Sicherheit: wie gut Ihr Konto geschützt ist
Einstellungen → Sicherheit prüft Ihr WrkLst-Konto jeden Tag und bewertet, wie gut es geschützt ist: Personen, die WrkLst nicht mehr nutzen, Anmeldungen ohne zweiten Faktor oder aus unerwarteten Ländern, ungenutzte API-Tokens und App-Verbindungen, was KI-Assistenten tun, und Präsentationslinks, die lange öffentlich sind. Zu jedem Fund steht, was zu tun ist. Dieser Artikel beschreibt WrkLst 10.
Die Seite ist für Administrator:innen gedacht: Sie nennt Personen, die Orte ihrer Anmeldungen und alle Zugangsdaten des Kontos. Deshalb sehen sie nur Rollen mit der Berechtigung Sicherheitsprüfung; die Rolle Administrator:in hat sie.
Der Sicherheitswert
Oben zeigt der Sicherheitswert, wie gut Ihr Konto geschützt ist – von 100 abwärts, mit einer Note. Schwere Funde wiegen am meisten; Risiken, die Sie akzeptiert haben, zählen nicht. Daneben sehen Sie, wie viele Funde Kritisch und hoch, Mittel und Niedrig und Hinweise sind und wie viele Akzeptierte Risiken es gibt. Die Prüfung läuft jeden Morgen von selbst; Erneut prüfen startet sie sofort, etwa nachdem Sie etwas behoben haben.
Funde
Unter Funde steht, was die Prüfung gefunden hat, das Schwerwiegendste zuerst; Alle Funde zeigen blendet den Rest ein. Jeder Fund hat eine Stufe (Kritisch, Hoch, Mittel, Niedrig oder Hinweis), das Datum, an dem er auftauchte, und einen kurzen Rat, was zu tun ist und wo. Unter Bereich beschränken Sie die Liste auf eine Art von Fund:
- Personen – jemand, der WrkLst lange nicht genutzt hat oder sich nur mit einem Passwort anmeldet, eine noch offene Einladung oder viele Administrator:innen in einem Konto.
- Anmeldungen – eine Anmeldung aus einem Land, das Sie nicht erwarten, zwei Anmeldungen, zwischen denen niemand so schnell reisen kann, oder eine Adresse, die an der API oft abgewiesen wurde.
- Zugangsdaten – API-Tokens, Geräte der Mobile App, App-Passwörter fürs Adressbuch und Kalender-Links, die lange nicht genutzt wurden, nie ablaufen oder jemandem gehören, der keinen aktiven Zugang mehr hat.
- KI-Assistenten – ein neu verbundener KI-Assistent, ein Assistent mit weit mehr Abrufen, als jemand von Hand liest, oder einer, der Datensätze gelöscht hat.
- Öffentlich sichtbar – ein Präsentationslink, der lange öffentlich ist oder von vielen Besucher:innen geöffnet wurde, ein Website-Webhook, der Daten unverschlüsselt sendet, und Downloads der vollständigen Datenbanksicherung oder des Kontaktexports.
Der Rat führt zu der Stelle, an der Sie handeln: einen Zugang deaktivieren oder eine Einladung zurückziehen unter Einstellungen → Benutzerverwaltung, ein Token widerrufen unter Einstellungen → API-Tokens, gelöschte Datensätze im Werkzeugkasten wiederherstellen, einen Präsentationslink verkürzen oder abschalten. Manches kann nur die betroffene Person selbst tun, etwa einen Passkey hinzufügen oder ihren eigenen KI-Assistenten trennen; dann sagt der Rat, wen Sie bitten.
Ist ein Fund ein Risiko, das Sie bewusst eingehen, wählen Sie Risiko akzeptieren und halten auf Wunsch eine Begründung fest, etwa wer es entschieden hat und warum. Ein akzeptiertes Risiko senkt den Wert nicht mehr und wird nie wieder gemeldet. Akzeptierte Risiken zeigen listet sie mit Person und Datum auf, und Wieder zählen holt eines zurück.
Berichte
Unter Berichte finden Sie die Einzelheiten hinter den Funden, in fünf Reitern:
- Personen – alle mit einem Zugang, ihre Rolle, ihr zweiter Faktor (Passkey, Authenticator-App, beides oder nur Passwort), ihre letzte Anmeldung und letzte Aktivität sowie die Länder, aus denen sie sich in den letzten 30 Tagen angemeldet haben.
- Anmeldeländer – wo sich Ihr Team in den letzten 30 Tagen angemeldet hat, mit der Zahl der Anmeldungen und Personen je Land und ob das Land erwartet, unerwartet oder ein hohes Risiko ist.
- Zugangsdaten – alle API-Tokens, Geräte der Mobile App, App-Passwörter fürs Adressbuch und Kalender-Links, mit Zugriff, Erstellungs- und Ablaufdatum und letzter Nutzung, dazu die Verbundenen Apps, die Personen mit ihrem eigenen Login angemeldet haben. Eine verbundene App kann nur die Person selbst trennen, unter Einstellungen → Verbundene Apps.
- KI-Assistenten – Was KI-Assistenten getan haben in den letzten 30 Tagen, je Person: Abrufe, Änderungen, Löschungen und Abweisungen; Wer einen KI-Assistenten verbinden darf, Rolle für Rolle, für KI-Assistenten und die REST-API; und welche der KI-Funktionen in WrkLst Ihr Team genutzt hat.
- Öffentlich sichtbar – die Aktiven Präsentationslinks mit Besucher:innen und Besuchen (die Besuche Ihres eigenen Teams zählen nicht), die Datendownloads der letzten 30 Tage und Ihre Website-Webhooks.
Warnungen
Unter Warnungen legen Sie fest, ob Sie von neuen Funden erfahren, ohne die Seite zu öffnen. Das ist Ihre eigene Einstellung; alle mit Zugriff entscheiden für sich.
- Über neue Funde informieren schickt Ihnen eine Benachrichtigung in WrkLst, wenn die tägliche Prüfung etwas Neues findet.
- Mir zusätzlich eine E-Mail senden schickt sie auch per E-Mail.
- Welche Funde legt die niedrigste Stufe fest, über die Sie informiert werden, von Nur kritische bis Alle Funde.
- Wie oft: Täglich, am Morgen, an dem ein neuer Fund auftaucht, oder Wöchentlich, höchstens einmal pro Woche mit allem Neuen seit der letzten Nachricht.
Erwartete Länder
Eine Anmeldung aus einem Land, das Sie nicht erwarten, ist ein Fund. Aus Ihren Adressen zeigt die Länder, die WrkLst bereits erwartet: die Ihres Hauptsitzes, Ihrer weiteren Standorte und Ihrer Rechnungsadresse. Unter Ebenfalls erwartet fügen Sie mit Land hinzufügen die Länder hinzu, in die Ihr Team reist oder aus denen es arbeitet; sie gelten für alle als erwartet. Anmeldungen aus Ländern, die WrkLst als hohes Risiko einstuft, gelten als hohes Risiko, solange Sie sie nicht hier hinzufügen.