Loading
Schützen Ihrer Salesforce-Organisation
Inhalt
Filtern nach (0)Hinzufügen
Filter auswählen

          Keine Ergebnisse
          Keine Ergebnisse
          Hier sind einige Suchtipps

          Überprüfen Sie die Schreibweise Ihrer Stichwörter.
          Verwenden Sie allgemeinere Suchbegriffe.
          Wählen Sie weniger Filter aus, um Ihre Suche auszuweiten.

            Gesamte Salesforce-Hilfe durchsuchen
            Gesamte Salesforce-Hilfe durchsuchen
            Geräteaktivierung für Salesforce-Organisationen

            Sie befinden sich hier:

            1. Salesforce-Hilfe
            2. Dokumente
            3. Schützen Ihrer Salesforce-Organisation

            Geräteaktivierung für Salesforce-Organisationen

            Bei der Geräteaktivierung handelt es sich um eine Sicherheitsmaßnahme, die dazu beiträgt, unbefugten Zugriff auf Ihre Organisation zu verhindern. Die Geräteaktivierung funktioniert, indem eine zusätzliche Identitätsüberprüfung für unbekannte Anmeldeversuche erforderlich ist. Für Mitarbeiter, die sich bei Ihrer Organisation anmelden, ist die Geräteaktivierung automatisch aktiviert und kann nicht deaktiviert werden.

            Erforderliche Editionen

            Verfügbarkeit: Salesforce Classic und Lightning Experience
            Verfügbarkeit: Essentials, Group, Professional, Enterprise, Performance, Unlimited, Developer und Contact Manager Edition

            Übersicht

            Bei Benutzeroberflächenanmeldungen in aktiven Produktions- und Sandbox-Organisationen ist eine Geräteaktivierung erforderlich, wenn Salesforce dem Anmeldeversuch mithilfe einer der folgenden Methoden nicht Trusten kann.

            Hinweis
            Hinweis Die Geräteaktivierung ist für die API-Anmeldung nicht erforderlich.
            Sicherheitsmaßnahme Beschreibung Geräteaktivierungsverhalten
            Starke Authentifizierungsmethode Bei der Anmeldung mit Benutzername und Kennwort bedeutet dies Multi-Faktor-Authentifizierung (MFA). Bei Single Sign-On (SSO) bedeutet dies, dass der Identitätsanbieter eine Authentifizierungsmethode verwendet, die die Salesforce-Sicherheitsstandards erfüllt. Weitere Informationen zu akzeptierten Methoden finden Sie im Abschnitt "Starke Authentifizierungsmethoden für Single Sign-On". Bei Anmeldungen, die eine sichere Authentifizierungsmethode verwenden, wird die Geräteaktivierung immer übersprungen, unabhängig von der Browser- oder Geräteerkennung und den IP-Bereichen.
            Browser- oder Geräteerkennung Salesforce betrachtet einen Browser oder ein Gerät als erkannt, wenn er oder sie mit Informationen im Cookie der Salesforce Platform-Cookies-Plattform abgeglichen werden kann.

            Salesforce verwendet diese Maßeinheit nur in bestimmten Szenarien zum Bestimmen des Geräteaktivierungsverhaltens:

            • IP-Bereiche sind nicht konfiguriert und für die Anmeldung wird keine sichere Authentifizierungsmethode verwendet.
            • Organisationsweite vertrauenswürdige IP-Bereiche oder IP-Bereiche für die Profilanmeldung sind zu breit und die Anmeldung verwendet keine sichere Authentifizierungsmethode.

            Enge IP-Bereiche

            • IPv4: nicht größer als 16.777.216
            • IPv6: nicht größer als 2^99

            Diese Obergrenzen gelten für organisationsweite Bereiche und separat für Anmelde-IP-Bereiche für ein bestimmtes Profil.

            		 Sie können Ihre Organisation mit zwei IP-Bereichstypen schützen: Setzen Sie vertrauenswürdige IP-Bereiche für Ihre Organisation und schränken Sie Anmelde-IP-Adressen in Profilen ein.

