Zum Inhalt

Login-Sitzungen & Identität bestätigen

Vesana hält Anmeldungen bewusst lang und macht sie dafür jederzeit widerrufbar: Jede Browser-Anmeldung ist eine serverseitige Sitzung, die du im Konto sehen und beenden kannst. Was heikle Aktionen schützt, ist nicht eine kurze Sitzung, sondern die Identitätsbestätigung direkt davor.

Angemeldet bleiben

Das Häkchen „Angemeldet bleiben" auf der Login-Seite ist vorausgewählt. Damit überlebt die Anmeldung Browser-, PC- und Geräteneustarts — auch als installierte App auf dem Smartphone. Wer es abwählt, wird abgemeldet, sobald der Browser geschlossen wird; das gilt auch für Konten mit 2FA (ab v1.9.437).

Betreiber können die Option instanzweit ausschalten (siehe unten) — dann endet jede Anmeldung mit dem Schließen des Browsers, etwa im Terminal-Betrieb.

Fristen

Zwei Fristen begrenzen jede Sitzung; beide gelten instanzweit und lassen sich unter Admin → Anmeldung & Sicherheit → 2FA & Sitzungen → Login-Sitzungen ändern:

Einstellung Standard Bedeutung
Abmelden nach Inaktivität 30 Tage Solange du Vesana nutzt, verlängert sich die Sitzung automatisch. Erst nach dieser Zeit ohne Nutzung ist eine neue Anmeldung nötig. Wählbar von 1 Stunde bis 90 Tage
Absolute Obergrenze (auch bei Aktivität) 90 Tage Spätestens dann ist eine neue Anmeldung fällig — unabhängig davon, wie aktiv das Konto war. Wählbar bis 1 Jahr, nie kürzer als die Inaktivitätsfrist
Bei Neustart alle abmelden aus Ein Neustart von Vesana oder der Vesana-Maschine meldet alle Benutzer ab. Updates zählen nicht als Neustart — ein angekündigtes Update übernimmt die laufenden Sitzungen
„Angemeldet bleiben" anbieten an Ob das Häkchen auf der Login-Seite erscheint

Verlängert ein Admin eine Frist, gilt das sofort auch für laufende Sitzungen. Die Fristen gelten ebenso für Anmeldungen per API-Token (Bearer): Auch eine Token-Kette, die sich per Refresh immer wieder verlängert, endet spätestens an der absoluten Obergrenze.

Eigene Geräte sehen und abmelden

Einstellungen → Sitzungen listet alle aktiven Anmeldungen des eigenen Kontos: Browser/Gerät, IP-Adresse, angemeldet seit, zuletzt genutzt. Die aktuelle Sitzung ist markiert.

  • Eine fremde Sitzung einzeln abmelden (Knopf in der Zeile)
  • Überall sonst abmelden — beendet alle anderen Geräte und Browser; die aktuelle Sitzung bleibt
  • Die aktuelle Sitzung endet über das normale Abmelden

Abmelden wirkt serverseitig und innerhalb von Sekunden: Ein beendetes oder widerrufenes Login-Cookie funktioniert danach auf keinem Gerät mehr, auch nicht innerhalb der Restlaufzeit des Tokens. Ein bereits verbrauchter Anmelde-Token, der erneut auftaucht (Hinweis auf Diebstahl), beendet die ganze Sitzung sofort.

Was andere Sitzungen beendet

Ereignis Wirkung
Passwort ändern (Einstellungen → Profil) Alle anderen Sitzungen werden abgemeldet; die aktuelle bleibt. Die Antwort nennt, wie viele es waren
Konto deaktivieren Alle Sitzungen des Kontos enden sofort
Admin → Benutzer → „Alle Sitzungen abmelden" Notbremse bei kompromittierten Konten: alle Sitzungen des Benutzers auf jedem Gerät; Passwort und 2FA bleiben unverändert. Nach Rückfrage, mit Rückmeldung der Anzahl (ab v1.9.437 auch als Knopf in der Benutzerzeile)
Admin → Benutzer → „2FA zurücksetzen" Entfernt den zweiten Faktor und meldet alle Sitzungen ab — siehe 2FA
Neustart der Instanz nur, wenn „Bei Neustart alle abmelden" eingeschaltet ist

Abmelde-Grund auf der Login-Seite

Wer abgemeldet wurde, sieht auf der Login-Seite, warum — zum Beispiel: länger nicht aktiv, maximale Dauer erreicht, anderswo abgemeldet (Überall-sonst-abmelden oder Administrator), Passwort geändert, Konto deaktiviert, Vesana neu gestartet, oder Sitzung aus Sicherheitsgründen beendet (wiederverwendeter Token). Das hilft beim Unterscheiden zwischen „normal abgelaufen" und „jemand hat eingegriffen".

Identität bestätigen (Step-Up)

Vor Aktionen, die das Sicherheitsniveau eines Kontos oder der Instanz verändern, verlangt Vesana eine frische Bestätigung der Identität — unabhängig davon, wie lange die Sitzung schon läuft. Der Dialog „Identität bestätigen" öffnet sich automatisch; nach der Bestätigung wird die Aktion ausgeführt.

Gilt 15 Minuten, pro Sitzung. Ein frischer Login zählt selbst als Bestätigung. Ein zweites Gerät desselben Kontos muss sich eigenständig bestätigen.

Welche Aktionen

  • Eigenes Passwort ändern, eigene 2FA einrichten/abschalten, Passkeys hinzufügen/entfernen, Backup-Codes neu erzeugen
  • Benutzer anlegen, ändern, löschen, Passwort setzen, 2FA zurücksetzen, Script-Berechtigungen ändern
  • Rollen anlegen, ändern, löschen
  • Tenant löschen, Tenant-API-Key erzeugen
  • Sicherheitseinstellungen: Sitzungsfristen, 2FA-Pflichtregeln und Ausnahmen, Admin-Zugriff, Portal-Layout, Split-Container-Umstellung
  • SSO-Provider anlegen, ändern, löschen
  • SMTP-Einstellungen, Lizenzschlüssel ändern (ab v1.9.437), KI-Konfiguration
  • Collector-Schlüssel neu erzeugen; Aktiven Collector einrichten und seine Ausführungsfreigaben ändern
  • Agent-Gateway umschalten, Offline-Update einspielen, Speicher-Aufbewahrung ändern
  • Support-Bundle senden/herunterladen, Backup herunterladen, Papierkorb komplett leeren

Womit bestätigen

Der Dialog bietet die Wege an, die für das Konto eingerichtet sind — in dieser Reihenfolge: Passkey/Sicherheitsschlüssel, Code aus der Authenticator-App, Passwort, Backup-Code. SSO-Konten ohne lokalen Faktor bestätigen sich durch eine erneute Anmeldung beim Identity-Provider und kommen danach zurück. Hat ein Konto keinen Bestätigungsweg (kein Passwort, kein zweiter Faktor), muss ein Administrator einen setzen.

Ein TOTP-Code gilt genau einmal — derselbe Code bestätigt keine zweite Anmeldung und keine weitere Sicherheitsabfrage (ab v1.9.437).

Tokens nie in Adressen

Anmelde-Tokens tauchen weder in Web-Adressen noch in Server-Logs auf — auch nicht bei Live-Logs oder im TV-Modus. Für Skripte und API-Clients gilt der Bearer-Weg, siehe Auth-Flow.

Anschluss