Support & häufig gestellte Fragen.

Eine eigenständige .NET-Bibliothek, die sich über Microsofts Credential-Provider-API in den Windows-Anmelde-Bildschirm einklinkt. Statt der einzelnen Microsoft-Passwort-Kachel ergänzt CodeB eine Kachel, die NFC-Karten, RFC 6238 TOTP-Codes, X.509 PKI-Smartcards und USB-Memory-Tokens akzeptiert — und auf Wunsch die Passwort-Kachel vollständig ersetzt.

Die meisten MFA-Werkzeuge liegen oben auf einer bestehenden Passwort-Anmeldung. CodeB ist die Anmeldung. Es implementiert die ICredentialProviderCredential2-Schnittstelle und bringt einen integrierten Credential Provider Filter mit, der die Microsoft-Passwort-Kachel verbergen kann, statt nur einen zweiten Faktor daneben zu setzen. Diese Unterscheidung zählt im Audit.

Beides oder eines von beiden. CodeB unterstützt lokale Konten, Active-Directory-Konten und Microsoft-Entra-ID-Konten auf derselben Workstation. Hybride Umgebungen sind das häufigste Bereitstellungs-Muster, das wir sehen.

Zwei Erweiterungen kommen ohne Aufpreis mit der CP-V2-Lizenz: CodeB Web SSO, eine verwaltete Browser-Erweiterung für Edge und Chrome, die Benutzernamen, Passwörter und TOTP-Codes in Webanwendungen einträgt (sowie in alte Windows- oder Java-Anwendungen wie T2med), ohne die Anmeldedaten je dem Seiten-JavaScript zugänglich zu machen, und CodeB Desktop Switcher, ein tastenkürzelgesteuertes Werkzeug, das Desktop-Dateien, Symbol-Positionen und Hintergrundbilder je Monitor gegen ein sauberes Profil austauscht, bevor Sie den Bildschirm freigeben. Beide sind als eigenständige Lizenz erhältlich, wenn Sie bereits einen anderen Desktop-Anmelde-Stack einsetzen.

Der Credential Provider V2 unterstützt von Haus aus NFC-Karten auf MIFARE- und DESFIRE-Basis, RFC 6238 TOTP-Codes, X.509 PKI-Smartcards und Software-Zertifikate sowie einfache USB-Memory-Sticks für Evaluierungen. Darüber hinaus wird eine breite Auswahl an NFC-Tokens unterstützt — einschließlich nationaler Ausweise, Verkehrskarten, Bankkarten und der erweiterten DESFIRE-Familie.

Geben Sie ihnen für die Evaluierung ein USB-Memory-Token oder nutzen Sie eine beliebige RFC 6238 TOTP-App — dieselbe Identität kann sich an Windows anmelden, ob die Karte vorhanden ist oder nicht.

Ja. Ein häufiges Muster ist eine primäre NFC-Karte plus eine TOTP-App auf einem Telefon als Backup für die Tage, an denen die Karte zu Hause vergessen wird. Es entstehen keine zusätzlichen Lizenzkosten für weitere Tokens pro Identität.

Beide Muster werden gleichwertig unterstützt, und in der Praxis verteilen sich unsere Kunden ungefähr 50/50 zwischen beiden.

• Muster A — zweiter Faktor. Das vorhandene Windows-Passwort behalten und die NFC-Karte oder den TOTP-Code als zweiten Faktor obendrauf ergänzen. Mehrfaktor-Anmeldung.
• Muster B — passwortlos. Das Passwort vollständig weglassen und die NFC-Karte oder den TOTP-Code allein die Anmeldung tragen lassen.

Dieselbe Software, dieselben Tokens; Sie wechseln per Richtlinie zwischen beiden. Regulierte Umgebungen, in denen das Passwort ein bekanntes Risiko ist, gehen meist gleich passwortlos; Umgebungen mit etablierter Passwort-Hygiene ergänzen CodeB häufig zuerst als zweiten Faktor und migrieren später auf passwortlos. Wir helfen Ihnen bei der Entscheidung für Ihre Umgebung.

Ja. Genau das klassische Produktions-Muster — kurze automatische Sperre, mobile Bedienerinnen und Bediener zwischen Arbeitsplätzen, keine Zeit und keine Bereitschaft für eine PIN. Der Credential Provider V2 unterstützt das direkt für MIFARE-Classic-Karten (13,56 MHz) und die weitere MIFARE-/DESFIRE-Familie. Die Einrichtung dauert rund zehn Minuten pro Rechner.

