2FA: Guide für Admins

In diesem Artikel finden (Super-)Administrator:innen alle relevanten Informationen zur Zwei-Faktor-Authentifizierung (2FA).

Die Zwei-Faktor-Authentifizierung (2FA) wird ab dem 1. Mai 2026 verpflichtend für alle Mitarbeitenden von allen Schulen.

Das wichtigste als Admin

• In den meisten Fällen müsst ihr nichts einrichten
• 2FA funktioniert automatisch, wenn die Escola App genutzt wird oder eine Telefonnummer bzw. E-Mail-Adresse hinterlegt ist

Häufige Fragen – kurz erklärt

• Müssen Mitarbeitende vor dem 1. Mai etwas einrichten?

  Nein, in der Regel nicht. Wenn die Escola App genutzt wird oder eine Telefonnummer bzw. E-Mail-Adresse im Profil hinterlegt ist, funktioniert die 2FA automatisch.

• Reicht eine E-Mail-Adresse allein aus?

  Jaein. In diesem Fall wird die Person ab 1. Mai beim Login aufgefordert, eine Telefonnummer zu ergänzen oder eine Authentifizierungs-App einzurichten.

• Muss zwingend eine Authentifizierungs-App oder ein Passkey verwendet werden?

  Nein. Das sind zusätzliche Optionen. Die 2FA funktioniert auch einfach über SMS oder die Escola App.

• Was passiert, wenn keine 2FA-Methode vorhanden ist?

  Dann ist kein Login möglich. Ein Admin kann aber jederzeit einen einmaligen Code erstellen oder die fehlenden Angaben (Telefon/E-Mail) ergänzen.

• Können wir SMS als Methode deaktivieren?

  Ja. Ab dem 1. Mai kann SMS als «Fallback» eingestellt werden – ähnlich wie E-Mail. Diese Einstellung kann die Schule selbst vornehmen.

• Gilt die 2FA ab 1. Mai auch für Eltern/Bezugspersonen und Schüler:innen?

  Nein. Die Pflicht gilt nur für Mitarbeitende der Schule (inkl. Lehrpersonen, Schulleitung und Admins).

• Was ist mit geteilten Accounts (z. B. «schulverwaltung@schule.ch»)?

  Wir empfehlen grundsätzlich, keine geteilten Accounts zu verwenden. Falls doch, sollte eine Authentifizierungs-App auf mehreren Geräten eingerichtet werden, damit alle berechtigten Personen Zugriff haben.

• Braucht es ein privates Smartphone?

  Nein. Alternativen sind z. B. eine Authentifizierungs-App auf dem Computer, ein Passwortmanager oder Passkeys im Browser.

Aktivierung 2FA

• Für Administrator ist die 2FA bereits aktiv und kann nicht deaktiviert werden
• Für alle anderen Rollen könnt ihr die 2FA selbst aktivieren (Control Panel → Sicherheit) – ab dem 1. Mai 2026 ist sie jedoch für alle Mitarbeitenden verpflichtend.
• Aktivierung ist möglich pro Rolle bzw. Personengruppe

Zusätzlich könnt ihr festlegen, wie oft die 2FA auf einem Gerät erneut abgefragt wird (z. B. alle 30 Tage).

2FA-Methoden

Für die Zwei-Faktor-Authentifizierung (2FA) stehen den Benutzer verschiedene Methoden zur Verfügung.
Zu jeder Methode gibt es einen eigenen FAQ-Artikel mit Video, der die Einrichtung und Nutzung erklärt.

Die Benutzer können die Methoden selbständig aktivieren und frei entscheiden, welche sie verwenden möchten. Beim Login wird automatisch die zuletzt verwendete Methode vorgeschlagen – es kann aber jederzeit zu einer anderen gewechselt werden (z. B. von SMS zur Escola App).

Folgend alle Methoden im Überblick:

2FA via Escola App

Sobald die Escola App (mindestens Version 2.7.0) installiert ist und ein Login erfolgt ist, steht diese Methode automatisch zur Verfügung. Die Anmeldung ist besonders einfach: Statt eines Codes reicht ein Fingertipp auf die Push-Benachrichtigung.

Wichtig: Diese Methode funktioniert nur für Logins im Webportal. Für die Anmeldung in der App auf einem weiteren Gerät wird eine andere Methode benötigt.

Detaillierte Informationen zur 2FA via Escola App: 2FA: Escola App

Passkey

Passkeys sind keine klassische 2FA-Methode, sondern ein neuer Login-Ansatz. Dabei werden Passwort und 2FA in einem Schritt kombiniert. Die Zugangsdaten bleiben sicher auf dem Gerät gespeichert.