            Für enge IP-Bereiche für die Profilanmeldung:

            • Die Geräteaktivierung ist nicht anwendbar. Benutzer, die sich in Reichweite befinden, können sich ohne Geräteaktivierung anmelden. Benutzer, die sich außerhalb der Reichweite befinden, werden vollständig blockiert.

            Für enge organisationsweite IP-Bereiche:

            • Benutzer, die sich außerhalb der Reichweite befinden, müssen die Geräteaktivierung abschließen, vorausgesetzt, dass für die Anmeldung keine sichere Authentifizierungsmethode verwendet wird.
            Hinweis
            Hinweis Damit Salesforce-Kundensupportmitarbeiter Probleme einfacher beheben können, können Sie die Berechtigung "Geräteaktivierung bei der Anmeldung überspringen" für den Account eines Benutzers aktivieren. Durch Aktivieren dieser Berechtigung kann nur ein Kundensupportmitarbeiter die Geräteaktivierung überspringen, wenn er sich beim Account anmeldet. Benutzer mit der Berechtigung müssen ihre Identität weiterhin bestätigen, wenn sie sich über einen nicht erkannten Browser, ein nicht erkanntes Gerät oder eine nicht erkannte IP-Adresse anmelden.

            Browser- oder Geräteerkennung

            Salesforce verwendet die Salesforce Platform-Cookies, um festzustellen, ob der Browser oder das Gerät eines Benutzers erkannt wird. Salesforce erstellt dieses Cookie, wenn ein Benutzer die Geräteaktivierung zum ersten Mal abschließt, solange das Kontrollkästchen "Nicht erneut fragen" aktiviert ist. Dieses Kontrollkästchen ist standardmäßig aktiviert. Hier ist das Kontrollkästchen auf der Seite, auf der Benutzer ihre Identität per E-Mail bestätigen. Bei anderen Überprüfungsmethoden sieht diese Seite anders aus, enthält jedoch weiterhin dieses Kontrollkästchen.

            Identitätsüberprüfungsseite mit hervorgehobenem Kontrollkästchen 'Nicht erneut fragen'

            IP-Bereiche für die Profilanmeldung

            IP-Bereiche für die Profilanmeldung steuern, ob sich ein Benutzer anmelden kann. Wenn ein Benutzer versucht, sich über eine IP-Adresse außerhalb seines Profilanmeldebereichs anzumelden, blockiert Salesforce die Anmeldung unabhängig von anderen Einstellungen. Wenn Ihre IP-Bereiche jedoch zu breit sind, können Benutzer weiterhin zur Geräteaktivierung aufgefordert werden, wenn sie sich innerhalb ihres Profilbereichs befinden. Die IP-Bereichsobergrenze gilt für IP-Bereiche für die Profilanmeldung und organisationsweite vertrauenswürdige IP-Bereiche. Wenn beispielsweise die IP-Bereiche für die Profilanmeldung des Benutzers unter der Obergrenze liegen, Ihre organisationsweiten vertrauenswürdigen IP-Bereiche die Obergrenze jedoch überschreiten, können Benutzer aufgefordert werden, die Geräteaktivierung abzuschließen.

            Die IP-Bereichsobergrenze hängt vom Typ der IP-Adresse ab.

            IP-Adresstyp Obergrenze
            IPv4 16,777,216
            IPv6 2^99 (2 bis zur Potenz von 99)

            Private IP-Adressen von 10.0.0.0 bis 10.255.255.255, wie in RFC 1918 der Internet Engineering Task Force definiert, werden nicht auf die Gesamtsumme angerechnet.

            Im Folgenden finden Sie eine Übersicht über das Anmeldeverhalten für aktive Produktions- und Sandbox-Organisationen.