1. codeb_smartloginhelper.zip herunterladen von www.aloaha.com/downloads/codeb_smartloginhelper.zip und auf dem Zielrechner entpacken.
2. CredentialProviderInstaller.exe starten und „Install Credential Provider“ klicken. Damit registriert sich CodeB an der Windows-LogonUI.
3. Lizenzschlüssel mit SmartLoginLicensing.exe einspielen.
4. Das Windows-Konto der Bedienerin/des Bedieners mit LinkNFCCard.exe an die Karte binden. PIN-Feld leer lassen — dadurch wird die Standard-PIN 0000 gegen die Karte hinterlegt.
5. Am Windows-Anmeldebildschirm die Karte auflegen und das PIN-Feld leer lassen. Die Standard-PIN 0000 wird automatisch angewendet, die Karte wird zum einzigen Anmeldefaktor. Ein Antippen und angemeldet.

Sicherheitshinweis: Karte-als-einziger-Faktor bedeutet — die Karte ist die Anmeldung. Der Verlust der Karte entspricht dem Verlust des Zugangs bis zum Entkoppeln, deshalb passt dieses Muster besonders gut zu einer kurzen Inaktivitäts-Sperre und einem schlanken Kartenausgabe-Prozess. In Umgebungen, in denen dieser Kompromiss nicht akzeptabel ist, lassen Sie die PIN-Abfrage aktiv — dieselbe Software unterstützt Karte + PIN als Zwei-Faktor-Anmeldung ohne Neuinstallation.

Ja. Der Credential Provider V2 sitzt als vollwertiger Credential-Provider in der Windows-LogonUI und funktioniert daher mit jedem Kontomodell, das Windows selbst versteht — lokale Konten, Konten aus einer On-Premises Active Directory-Domäne, hybrid Azure AD-eingebundene Rechner sowie Entra ID-(Azure AD)-eingebundene Rechner. Der Credential Provider übergibt die aufgelöste Anmeldeinformation an Windows; Windows prüft sie gegen das eingerichtete Kontomodell. Windows-11-Produktionsrechner, die an Entra ID gebunden sind und mit Bediener-Konten laufen, sind ein sehr häufiger Einsatzfall.

Ja. Einem einzigen Windows-Domänenkonto können viele Karten zugeordnet werden — das klassische Muster für Schichtbetrieb und Produktion. Jede Bedienerin, jeder Bediener trägt die eigene Karte; alle Karten lösen dieselbe Windows-Sitzung aus. Enrollments skalieren auf tausende Karten je Umgebung; das Muster ist produktiv in Umgebungen mit 2.000 + Kartennutzern auf gemeinsamen Betriebskonten im Einsatz.

Der CodeB Credential Provider V2 unterstützt jede Windows-Edition ab Windows 8, einschließlich Windows 8.1, 10, 11 und die entsprechenden Windows-Server-Releases bis Server 2025. Systeme vor Windows 8 sind im aktuellen Credential-Provider-V2-Build nicht im Umfang.

CodeB wird als Kommandozeilen-Installer ausgeliefert. Ein MSI-Paket ist auf Anfrage verfügbar. Der Credential Provider konfiguriert sich über Registry-Richtlinien, sodass jedes Werkzeug, das in die Registry schreiben kann — Group Policy, SCCM, Ansible, PowerShell DSC, handgeschriebene .reg-Dateien — ihn ausrollen kann. Wir liefern derzeit keine eigenen ADMX-Vorlagen mit; die Registry-Schlüssel sind kurz und in der Installations-Anleitung dokumentiert.

Ja. Ein separates Kommandozeilen-Werkzeug, CodeB Admin CLI (CodeBAdminCLI.exe), automatisiert alles, was die GUI-Helfer tun: eine Kartenseriennummer einem Active-Directory-Benutzer als zweiten Faktor zuordnen, verschlüsselte Anmeldedaten in AD oder lokal als Soft-Token speichern, Zuweisungen auflisten und Karten sperren. Es nimmt /user, /domain, /serial und /pin (plus /password für die Anmeldedaten-Speicherung), sodass eine CSV plus eine PowerShell-Schleife einen kompletten Rollout abdeckt. Download unter www.aloaha.com/downloads/CodeBAdminCLI.zip. Vollständige Referenz und Schalter auf der Produkte-Seite. Funktioniert sowohl gegen lokale Konten als auch gegen AD. Bei korrekt delegierten AD-Berechtigungen sind keine lokalen Administratorrechte erforderlich.

