Beschreibung des Softwaredienstes – Frontline Identity by Flip

Frontline Identity by Flip stellt die folgenden Funktionen zur Aktivierung, Authentifizierung und Verwaltung von Nutzeridentitäten bereit:

Aktivierung

Aktivierung per Invite-Code. Neue Nutzer aktivieren ihren Zugang durch Eingabe eines kurzen, zeitlich begrenzten Aktivierungscodes. Der Code kann einzeln oder gesammelt für mehrere Nutzer erzeugt und auf unterschiedlichen Wegen verteilt werden. Nach Eingabe des Codes richtet der Nutzer seine Anmeldung ein und schließt die Aktivierung ab. 

Aktivierung per QR-Code. Nutzer können ihren Zugang durch Scannen eines QR-Codes aktivieren. Der QR-Code verweist auf den Aktivierungsvorgang, sodass die manuelle Eingabe von Adressen oder Codes auf dem Endgerät entfällt.

Manager-basierte Verifizierung. Lokale Verantwortliche können die Identität von Nutzern verifizieren und Aktivierungscodes für ihr Team erzeugen, wenn dies vom Kunden konfiguriert wird. Über denselben Weg lässt sich auch die Anmeldung eines Nutzers zurücksetzen, sodass ein Passwort-Reset ebenfalls für Nutzer ohne hinterlegte E-Mail-Adresse möglich ist. Die Aktivierung neuer Nutzer kann so dezentral und ohne direkte Beteiligung der zentralen IT erfolgen. 

Authentifizierung

Passwortlose Anmeldung mit Passkeys. Nutzer können sich passwortlos über einen Passkey anmelden. Die Bestätigung erfolgt über die biometrischen Verfahren des Endgeräts (Fingerabdruck oder Gesichtserkennung) oder die Geräte-PIN. Passkeys folgen dem FIDO2-/WebAuthn-Standard und können über die üblichen Standards zwischen den Geräten eines Nutzers synchronisiert und geräteübergreifend genutzt werden (Cross-Device-Login); ein Gerätewechsel erfordert dadurch keine erneute Registrierung. Die Anmeldung ist phishing-resistent, da der Passkey an die jeweilige Anwendung gebunden ist und nicht auf gefälschten Seiten verwendet werden kann. Ein zusätzliches Passwort ist nicht erforderlich.

Anmeldung per Benutzername und Passwort. Eine Anmeldung ist auch per Benutzername und Passwort möglich. Der Benutzername kann eine E-Mail-Adresse oder eine andere Kennung, wie eine Mitarbeiternummer, sein. Nutzer können ihr Passwort über eine Passwort-Zurücksetzen-Funktion selbst zurücksetzen, sofern eine gültige E-Mail-Adresse hinterlegt ist; über diese E-Mail-Adresse erhalten sie bei Anforderung einen Link zum Zurücksetzen. Alternativ kann das Zurücksetzen über die manager-basierte Verifizierung erfolgen, sodass auch Nutzer ohne E-Mail-Adresse ihr Passwort zurücksetzen können. 

Zertifikatsbasierte Authentifizierung (auch für geteilte Geräte). Flip unterstützt die zertifikatsbasierte Authentifizierung als Anmeldemethode. Die Zertifikate werden in der Regel über ein Mobile-Device-Management-System (MDM) bereitgestellt. Ob ein Zertifikat gerätebezogen oder nutzerspezifisch (personalisiert) ausgestellt wird, entscheidet der Kunde. In Kombination mit einem persönlichen Passwort oder einer PIN ergibt sich eine Anmeldung mit zwei Faktoren; bei personalisierten Zertifikaten sind beide Faktoren nutzergebunden. Dieses Verfahren ermöglicht insbesondere die personalisierte Anmeldung mehrerer Nutzer auf gemeinsam genutzten Geräten und kann auf entsprechend verwaltete Geräte beschränkt werden.