            IP-Bereichskonfiguration Anmeldeverhalten
            Überschreitet weder die Obergrenze für organisationsweite vertrauenswürdige IP-Bereiche noch für die Anmelde-IP-Bereiche des Profils
            • Innerhalb des Profil-IP-Bereichs: Geräteaktivierung ist nicht erforderlich
            • IP-Bereich außerhalb des Profils: Anmeldung wird vollständig blockiert
            Überschreitet die Obergrenze für organisationsweite vertrauenswürdige IP-Bereiche oder die Anmelde-IP-Bereiche des Profils
            • Innerhalb des Profil-IP-Bereichs: Geräteaktivierung ist für einen nicht erkannten Browser oder ein nicht erkanntes Gerät erforderlich (kein sfdc_lv2 Cookie)
            • IP-Bereich außerhalb des Profils: Anmeldung wird vollständig blockiert

            So wertet Salesforce die Anmeldung aus, wenn IP-Bereiche für die Profilanmeldung konfiguriert sind.

            1. Ist die IP-Adresse des Benutzers für seine IP-Bereiche für die Profilanmeldung außerhalb des Bereichs?
              • Ja – die Anmeldung wird unabhängig von anderen Bedingungen immer vollständig blockiert.
              • Nein, wechseln Sie zu Schritt 2.
            2. Verwendet die Anmeldung eine sichere Authentifizierungsmethode – MFA für die Anmeldung mit Benutzername und Kennwort oder eine akzeptierte Authentifizierungsmethode für SSO?
              • Ja, die Geräteaktivierung wird übersprungen.
              • Nein, wechseln Sie zu Schritt 3.
            3. Sind die IP-Bereiche für die Profilanmeldung oder Ihre organisationsweiten vertrauenswürdigen IP-Bereiche (sofern konfiguriert) zu breit?
              • Ja, wechseln Sie zu Schritt 4.
              • Nein: Benutzer können sich ohne Geräteaktivierung über ihren IP-Bereich für die Profilanmeldung anmelden. Wie in Schritt 1 erwähnt, werden Anmeldungen von außerhalb des Bereichs vollständig blockiert.
            4. Erkennt Salesforce den Browser oder das Gerät anhand des sfdc_lv2-Cookies?
              • Ja, das Gerät ist bereits aktiviert. Benutzer können sich anmelden, ohne die Identitätsüberprüfung abzuschließen.
              • Nein, eine Geräteaktivierung ist erforderlich. Wenn Benutzer das Kontrollkästchen "Nicht erneut fragen" aktiviert lassen, werden sie bei nachfolgenden Anmeldungen erst nach Ablauf des Cookies aufgefordert.
            Beispiel
            Beispiel Ein Benutzer, der die MFA nicht verwendet, meldet sich über eine IP-Adresse in seinem Profilbereich an. Die Anmelde-IP-Bereiche für ihr Profil überschreiten die Obergrenze nicht. Die Organisation verfügt jedoch auch über organisationsweite vertrauenswürdige IP-Bereiche und diese Bereiche überschreiten die Obergrenze. Salesforce erkennt den Browser oder das Gerät des Benutzers nicht. Daher muss der Benutzer die Geräteaktivierung abschließen, obwohl seine IP-Adresse innerhalb seines Profilbereichs liegt. Der Benutzer stellt sicher, dass das Kontrollkästchen "Nicht erneut fragen" aktiviert ist, wenn er seine Identität bestätigt. Salesforce speichert die Browser- und Geräteinformationen des Benutzers im sfdc_lv2-Cookie. Beim nächsten Anmeldeversuch des Benutzers erkennt Salesforce ihn anhand dieses Cookies und kann sich ohne zusätzliche Identitätsüberprüfung anmelden.

            Organisationsweite vertrauenswürdige IP-Bereiche

            Organisationsweite vertrauenswürdige IP-Bereiche sind weniger restriktiv als IP-Bereiche für die Profilanmeldung. Benutzer können sich weiterhin anmelden, wenn sie sich außerhalb des organisationsweiten IP-Bereichs befinden. Wenn die IP-Bereiche jedoch zu breit sind, können Benutzer weiterhin zur Geräteaktivierung aufgefordert werden, selbst wenn ihre IP-Adresse vertrauenswürdig ist. Die IP-Bereichsobergrenze hängt vom Typ der IP-Adresse ab.

