Kurz gesagt: Die Securepoint UTM kann die Anmeldung am Admin-Webinterface, am Anwender-Webinterface, am SSL-VPN, bei IPSec und per SSH mit einem zeitbasierten Einmalpasswort (OTP) absichern. Du aktivierst OTP unter Authentifizierung, OTP, weist jedem Benutzer über den Reiter OTP einen Schlüssel zu und scannst den QR-Code mit einer Authenticator-App. Vorher die Uhrzeit der UTM prüfen, sonst stimmen die Codes nicht.
Stand: 03.11.2026
Was bringt OTP auf der Firewall?
Ein OTP ist ein zeitbasiertes Einmalpasswort (TOTP). Es wechselt alle 30 Sekunden und wird aus einem geheimen Schlüssel berechnet, den UTM und Generator teilen. Als Generator dient eine Smartphone-App wie Google Authenticator, Microsoft Authenticator oder FreeOTP+, ein Passwortmanager wie KeePassXC oder ein Hardware-Token. Ein abgefangenes Passwort reicht dann nicht mehr, um sich an der Firewall oder per VPN ins Firmennetz anzumelden. Gerade beim SSL-VPN, das von außen erreichbar ist, ist das aus unserer Sicht Pflicht.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wie bereite ich die UTM vor?
Zeitbasierte Codes funktionieren nur, wenn die Uhren von UTM und Token übereinstimmen. Prüfe die Uhrzeit vorher:
- Im Webinterface unter Netzwerk, Servereinstellungen, Zeiteinstellungen die aktuelle Zeit kontrollieren. Alternativ zeigt das Widget auf der Startseite die Zeit an.
- Weicht die Zeit ab, stelle sie dort ein oder über die CLI mit dem Befehl „system date set“ und Datum und Uhrzeit im Format JJJJ-MM-TT hh:mm:ss.
Wie aktiviere ich OTP?
- Öffne im Webinterface Authentifizierung, OTP.
- Aktiviere OTP. Die UTM fragt, ob für alle Benutzer ohne OTP automatisch Konfigurationen erstellt werden sollen. Mit Ja legt sie die Schlüssel an und zeigt den Code des aktuell angemeldeten Benutzers. Mit Nein wird abgebrochen.
- Notiere oder scanne diesen Code sofort. Ohne ihn kannst du dich nach dem Aktivieren nicht mehr anmelden.
Wie richte ich OTP für Benutzer ein?
- Lege den Benutzer unter Authentifizierung, Benutzer an und speichere ihn.
- Klicke in der Benutzerzeile auf Bearbeiten und wechsle auf den Reiter OTP.
- Dort siehst du den Schlüssel als QR-Code und als Text (Secret). Standardeinstellungen: Eingabeformat base32 mit 16 Zeichen, Hash-Algorithmus sha1, Intervall 30 Sekunden. Belasse sha1, wenn Google oder Microsoft Authenticator genutzt werden, denn viele Apps unterstützen nur diesen Algorithmus.
- Richte die App ein: Konto hinzufügen, QR-Code scannen, Kamerazugriff erlauben. Alternativ Kontoname und Schlüssel von Hand eintragen, Typ zeitbasiert, 6 Stellen, SHA1, 30 Sekunden.
- Teste den Generator im Feld OTP-Code überprüfen.
Für die Übergabe an Mitarbeitende gibt es einen PDF-Export der Codes. Lass die Ausdrucke nicht herumliegen: Wer den Schlüssel hat, kann gültige Codes erzeugen.
Was gilt für Hardware-Token?
Der Token sollte RFC 6238 entsprechen. Securepoint nennt den Feitian OTP c200 als unterstütztes Modell. Vom Lieferanten bekommst du einen Download-Link für den HEX-Schlüssel (Parameter SHA1, 30 Sekunden). Trage den Schlüssel ein, nicht die Seriennummer des Tokens. Ist der Schlüssel in Nutzerattributen im Active Directory hinterlegt, kann er per LDAP ausgelesen werden. Das solltest du vermeiden.
Für welche Dienste schalte ich OTP ein?
Unter Authentifizierung, OTP legst du fest, wo die UTM den Code verlangt:
- Administrator-Webinterface
- Anwender-Webinterface
- VPN (Roadwarrior), also SSL-VPN
- IPSec und SSH, jeweils per CLI aktivierbar
Beachte: Ist OTP für das Admin-Webinterface und SSH aktiv, braucht jeder Administrator einen eigenen Token. Ausnahmen für einzelne Benutzer gibt es nicht.
Wie läuft die Anmeldung danach?
- Webinterface: Neben Benutzername und Passwort erscheint ein zusätzliches Feld für den OTP-Code.
- SSL-VPN: Der Client fragt den Code beim Verbindungsaufbau ab. Unterstützt der Client kein eigenes Feld, hängst du den Code ohne Leerzeichen direkt an das Passwort an. Ein gespeichertes Passwort im Client funktioniert deshalb nicht mehr. Die Verbindung wird stündlich neu ausgehandelt, dann ist ein neuer Code fällig. Das Intervall lässt sich unter VPN, SSL-VPN in den Verbindungseinstellungen im Reiter Allgemein verlängern. Securepoint rät davon ab, die Neuaushandlung ganz abzuschalten.
- SSH: Der Code wird in einer eigenen Zeile („Pin“) abgefragt oder ebenfalls an das Passwort angehängt.
Was passiert, wenn der Generator ausfällt?
Verliert ein Benutzer sein Smartphone, kannst du unter Authentifizierung, Benutzer, Reiter OTP den Code erneut anzeigen. Kritischer ist der Administrator: Fällt sein Generator aus, brauchst du den ausgedruckten QR-Code oder das Secret. Ohne beides bleibt nur der physische Zugang mit Tastatur und Monitor am Gerät. Bewahre deshalb die Admin-Schlüssel sicher und außerhalb der UTM auf, zum Beispiel im Passwortmanager des Unternehmens.
So unterstützen wir dich
Wir betreiben Securepoint-Firewalls für Unternehmen in Osnabrück und Umgebung, richten OTP für Administratoren und VPN-Nutzer ein und verteilen die Schlüssel sauber an die Mitarbeitenden. Fernwartung ist dabei der Normalfall. Mehr auf unserer Seite zu Firewall und UTM.
Häufige Fragen
Welche Authenticator-App funktioniert mit der Securepoint UTM?
Jede App, die zeitbasierte Einmalpasswörter nach TOTP unterstützt, etwa Google Authenticator, Microsoft Authenticator oder FreeOTP+. Belasse den Hash-Algorithmus auf sha1.
Warum werden meine Codes abgelehnt?
Meist stimmt die Uhrzeit der UTM nicht. Prüfe sie unter Netzwerk, Servereinstellungen, Zeiteinstellungen und richte eine Zeitsynchronisation ein.
Kann ich OTP nur für das VPN aktivieren?
Ja. Unter Authentifizierung, OTP schaltest du die Dienste einzeln um, zum Beispiel nur VPN (Roadwarrior).
Kann ich das VPN-Passwort im Client speichern?
Nein, sobald der Code an das Passwort angehängt werden muss. Jede Verbindung braucht einen frischen Code.
Quellen
- Securepoint Wiki: UTM Authentifizierung OTP (Securepoint, abgerufen am 03.11.2026)