Verwaltung von Nutzeridentitäten

Benutzerdefinierte Rollen und Berechtigungen. Der Zugriff auf Funktionen und Daten wird über Berechtigungen gesteuert, die zu Rollen zusammengefasst und Nutzern zugewiesen werden. Organisationen können die vordefinierten Rollen anpassen, indem einzelne Berechtigungen aktiviert oder deaktiviert werden, und darüber hinaus eigene Rollen definieren. Nutzer und weitere Ressourcen lassen sich über Nutzergruppen entlang der Organisationsstruktur (Gesellschaften, Standorte, Abteilungen, Teams) abbilden. Berechtigungen können organisationsweit oder auf einzelne Nutzergruppen beschränkt vergeben werden und werden innerhalb der Gruppenhierarchie an untergeordnete Gruppen vererbt. Über das feingranulare Rechtemodell lassen sich administrative Aufgaben (Nutzer-, Rollen- und Zugriffsverwaltung) auf getrennte Rollen aufteilen. Berechtigungen können auf einzelne Nutzergruppen beschränkt vergeben werden, sodass lokale Verantwortliche jeweils nur ihren Bereich administrieren (Delegation von Rollen). Änderungen an Rollen und Berechtigungen werden im Audit-Log protokolliert und sind damit historisiert. Für die Rezertifizierung sind die vergebenen Berechtigungen über die Admin-Console sowie per API- bzw. Audit-Log-Export auslesbar und lassen sich so in vorhandene IGA-/GRC-Tools einbinden.

Gruppenbasierte Zugriffssteuerung auf angebundene Anwendungen. Der Zugriff auf angebundene Drittanwendungen kann anhand von Nutzergruppen gesteuert werden. Es lässt sich festlegen, welche Nutzergruppen sich per Single Sign-On bei welcher angebundenen Anwendung anmelden dürfen. So wird der Anwendungszugriff zentral entlang der Organisationsstruktur geregelt.

Sitzungs- und Token-Verwaltung sowie Lebenszyklus-Steuerung. Die Gültigkeitsdauer von Sitzungen und Token kann konfiguriert werden. Über die Steuerung des Nutzerkonto-Lebenszyklus (Sperren oder Deaktivieren eines Kontos) kann der Zugriff eines Nutzers entzogen werden, wodurch bestehende Sitzungen und Token ungültig werden. Diese Steuerung kann sowohl manuell in der Administrationsoberfläche als auch automatisiert per SCIM oder API erfolgen. 

Konfiguration von Benutzerattributen. Für Nutzer können Attribute definiert und gepflegt werden. Diese Attribute können unter anderem für die Zuordnung von Berechtigungen sowie für die Übergabe an angebundene Anwendungen verwendet werden.

SSO-Bereitstellung. Frontline Identity by Flip kann als Identity Provider für angebundene Drittanwendungen dienen. Administratoren können die Anbindung selbst konfigurieren, sodass sich Nutzer mit ihrer Flip-Identität per Single Sign-On (SSO) bei verbundenen Anwendungen anmelden können. Unterstützte Authentifizierungsprotokolle sind OIDC (OpenID Connect) und SAML (Security Assertion Markup Language).

Anbindung eines bestehenden Identity Providers. Ein vom Kunden betriebener Identity Provider kann angebunden werden, sodass die Authentifizierung über diesen erfolgt. Für Nutzer, die über einen externen Identity Provider angebunden sind, kann die Anmeldung über diesen Anbieter als zusätzliche Anmeldeoption bereitgestellt werden. Unterstützte Authentifizierungsprotokolle sind SAML und OIDC.

Anbindung von Verzeichnisdiensten. Zur vereinfachten Nutzerverwaltung kann ein bestehender Verzeichnisdienst auf Anfrage angebunden werden, wodurch eine Synchronisierung der Nutzer hergestellt wird.

Automatisierte Nutzerbereitstellung und -deaktivierung (SCIM / API). Nutzer können automatisiert aus einem zentralen Verzeichnis bereitgestellt, synchronisiert und wieder deaktiviert werden (Joiner-Mover-Leaver). Hierfür werden das Protokoll SCIM 2.0 (System for Cross-domain Identity Management) sowie eine API unterstützt. So wird der Zugang eines Mitarbeiters beim Austritt automatisch entzogen. Flip fungiert dabei als SCIM-Ziel (inbound). Fehler werden über standardisierte API-Fehlercodes an das sendende System zurückgegeben; die Wiederholungslogik (Retry) liegt beim quellseitigen System. Die Verfügbarkeit der Schnittstelle wird überwacht und ist unter getflip.com/status/ einsehbar.

Verwaltung über die Admin-Console. Über eine Administrationsoberfläche können Identitäten und deren Anmeldemethoden verwaltet werden. Administratoren können Nutzer anlegen, bearbeiten und deaktivieren sowie deren Zugänge, Rollen und Berechtigungen verwalten.