            IP-Adresstyp Obergrenze
            IPv4 16,777,216
            IPv6 2^99 (2 bis zur Potenz von 99)

            Private IP-Adressen von 10.0.0.0 bis 10.255.255.255, wie in RFC 1918 der Internet Engineering Task Force definiert, werden nicht auf die Gesamtsumme angerechnet.

            So funktionieren organisationsweite IP-Bereiche unter der Annahme, dass das Profil des Benutzers keine Anmelde-IP-Bereiche aufweist.

            Organisationsweite IP-Bereichskonfiguration Anmeldeverhalten
            Überschreitet die Obergrenze nicht
            • Innerhalb des IP-Bereichs der Organisation: Geräteaktivierung ist nicht erforderlich
            • IP-Bereich außerhalb der Organisation: Geräteaktivierung erforderlich, auch wenn Salesforce den Browser oder das Gerät erkennt
            Überschreitet die Obergrenze Die Geräteaktivierung ist für einen nicht erkannten Browser oder ein nicht erkanntes Gerät erforderlich (kein sfdc_lv2-Cookie), unabhängig davon, ob sich die IP-Adresse des Benutzers im Organisationsbereich befindet.

            Im Folgenden finden Sie den Prozess, mit dem Salesforce die Anmeldung auswertet, wenn organisationsweite Bereiche, nicht jedoch IP-Bereiche für die Profilanmeldung konfiguriert sind.

            1. Verwendet die Anmeldung eine sichere Authentifizierungsmethode – MFA für die Anmeldung mit Benutzername und Kennwort oder eine akzeptierte Authentifizierungsmethode für SSO?
              • Ja, die Geräteaktivierung wird übersprungen.
              • Nein, wechseln Sie zu Schritt 2.
            2. Sind Ihre organisationsweiten vertrauenswürdigen IP-Bereiche zu breit?
              • Ja, wechseln Sie zu Schritt 3.
              • Nein, gehen Sie zu Schritt 4
            3. (Wenn IP-Bereiche zu weit sind) Erkennt Salesforce den Browser oder das Gerät anhand des sfdc_lv2-Cookies?
              • Ja, das Gerät ist bereits aktiviert. Benutzer können sich anmelden, ohne die Identitätsüberprüfung abzuschließen.
              • Nein: Die Geräteaktivierung ist erforderlich, selbst wenn die IP-Adresse des Benutzers im vertrauenswürdigen Bereich der Organisation liegt. Wenn Benutzer das Kontrollkästchen "Nicht erneut fragen" aktiviert lassen, werden sie bei nachfolgenden Anmeldungen erst nach Ablauf des Cookies aufgefordert.
            4. (Wenn IP-Bereiche die Obergrenze nicht überschreiten) Befindet sich der Benutzer in den vertrauenswürdigen IP-Bereichen der Organisation?
              • Ja, die Geräteaktivierung wird übersprungen.
              • Nein: Die Geräteaktivierung ist erforderlich, wenn sich der Benutzer außerhalb des Bereichs der Organisation befindet, selbst wenn Salesforce den Browser oder das Gerät erkennt.
            Beispiel
            Beispiel Ihre Organisation verfügt über vertrauenswürdige IP-Bereiche, die die Obergrenze überschreiten. Ein Benutzer, der die Multi-Faktor-Authentifizierung nicht verwendet, meldet sich über eine IP-Adresse in Ihrem Organisationsbereich an. Salesforce erkennt den Browser oder das Gerät des Benutzers nicht. Daher muss der Benutzer die Geräteaktivierung abschließen, obwohl seine IP-Adresse im Organisationsbereich liegt. Der Benutzer stellt sicher, dass das Kontrollkästchen "Nicht erneut fragen" aktiviert ist, wenn er seine Identität bestätigt. Salesforce speichert die Browser- und Geräteinformationen des Benutzers im sfdc_lv2-Cookie. Beim nächsten Anmeldeversuch des Benutzers erkennt Salesforce ihn anhand dieses Cookies und kann sich ohne zusätzliche Identitätsüberprüfung anmelden.

