code | | Passwort richtig, Code angefordert | Das Passwort stimmte, der zweite Faktor stand noch aus. Noch keine Anmeldung. | | Abgemeldet | Die Person hat sich abgemeldet | | Passwort geändert | Von der Person selbst oder von einem Administrator | | Browser gemerkt | Ein Browser wurde für 30 Tage gemerkt | **Administratoren** sehen dasselbe je Person im Reiter Aktivität des Benutzers und die Einträge aller Konten unter . Jedes Konto merkt sich außerdem seine letzte Anmeldung. So fallen Konten auf, die niemand mehr benutzt. ## Das Änderungsprotokoll Das Änderungsprotokoll beantwortet „wer hat was wann geändert“. Für jeden angelegten Datensatz schreibt es einen Eintrag, für jede Änderung einen Eintrag je geändertem Feld, mit altem und neuem Wert, wer geändert hat und wann. Gelöschte Datensätze bleiben in nexxus erhalten und erscheinen deshalb ebenfalls als Änderung. Administratoren öffnen es unter . Unter Filter grenzen Sie es nach Entity-ID, Entity-Klasse, Feldname und Erstellt ein; ein Teil des Klassennamens genügt, etwa `Partner`. Die Spalten heißen Erstellt, Ausgelöst von, Entity-Klasse, Entity-ID, Ereignis, Feldname, Alter Wert und Neuer Wert. Die Entity-Klasse ist der technische Name der Datensatzart, etwa ein Klassenname, der auf `Partner` endet. Änderungen, die der KI-Assistent nach Ihrem Klick ausführt, und Änderungen mit Ihrem API-Token tragen Ihren Namen. Arbeit, die ohne Person läuft, trägt „system“. ### Wie lange Protokolle bleiben Standardmäßig behält nexxus Einträge im Änderungsprotokoll 365 Tage und Anmelde- und Ereigniseinträge 90 Tage. Der Aufräumjob ist in einer neuen Installation **ausgeschaltet**, damit nichts gelöscht wird, bevor Sie entschieden haben. Zum Einschalten öffnen Sie und setzen den Job `LogRetention` auf Aktiv. Er läuft jede Nacht. Selbstbetreiber ändern die Fristen mit `app.logging.retention.auditLogDays` und `app.logging.retention.eventLogDays`; geplante Jobs laufen nur, wenn `app.disableCronJobs` auf `false` steht, was das Produktionsprofil setzt. ## Mandantentrennung Alle Daten Ihrer Organisation liegen in einem Mandanten. In Installationen mit mehreren Mandanten hält nexxus sie so auseinander: - **Jeder Datensatz trägt seinen Mandanten.** nexxus setzt ihn beim Anlegen aus der angemeldeten Person. Eine Anfrage kann ihn weder wählen noch ändern. - **Jedes Lesen ist nach dem Mandanten** der fragenden Person gefiltert. Datensätze eines anderen Mandanten werden abgewiesen. - **Rollen gelten innerhalb eines Mandanten.** Eine Berechtigungsrolle und ihre Zuweisungen gehören zu genau einem Mandanten. - **Einstellungen gelten je Mandant:** KI-Anbieter und ihre Schlüssel, Mailserver, Microsoft-Anmeldung, Zwei-Faktor-Pflicht. Alle Mandanten teilen sich eine Datenbank. Die Systemrolle ADMIN gilt nur im eigenen Mandanten: Ein Administrator verwaltet seinen Mandanten und erreicht keine Datensätze der anderen. Über Mandantengrenzen hinweg arbeitet nur SUPERADMIN, etwa beim Anlegen von Mandanten unter und bei Einstellungen, die für die ganze Installation gelten. Geben Sie SUPERADMIN nur den Personen, die die Installation betreiben. ## Geheimnisse im Ruhezustand nexxus speichert Geheimnisse so, dass eine Kopie der Datenbank allein sie nicht preisgibt: - **Verschlüsselt** (AES-256-GCM, mit dem Geheimnisschlüssel der Installation): Geheimnisse der Authenticator-Apps, das