Betrieb, Sicherheit und Datenschutz

Audit-Logs. Identitätsbezogene Vorgänge werden protokolliert. Die Protokolle sind manipulationssicher: Einträge können durch Administratoren weder verändert noch einzeln gelöscht werden. Die Aufbewahrung der Protokolle sowie die Entfernung personenbezogener Angaben richten sich nach der Ziffer „Aufbewahrung und Export“. Die Protokolle sind durchsuchbar und stehen im JSON-Format per Export sowie über eine API zur Einbindung in SIEM-Tooling bereit. Protokolliert werden insbesondere: der Nutzerkonto-Lebenszyklus (Anlegen, Ändern, Sperren/Deaktivieren, Löschen), Profil- und Attributänderungen (einschließlich Self-Service), Gruppen und Gruppenmitgliedschaften, Anmeldeverfahren und Credentials (Passwort, Passkey, TOTP), API-Clients und Provisionierung (SCIM) sowie Rollen- und Berechtigungsänderungen.

Verfügbarkeitsreporting. Der Verfügbarkeitsstatus von Frontline Identity by Flip ist auf getflip.com/status/ jederzeit einsehbar.

Hosting in der Cloud. Das Hosting des Dienstes erfolgt in DSGVO-konformen Rechenzentren in Deutschland. 

Aufbewahrung und Export

Die Aufbewahrungsfristen für die einzelnen Datenkategorien ergeben sich aus der nachfolgenden Übersicht. Als konfigurierbar gekennzeichnete Fristen kann der Kunde innerhalb der vorgesehenen Grenzen selbst einstellen. Kundeninhalte können in den angegebenen Formaten und über die angegebenen Wege exportiert werden. Im Übrigen richtet sich die Löschung nach Vertragsende nach dem Hauptvertrag und der Auftragsverarbeitungsvereinbarung.

Für die vorstehend als „Kein Export“ gekennzeichneten Datenkategorien besteht keine Selbstbedienungs-Exportfunktion; enthalten sie Kundeninhalte, stellt der Anbieter diese auf Anfrage des Kunden über den Support in einem strukturierten, gängigen und maschinenlesbaren Format bereit. Die Angaben in der Spalte „Export“ betreffen die während der Vertragslaufzeit verfügbaren Exportfunktionen; die Rechte des Kunden nach dem Hauptvertrag (Wechselunterstützung) und nach der Auftragsverarbeitungsvereinbarung bleiben unberührt.

Systemvoraussetzungen

Folgende Mindestanforderungen bestehen für Betriebssysteme und Browser der Endgeräte:

Betriebssysteme

• Windows: Letzte 3 Hauptversionen

• macOS: Letzte 3 Hauptversionen

• iOS: Letzte 3 Hauptversionen

• Android: Letzte 6 Hauptversionen

• Flip App: iOS letzte 2 Hauptversionen, Android letzte 2 Hauptversionen

Browser

• Chrome Desktop & Mobile: Letzte 3 Hauptversionen

• Edge Desktop: Letzte 3 Hauptversionen

• Firefox Desktop: Letzte 3 Hauptversionen

• Safari Desktop: Letzte 3 Minor-Versionen

Die passwortlose Anmeldung mit Passkeys setzt Endgeräte voraus, die FIDO2/WebAuthn sowie plattformseitige Authentifikatoren (biometrische Verfahren oder Geräte-PIN) unterstützen.

Unterstützte Standards und Protokolle

• SAML 2.0 (Security Assertion Markup Language)

• OIDC (OpenID Connect)

• SCIM 2.0 (System for Cross-domain Identity Management)

• FIDO2 / WebAuthn (Passkeys)

• TOTP (zeitbasiertes Einmalpasswort, RFC 6238)

Rechtlicher Rahmen

Diese Beschreibung des Softwaredienstes beschreibt die Beschaffenheit des Softwaredienstes Frontline Identity by Flip. Welche Funktionen im Einzelfall geschuldet sind, ergibt sich aus dem Angebot in Verbindung mit dem Hauptvertrag. Frontline Identity by Flip setzt die Nutzung der Flip-Plattform voraus; ergänzend gilt die Beschreibung des Softwaredienstes der Flip-Plattform. Die geschuldete Servicequalität und -verfügbarkeit richtet sich nach dem Service-Level-Agreement Frontline Identity. Der Anbieter kann den Dienst im Rahmen der vertraglichen Regelungen weiterentwickeln. Die aktuelle Fassung dieser Beschreibung des Softwaredienstes ist unter https://www.getflip.com/de/legal/softwarebeschreibung-identity/ abrufbar.