Keine Internetverbindung und kein Cloud-Dienst sind erforderlich. Jede Komponente — der Credential Provider, das Audit-Log und der Web-SSO-Endpunkt — läuft auf Ihrer eigenen Infrastruktur. Es gibt keine SaaS-Steuerebene, gegen die authentifiziert würde. Das Produkt wird regelmäßig in luftgetrennten OT- und klinischen Netzen eingesetzt, in denen überhaupt keine Internetverbindung verfügbar ist.

Beide Speicherorte verhalten sich zur Anmeldezeit identisch; die Wahl ist im Wesentlichen Geschmackssache. Eine Freigabe gewinnt bei der Einfachheit: keine Anpassungen in Active Directory, Rechte liegen auf der Freigabe, sofort einsatzbereit in Laboren und kleinen Umgebungen. Active Directory gewinnt bei der Eleganz in größeren Umgebungen: die Kartendaten wandern mit dem Benutzerobjekt, keine separate Freigabe, keine separate ACL. Dieselbe Software, dieselben Tokens; der Speicherort lässt sich später wechseln, ohne Karten neu auszugeben.

Eine einzige Attribut-Berechtigung. Das Attribut altSecurityIdentities am Benutzerobjekt muss von Domänen-Computern lesbar und beschreibbar sein (was praktisch LocalSystem auf dem eingebundenen Rechner entspricht). Idealerweise hat auch das Benutzerkonto selbst Lese-/Schreibrecht auf sein eigenes altSecurityIdentities. Das ist die einzige nötige AD-Änderung. Sobald die Berechtigung sitzt, schreibt LinkNFCCard.exe direkt in altSecurityIdentities und bestätigt den Erfolg — bei fehlender Berechtigung warnt das Werkzeug.

In LinkNFCCard.exe die Option „Store Data in AD“ aktivieren — und typischerweise auch „Link Card as 2nd Factor in AD“. Sofern die Berechtigung auf altSecurityIdentities gesetzt ist (siehe vorheriger Eintrag), bestätigt das Werkzeug den Schreibvorgang. Fehlt die Berechtigung, warnt das Werkzeug — statt still zu scheitern.

Ja — das ist das Standardmuster für die Ausrollung. Mit AD-Speicherung wird das Enrollment auf dem Benutzerobjekt geschrieben, unabhängig davon, auf welcher Arbeitsstation das Werkzeug läuft; ein Admin-Rechner kann Karten für das gesamte Unternehmen enrollen. Die Kommandozeilen-Werkzeuge sind dokumentiert unter downloads.html#admin-cli und products.html#admin-cli; es sind dieselben Binaries, die auch im Tagesbetrieb zum Einsatz kommen. Lizenznehmer können den Zugang anfordern und sofort testen.

Sobald eine Karte vom Leser genommen wird, feuert Windows ein Kartenentfernungs-Ereignis und der Credential Provider hört auf, die Karte zu suchen. DelayCardRemovalEventSec verzögert dieses Ereignis um die konfigurierte Anzahl Sekunden und gibt einer schnellen Bedienerin oder einem schnellen Bediener Zeit zum Auflegen und Anheben, während die Anmeldung weiter durchläuft. Der Standardwert ist ein kleiner, auf typische Leser abgestimmter Wert; ein Wert von 60 Sekunden ist ungewöhnlich hoch und deutet meist auf etwas anderes hin (Lesertreiber, Kaltstart-Timing) — die Einstellung ist eine Kompensation, keine Lösung.

In einem typischen gehärteten Setup wird der Microsoft Password Provider per integriertem CodeB Credential Provider Filter verborgen, nicht direkt deaktiviert. Den Microsoft Password Provider system-weit zu deaktivieren kann unerwünschte Nebenwirkungen auf Windows-Interna haben; ihn per Filter zu verbergen entfernt die Kachel sauber aus der LogonUI, ohne darunter etwas anzufassen. Derselbe Filter verhindert, dass andere Provider sich der LogonUI gegenüber anbieten.

Ja — und in einzigartiger Weise. Der Credential Provider V2 ist in 100 % Managed .NET Code geschrieben, sodass er seine Kryptografie über die Windows-CNG-Schicht abwickelt. Wenn Sie die Group-Policy-Einstellung „Systemkryptografie: Konformität mit FIPS-Algorithmus für Verschlüsselung, Hashing und Signatur erzwingen“ aktivieren, erzwingt Windows selbst FIPS 140-2 gegen jeden Krypto-Aufruf, den der Credential Provider tätigt.

