Anmelden & Abmelden
Die Anwendung ist nicht öffentlich. Bis auf wenige Ausnahmen – öffentliche Seiten wie Anmeldeformulare oder geteilte Packlisten – braucht jeder Aufruf ein Konto.
Anmeldeseite
Die Anmeldeseite erreichst du unter /login. Sie zeigt je nach Konfiguration bis zu
drei Wege:
1. E-Mail und Passwort
Der Normalfall. Trage die E-Mail-Adresse ein, unter der dein Konto angelegt wurde, dazu das Passwort, und klicke Anmelden.
Die Anmeldung ist gegen Ausprobieren geschützt, und zwar doppelt: gebremst wird sowohl je Anschluss als auch je Konto. Wer viele Fehlversuche auf dieselbe Adresse produziert, kommt vorübergehend selbst mit dem richtigen Passwort nicht mehr durch. Warte in dem Fall ein paar Minuten.
Zusätzlich verrät die Anmeldung nicht, ob es ein Konto gibt: Eine unbekannte Adresse braucht genauso lange wie eine bekannte mit falschem Passwort.
2. Anmeldung über Nextcloud (SSO)
Ist die Anbindung an eine Nextcloud eingeschaltet, erscheint zusätzlich die Schaltfläche Mit Nextcloud anmelden. Ein Klick leitet dich zur Nextcloud, du meldest dich dort an und kommst angemeldet zurück. Ein eigenes Passwort für die Materialverwaltung brauchst du dann nicht.
Welche Rolle du dabei bekommst, steuert die Zuordnung Nextcloud-Gruppe → Rolle in den Systemeinstellungen.
Steht dieser Hinweis über dem Formular, ist die Anmeldung per Passwort zwar noch möglich, aber nicht mehr der vorgesehene Weg – die Leitung möchte, dass alle über die Nextcloud hereinkommen.
3. Hinweise auf der Anmeldeseite
Unterhalb des Formulars können öffentliche Hinweise stehen – zum Beispiel eine Wartungsankündigung. Diese Meldungen pflegt die Administration unter Einstellungen → Hinweise; sie sind absichtlich schon vor der Anmeldung sichtbar.
Passwort vergessen
- Klicke auf der Anmeldeseite auf Passwort vergessen? (Adresse:
/passwort-vergessen). - Trage deine E-Mail-Adresse ein und schicke das Formular ab.
- Du bekommst eine Mail mit einem Rücksetz-Link.
- Der Link führt auf
/passwort-zuruecksetzen; dort vergibst du ein neues Passwort.
Wichtig zu wissen:
- Ein neues Passwort braucht mindestens 12 Zeichen. Länge zählt hier mehr als erzwungene Sonderzeichen – die enden erfahrungsgemäß bei „Passwort1!" und einem Zettel unter der Tastatur. Ganz offensichtliche Wörter (passwort, admin, test …) weist die Anwendung ab. Bestehende kürzere Passwörter bleiben gültig; die Regel greift erst beim nächsten Setzen.
- Beim Tippen zeigt ein Balken, wie tragfähig das Passwort ist. Steht es in einem bekannten Datenleck, sagt die Seite das sofort und nennt die Zahl der Funde – dann hilft auch kein Anhängen von Ziffern, dieses Passwort ist verbrannt. Ob dieser Abgleich läuft, entscheidet die Verwaltung unter Passwortprüfung; das Passwort selbst verlässt die Anwendung dabei nicht.
- Der Link ist eine Stunde gültig und lässt sich nur einmal verwenden.
- Die Adresse im Link kommt aus der Konfiguration der Instanz, nicht aus dem Aufruf. Sonst ließe sich ein echter Rücksetz-Link auf eine fremde Domain umbiegen.
- Aus Datenschutzgründen meldet die Seite immer denselben Text – egal ob es die Adresse gibt oder nicht. Kommt keine Mail an, prüfe den Spam-Ordner und die Schreibweise.
- Damit überhaupt Mails rausgehen, muss der Mailversand konfiguriert sein (siehe E-Mail (SMTP)).
Meldet die Seite „Dieses Konto ist deaktiviert", stimmt das Passwort – das Konto wurde aber gesperrt. Ein Passwort-Reset hilft dann nicht; die Sperre hebt nur jemand mit dem Recht Benutzer verwalten auf.
„Bitte vergib zuerst ein eigenes Passwort"
Landest du nach der Anmeldung auf einer Seite, die nur ein Passwortfeld zeigt, trägt dein Konto noch das ausgelieferte Standardpasswort. Eine frische Installation bekommt einen Administrator mit einem Passwort, das in der Betriebsanleitung steht – wer die Anwendung kennt, kennt also auch dieses Konto.
Die Anmeldung selbst hat funktioniert, es geht nur nirgendwo hin: Bis das Passwort gewechselt ist, gibt es diese Seite und Abmelden, sonst nichts. Kein Menü, keine Umwege über die Adresszeile. Trage das bisherige Passwort ein, vergib ein neues nach der Regel oben – und danach steht dir alles offen; eine erneute Anmeldung ist nicht nötig.
Das gilt auch für Installationen, die schon länger laufen: Erkannt wird das Standardpasswort beim Anmelden, nicht beim Update. Wer also seit dem ersten Tag damit hereinkommt, wird beim nächsten Mal angehalten.
Ein selbst vergebenes Passwort löst das nie aus, auch wenn es beim Einrichten der Instanz gesetzt wurde – es steht in keiner Anleitung, und es zu erzwingen wäre Bevormundung. Demo-Instanzen sind ebenfalls ausgenommen: Dort ist das gemeinsame Passwort der Zweck, und die erste Person würde sonst alle übrigen aussperren.
Zwei-Faktor-Anmeldung
Zusätzlich zum Passwort lässt sich ein zweiter Faktor einschalten – entweder ein Code per E-Mail oder eine Authenticator-App (TOTP). Beides richtest du selbst in deinem Profil ein.
Ist der zweite Faktor aktiv, fragt die Anmeldung nach dem Passwort zusätzlich nach dem sechsstelligen Code.
Angemeldet bleiben
Die Anmeldung läuft über ein httpOnly-Cookie: Der Browser hält die Sitzung, ohne dass JavaScript an das Token kommt. Die Sitzung wird im Hintergrund automatisch verlängert, solange du die Anwendung benutzt.
Deaktiviert jemand dein Konto, wirst du beim nächsten Klick abgewiesen – nicht erst bei der nächsten Anmeldung.
Abmelden
Der Knopf Abmelden steht ganz unten in der Seitenleiste, unter deinem Namen. Er beendet die Sitzung serverseitig; ein „Zurück" im Browser bringt dich nicht wieder hinein.
Abmelden entwertet die Sitzung wirklich – nicht nur im eigenen Browser. Selbst wer den Sitzungsschlüssel abgegriffen hätte, kommt danach nicht mehr damit herein. Auf einem gemeinsam genutzten Gerät ist Abmelden damit mehr als Kosmetik.
Wird derselbe Sitzungsschlüssel zweimal eingelöst, wertet die Anwendung das als Diebstahl und entwertet alle Sitzungen des Kontos. Dann heißt es einmal neu anmelden.
Auf einem Tablet im Materialraum ist Abmelden Pflicht. Wer nur Packlisten abhaken soll, braucht dafür übrigens gar kein Konto – dafür gibt es Freigabe-Links.
Hat dies deine Frage beantwortet?