Nach der einmaligen Einrichtung ist kein Passwort mehr nötig – der Login erfolgt direkt über das Gerät. Das ist sowohl sicherer als auch komfortabler.

Detaillierte Informationen zum Login mit Passkeys: Login mit Passkeys

Authentifizierungsapp

Eine Authentifizierungs-App (z. B. Microsoft Authenticator) erzeugt automatisch Codes, die beim Login eingegeben werden. Diese funktionieren auch ohne Internet oder SMS.

Detaillierte Informationen zur 2FA via Authentifizierungsapp: 2FA: Authentifizierungsapp

2FA via SMS

Beim Login wird ein Code per SMS versendet, der zur Anmeldung eingegeben wird. Es kann eine geschäftliche oder private Telefonnummer verwendet werden. Optional kann auch eine separate Nummer nur für die 2FA hinterlegt werden.

Detaillierte Informationen zur 2FA via SMS: 2FA: SMS

2FA via E-Mail (als Fallback)

Wenn keine der primären Methoden (Escola App, Authentifizierungs-App oder SMS) eingerichtet ist, erfolgt die 2FA automatisch per E-Mail.

Wichtig: E-Mail dient nur als Fallback. Hat jemand Zugriff auf das E-Mail-Konto, kann er damit das Passwort zurücksetzen sowie die 2FA umgehen. Deshalb empfehlen wir dringend, eine der anderen Methoden zu verwenden.

Kosten 2FA

• Die 2FA ist bei allen Methoden – ausser SMS – komplett kostenlos.
• Jede Schule erhält ein jährliches Gratis-Kontingent an 2FA-SMS (2× Anzahl Schüler je Kalenderjahr). In den meisten Fällen reicht dieses aus.
• Alle weiteren 2FA-SMS kosten 0.04 CHF pro Nachricht. Die aktuelle Nutzung ist im Messenger unter «SMS-Statistiken und Packages» sichtbar.
• Es müssen keine SMS-Pakete mehr gekauft werden – die Abrechnung erfolgt automatisch

Ausblick

Ab dem 1. Mai 2026 ändern sich einige Punkte, um die Anmeldung noch sicherer zu machen:

• 2FA ist für alle Mitarbeitenden obligatorisch
• Ohne 2FA-Methode ist kein Login mehr möglich
• Benutzer mit nur E-Mail werden aufgefordert, eine zusätzliche Methode einzurichten
• Optional kann SMS als «Fallback» (wie E-Mail) eingestellt werden

2FA in Kombination mit Microsoft Single Sign-on (SSO)

Der SSO mit Microsoft funktioniert unabhängig vom Login mit Escola. Eine zusätzliche 2FA in Escola ist dabei nicht erforderlich, da die 2FA direkt durch Microsoft erfolgt. Deshalb wird allen Schulen ausdrücklich empfohlen, die 2FA in Microsoft zu aktivieren. Für die Einrichtung gibt Escola zwei Empfehlungen:

2FA-Intervall

Wir empfehlen, den 2FA-Intervall auf mehrere Tage oder Wochen zu setzen (Standard in Escola: 30 Tage).

Sehr kurze Intervalle (z. B. alle 2 Stunden) bieten kaum zusätzlichen Schutz, da die 2FA ohnehin bei jedem neuen Gerät oder Browser abgefragt wird. Das Risiko reduziert sich damit nur im seltenen Fall, dass jemand Zugriff auf ein bereits eingeloggtes Gerät erhält. Demgegenüber stehen deutliche Nachteile: Benutzer:innen müssen sich ständig neu verifizieren, was die Nutzung unnötig erschwert und die Akzeptanz senkt. Zudem zeigen Erfahrungen, dass überstrenge Vorgaben zu unsicheren Workarounds führen können. Längere Intervalle bleiben daher der beste Kompromiss.

2FA im Schulnetzwerk

In Microsoft kann festgelegt werden, dass die Zwei-Faktor-Authentifizierung (2FA) nur abgefragt wird, wenn ein Zugriff von ausserhalb des Schulnetzwerks erfolgt. Diese Einstellung wirkt zwar komfortabel, erhöht jedoch das Sicherheitsrisiko. Die Gefahr geht nicht nur von externen Angreifern aus. Ein Risiko besteht auch innerhalb der Schule – etwa dann, wenn Schüler:innen an Login-Daten von Lehrpersonen gelangen, zum Beispiel durch einen unvorsichtigen Umgang mit den Zugangsdaten. In einem solchen Fall wäre ein Login im Schulnetzwerk ebenfalls möglich.