Jeder andere uns bekannte Windows-Credential-Provider ist in nativem Code mit eigenem Krypto-Pfad gebaut, der über diese Richtlinie nicht erzwungen werden kann. Wenn Sie in einer FIPS-pflichtigen Umgebung arbeiten, lassen Sie mit CodeB einen einzigen GPO-Schalter aktivieren und das Betriebssystem garantiert die Konformität — ohne unterschriebene Attestierungs-Schreiben.

Ja — die CodeB-Produkte sind mit Blick auf die Verordnung (EU) 2024/2847 konzipiert und ausgeliefert. Der CRA wurde am 20. November 2024 im EU-Amtsblatt veröffentlicht und ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten nach Artikel 14 für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die vollständigen Herstellerpflichten ab dem 11. Dezember 2027. CodeBs Credential Provider V2 ist ein Identitätsmanagement-Produkt und fällt voraussichtlich unter Annex III wichtige Produkte mit digitalen Elementen; CodeB Conference, CodeB Web SSO und CodeB Single Sign-On sind als PDE ebenfalls im Anwendungsbereich.

Was Sie bereits heute, vor dem Geltungsbeginn, von uns bekommen:

• Ein dokumentierter Supportzeitraum für Sicherheit und Schwachstellenbehandlung.
• Signierte Installer (Authenticode) für alle aktuellen Binaries, kryptografisch überprüfbar.
• Eine Software-Stückliste (SBOM) im CycloneDX-Format auf Anfrage für Lizenznehmer.
• Ein Ansprechpartner für koordinierte Schwachstellenoffenlegung für Forschende und Kunden.
• Sichere Voreinstellungen — keine Demo-Passwörter, keine anonymen Endpoints, keine Opt-out-Telemetrie.
• Sicherheits-Updates innerhalb des Supportzeitraums werden kostenfrei ausgeliefert.

Wir positionieren uns als CRA-ready und nicht als „CRA-zertifiziert“ oder „CRA-konform“, weil die harmonisierten Normen für die formale Konformitätsbewertung und die CE-Kennzeichnung gegen den CRA noch nicht in finaler Fassung veröffentlicht sind und der Geltungsbeginn der Verordnung noch in der Zukunft liegt. Sobald die Normen vorliegen, führen wir die formale Konformitätsbewertung für die betroffenen Produkte durch.

Ja. Lizenznehmer können eine aktuelle CycloneDX-SBOM für Credential Provider V2, Web SSO, Desktop Switcher, Conference und Single Sign-On anfordern. Schreiben Sie uns über die Kontaktseite; wir senden die SBOM signiert per Antwort.

Wir betreiben einen koordinierten Offenlegungsprozess. Forschende und Kunden können Befunde über unseren Kontaktkanal melden; wir bestätigen den Eingang, stimmen einen Zeitplan ab und liefern den Fix als signiertes Update innerhalb des Supportzeitraums kostenfrei aus. Die CRA-Meldefenster von 24 Stunden / 72 Stunden / 14 Tagen gegenüber ENISA für aktiv ausgenutzte Schwachstellen und schwere Vorfälle gelten ab dem 11. September 2026; unser Prozess ist bereits darauf ausgelegt.

Zwei Optionen: eine Dauerlizenz zu € 49,99 einmalig pro Lizenz oder ein Jahresabonnement zu € 19,99 pro Lizenz pro Jahr. Dauerlizenzen können optional Wartung zu 20 % des Kaufpreises pro Jahr ergänzen, die Versions-Updates und weiteren Support abdeckt. Lizenzen werden nach dem höheren Wert aus Anwendern bzw. Maschinen gezählt. Mengenrabatte und Projekt-Konditionen auf Anfrage — siehe die Preise-Seite.

E-Mail-Support ist bei jeder CodeB-Lizenz enthalten — Dauerlizenz oder Jahresabonnement, großer Kunde oder einzelner Sitz — solange Sie das Produkt nutzen. Keine Gewährleistungs-Klippe, keine Premium-Support-Stufe, keine Einzelfall-Gebühren. Der optionale Wartungsvertrag auf Dauerlizenzen (20 % des Kaufpreises pro Jahr) deckt Versions-Updates ab, nicht Support. Beide Lizenztypen können um einen namentlich benannten Spezialisten in Ihren Rollout-Calls erweitert werden — separat als professionelle Dienstleistung kalkuliert.

Ja — jede Funktion ist auf jeder Lizenz freigeschaltet, sodass ein kleiner Pilot-Kauf exakt dieselbe Software wie ein produktiver Rollout testet. Wir empfehlen Kunden meist, mit einer kleinen Anzahl Jahresabonnement-Lizenzen für den Pilot zu starten und nach Validierung der Architektur auf Dauerlizenzen oder ein erweitertes Abonnement umzustellen.