Microsoft-Client-Secret, Connector-Tokens und Client-Secrets, Zugangsdaten von MCP-Connectoren, Schlüssel der KI-Anbieter, Passwörter von Mailservern. - **Gehasht, nicht wiederherstellbar:** Passwörter und Backup-Codes (BCrypt), API-Tokens, Einladungs- und Anmelde-Links, Cookies gemerkter Browser (SHA-256). Geheimnisse werden beim Anlegen einmal gezeigt und nie wieder. Felder für gespeicherte Geheimnisse bleiben leer: lassen Sie sie leer, um den gespeicherten Wert zu behalten. :::note[Für Selbstbetreiber] | Einstellung | Zweck | |---|---| | `NEXXUS_SECRETS_KEY` | Verschlüsselt alle gespeicherten Geheimnisse. Base64 von 32 Bytes: `openssl rand -base64 32`. Ohne ihn startet nexxus nicht, außer auf einem Entwicklerrechner (`./gradlew bootRun` oder das Profil `local`, `dev` oder `test`). Bewahren Sie ihn sicher auf: ohne ihn lassen sich gespeicherte Geheimnisse nicht mehr lesen. | | `NEXXUS_REMEMBER_ME_KEY` | Signiert das Cookie von „Angemeldet bleiben“. Unter einem Produktionsprofil Pflicht. Fehlt er, nimmt nexxus bei jedem Start einen neuen Zufallsschlüssel, und gemerkte Anmeldungen überleben keinen Neustart. | | `NEXXUS_SETUP_TOKEN` | Schützt die Ersteinrichtung einer öffentlich erreichbaren Installation mit einem Code. | | `app.auth.password.min-length` | Mindestlänge des Passworts, Standard 12 | | `app.auth.password.check-compromised` | Die Prüfung gegen geleakte Passwörter, Standard `true`. Auf Hosts ohne ausgehendes HTTPS auf `false` setzen. | | `spring.session.timeout` | Lebensdauer mit Angemeldet bleiben, Standard 30 Tage | | `app.auth.session.not-remembered-timeout` | Grenze ohne Aktivität ohne Haken, Standard 12 Stunden | | `app.auth.trusted-device.days` | Wie lange ein gemerkter Browser den Code überspringt, Standard 30 | Das Sitzungs-Cookie ist HttpOnly, SameSite=Lax und unter dem Produktionsprofil Secure. Sitzungen liegen unter dem Produktionsprofil in Redis und überstehen so Neustarts. ::: ## Wenn etwas schiefgeht | Was Sie sehen | Ursache und Abhilfe | |---|---| | Der eingegebene Code war ungültig. Bitte melden Sie sich erneut an. | Der Code war falsch oder zu alt. Prüfen Sie die Uhrzeit des Telefons (die Codes hängen davon ab) und melden Sie sich neu an. | | Die Einrichtung ist abgelaufen. Bitte erneut anmelden. | Die Pflicht-Einrichtung hat nach dem Passwort länger als 2 Minuten gedauert. Melden Sie sich neu an und richten Sie die App gleich ein. | | Zu viele Versuche. Bitte warten Sie einen Moment und versuchen Sie es erneut. | Zu viele Codes oder Link-Anforderungen von Ihrer Adresse. Warten Sie zwei Minuten. | | „Der Code ist ungültig oder es gab zu viele Versuche.“ | Im Bestätigungsdialog. Nehmen Sie den aktuellen Code oder einen Backup-Code. | | „Das Passwort ist falsch.“ | Im Bestätigungsdialog: Ihr aktuelles Passwort, nicht das neue. | | „Höchstens 20 gültige Tokens je Konto“ | Ziehen Sie ein Token zurück, das Sie nicht mehr brauchen. | | „Diese Aktion ist mit einem API-Token nicht möglich“ | Die Anfrage verändert das Konto selbst. Erledigen Sie das im Browser. | | „Unbekannte Rolle(n): ...“ | Eine Rolle in der Zwei-Faktor-Pflicht existiert nicht. Wählen Sie die Rollen aus der Liste. | | Der Anmelde-Link kommt nicht an | Der Mailversand ist nicht eingerichtet oder nicht bestätigt, oder mehrere Konten teilen sich die Adresse. Prüfen Sie den Einrichtungsschritt E-Mail. | ## Wie es weitergeht