            Starke Authentifizierungsmethoden für Single Sign-On

            Die Geräteaktivierung wird für SSO umgangen, wenn für die Anmeldung eine sichere Authentifizierungsmethode verwendet wird. Für die sichere Authentifizierung haben Sie zwei Optionen.

            • Verwenden Sie die Salesforce-MFA für SSO (Salesforce-Organisationen).
            • Wenden Sie sich an Ihren Identitätsanbieter, um eine Authentifizierungsmethode zu verwenden, die den Salesforce-Sicherheitsstandards entspricht. Salesforce akzeptiert eine Reihe von Authentifizierungskontextklassen-Referenzwerten und Authentifizierungsmethoden-Referenzwerten Ihres Identitätsanbieters.

            Wenn Sie die zweite Option auswählen, überprüft Salesforce die Authentifizierungsmethode während der Anmeldung in Abhängigkeit von Ihrem SSO-Setup. Wenn Ihr Identitätsanbieter in allen Fällen mindestens eine sichere Authentifizierungsmethode sendet, wird die Geräteaktivierung umgangen. Wenn Ihr Identitätsanbieter beispielsweise zwei Authentifizierungsmethoden sendet – eine sichere und eine schwache –, können Benutzer die Geräteaktivierung überspringen.

            SSO-Konfiguration Überprüfen der Authentifizierungsmethode durch Salesforce Implementierungsschritte
            OpenID Connect-SSO mit dem Definieren eines Authentifizierungsanbieters Im ID-Token: ACR- oder AMR-Ansprüche. Bei AMR-Ansprüchen wird zwischen Groß- und Kleinschreibung unterschieden, bei ACR-Ansprüchen jedoch nicht. Weitere Informationen finden Sie in der OpenID Connect-Spezifikation. Wenden Sie sich an Ihren Identitätsanbieter, um einen akzeptierten ACR- oder AMR-Wert zu senden.
            OpenID Connect-SSO mit einem benutzerdefinierten externen Authentifizierungsanbieter

            Wenden Sie sich an Ihren Identitätsanbieter, um einen akzeptierten ACR- oder AMR-Wert zu senden, und aktualisieren Sie dann Ihre Auth.AuthProviderPluginClass, um das ID-Token an Salesforce zu übergeben.
            Security Assertion Markup Language (SAML) SSO (Sicherheitsbehauptungs-Markup-Sprache) In der SAML-Antwort: ACR-Werte (AuthContextClassRef) oder AMR-Werte in der AuthnContext-Anweisung. Bei AMR-Werten kann das Attribut AMR oder authmethodsreferences heißen. Bei ACR- und AMR-Werten für SAML wird die Groß- und Kleinschreibung nicht berücksichtigt. Wenden Sie sich an Ihren Identitätsanbieter, um einen akzeptierten ACR- oder AMR-Wert zu senden.

            Im Folgenden finden Sie eine Liste der akzeptierten ACR- und AMR-Werte. Salesforce akzeptiert diese Werte für OpenID Connect und SAML.

            Authentifizierungsmethodentyp Zulässige Werte
            ACR

            Standardmäßige ACR-Werte:

            • MobileTwoFactorContract: Mobilgeräteauthentifizierung mit zwei Faktoren
            • PublicKey – digitale Signatur
            • PGP: digitale Signatur mit einem öffentlichen Schlüssel
            • Smartcard – Smart Card
            • TimeSyncToken: Zeitsynchronisierungstoken
            • PKI- Infrastruktur für öffentliche Schlüssel

            Benutzerdefinierte Werte von bestimmten Identitätsanbietern:

            • Mfa
            • Fido
            • Multipleauthn
            AMR

            Standardmäßige AMR-Werte aus RFC 8176 der Internet Engineering Task Force:

            • face – Gesichtserkennung
            • fpt: Fingerabdruckscan
            • hwk – Hardwaregestützter Sicherheitsschlüssel
            • iris: Iris-Scan
            • retina: Netzhautscan
            • sc – Smart Card
            • pop: Nachweis über den Besitz eines Schlüssels
            • swkSoftwaregestützter Sicherheitsschlüssel

            Benutzerdefinierte Werte von bestimmten Identitätsanbietern:

            • mfamultipleauthn
            • okta_verify

            Verhaltensunterschiede für Nicht-Umsatzorganisationen

            In Organisationen ohne Umsatz, beispielsweise Testorganisationen, ist die Geräteaktivierung für einen nicht erkannten Browser oder ein nicht erkanntes Gerät erforderlich, selbst wenn die IP-Adresse des Benutzers in den organisationsweiten Einstellungen oder im Profil des Benutzers als vertrauenswürdig konfiguriert ist. Diese Anforderung wird auch für enge IP-Bereiche erzwungen.

            Sicherheitsmaßnahme Geräteaktivierungsverhalten in Nicht-Umsatzorganisationen
            Starke Authentifizierungsmethode (MFA für die Anmeldung mit Benutzername und Kennwort oder akzeptierte Authentifizierungsmethode für SSO) Bei Anmeldungen, die eine sichere Authentifizierungsmethode verwenden, wird die Geräteaktivierung immer übersprungen. Der Benutzer verwendet bereits mehrere Faktoren zum Nachweis seiner Identität.
            Browser- oder Geräteerkennung mithilfe des sfdc_lv2-Cookies Wenn keine sichere Authentifizierungsmethode vorhanden ist, verwendet Salesforce diese Maßeinheit, um das Aktivierungsverhalten des Geräts zu bestimmen.
            Organisationsweite vertrauenswürdige IP-Bereiche und IP-Bereiche für die Profilanmeldung

            Für IP-Bereiche für die Profilanmeldung:

            • Benutzer, die sich in Reichweite befinden, müssen die Geräteaktivierung für einen nicht erkannten Browser oder ein nicht erkanntes Gerät abschließen. Benutzer, die sich außerhalb der Reichweite befinden, werden vollständig blockiert.

            Für organisationsweite IP-Bereiche:

            • Unabhängig davon, ob sie sich in Reichweite befinden oder nicht, müssen Benutzer die Geräteaktivierung für einen nicht erkannten Browser oder ein nicht erkanntes Gerät abschließen.
            Beispiel
            Beispiel Ein Benutzer meldet sich über einen nicht erkannten Browser oder ein nicht erkanntes Gerät bei einer Testorganisation an, ohne die MFA abzuschließen. Ihre IP-Adresse ist sowohl in den organisationsweiten Bereichen als auch in den IP-Bereichen für die Profilanmeldung als vertrauenswürdig konfiguriert. Sie müssen die Geräteaktivierung jedoch weiterhin abschließen.

            Überprüfungsmethoden

            Salesforce verwendet die Identitätsüberprüfungsmethode mit der höchsten verfügbaren Priorität. Im Folgenden finden Sie die Reihenfolge, in der Salesforce die Überprüfungsmethoden durchführt:

            1. Integriertes Authentifizierungsprogramm, das beim Account des Benutzers registriert ist, beispielsweise Touch ID oder Windows Hello
            2. Für den Account des Benutzers registrierter U2F-Sicherheitsschlüssel
            3. Push-Benachrichtigung oder standortbasierte automatisierte Überprüfung mit der mobilen Salesforce Authenticator-Anwendung, die mit dem Account des Benutzers verbunden ist
            4. Zeitbasiertes Einmalkennwort, das von einer mobilen Authentifizierungsanwendung wie Google Authenticator™ generiert wurde, die mit dem Account des Benutzers verbunden ist
            5. An das bestätigte Mobilgerät des Benutzers per SMS gesendete Einmalkennwort
            6. An die registrierte E-Mail-Adresse des Benutzers per E-Mail gesendete Einmalkennwort
             
            Laden
            Salesforce Help | Article