Security Suite byAkyras — 2FA, Schutz von Bankdaten, Zugriffskontrolle und Audit

Security Suite byAkyras — Risiken erkennen. Zugriffe kontrollieren. Handlungsfähig bleiben.

Hat ein ehemaliger Mitarbeiter noch Zugriff? Hat ein Lieferant seine Bankverbindung geändert? Ist Ihre letzte Sicherung aktuell genug? Wer darf Daten exportieren oder sensible Rechte vergeben?

Diese Fragen betreffen Ihr Unternehmen täglich. Security Suite byAkyras bündelt die Werkzeuge zur Beantwortung direkt in Dolibarr: starke Authentifizierung, Zugriffskontrolle, Schutz sensibler Geschäftsvorgänge, Instanzüberwachung, Warnungen und Vorfallsmanagement.

Ein Sicherheitszentrum in Ihrem ERP — mit Handlungsfeldern und konkreten Maßnahmen. Die Zwei-Faktor-Authentifizierung ist enthalten; die Suite begleitet auch Vorgänge nach der Anmeldung.

Ein Dashboard, das zeigt, was Sie verbessern können

Sehen Sie die 2FA-Aktivierungsquote, aktive Administratoren, inaktive Konten und Konten mit API-Schlüssel. Ein orientierender Sicherheitswert von 0 bis 100 fasst die Prüfungen zusammen.

Handlungsfelder werden nach Schweregrad geordnet, mit Befund und empfohlener Korrektur: fehlende Sicherungen, unzureichender Kontenschutz, riskante Rechte, deaktivierte Freigaben oder verbesserungsbedürftige Einstellungen. So entsteht eine konkrete Aufgabenliste in Dolibarr.

1. Moderne Authentifizierung für Ihr Team

Die 2FA-byAkyras-Engine ist integriert: Windows Hello, FIDO2/WebAuthn-Schlüssel, TOTP-Apps und YubiKey OTP, mit geführter Einrichtung, Wiederherstellungscodes und gespeicherten Geräten. Nutzer können unterschiedliche Methoden verwenden; Sie legen die Verpflichtung über die angebotene Richtlinie fest.

Windows Hello ermöglicht PIN oder biometrische Bestätigung auf kompatiblen Systemen. FIDO2/WebAuthn bindet die Prüfung an die legitime Website; biometrische Daten bleiben auf dem Gerät. Wenn ein zweiter Faktor vorgeschrieben ist, wird die authentifizierte Dolibarr-Sitzung erst nach dessen Prüfung eingerichtet.

2. Schutzmechanismen gegen Angriffe auf Konten

• Brute Force: vorübergehende Sperren nach IP-Adresse und angegriffenem Benutzernamen, mit einstellbaren Schwellenwerten.
• Password Spraying: Erkennung einer Adresse, die zahlreiche unterschiedliche Benutzernamen ausprobiert.
• Wiederholte Angriffe: längere Sperrzeiten bei Wiederholung, ausgenommene IP-Adressen und eine Seite zur Entsperrung.
• Köder-Benutzernamen: Ein Versuch mit einem konfigurierten fiktiven Namen löst Sperre und kritische Warnung aus.
• Kompromittierte Passwörter: Prüfung über Have I Been Pwned, Ablehnung beim Festlegen eines kompromittierten neuen Passworts und Warnung bei der Anmeldung.

Die Passwortprüfung übermittelt nur ein fünfstelliges Präfix des SHA-1-Hashes mittels k-Anonymity, niemals das Passwort selbst.

3. Zugriffsregeln vor und während der Sitzung

Definieren Sie Einschränkungen nach IP-Adresse oder IPv4/IPv6-Netzbereich, Land, Wochentag und Uhrzeit. Regeln können alle Nutzer, Administratoren, Nicht-Administratoren, Gruppen oder einzelne Konten betreffen.

Beginnen Sie im Überwachungsmodus und aktivieren Sie anschließend die Sperrung. Regeln werden bei der Anmeldung und regelmäßig während der Sitzung geprüft. Ein Tester zeigt verletzte Regeln für Nutzer, Adresse und Zeitpunkt. Schutzmechanismen verringern versehentliche Selbstsperren; eine Notfallumgehung ist dokumentiert.

4. Aktive Sitzungen überblicken und kontrollieren

Prüfen Sie Sitzungen, IP-Adresse, Gerät und letzte Aktivität. Schließen Sie einzelne Sitzungen oder die Sitzungen eines Nutzers aus der Ferne; die Schließung greift bei der nächsten Anfrage. Der Verlauf enthält Anmeldungen und Gründe für das Sitzungsende.

Verwalten Sie bekannte Geräte, vergessen Sie verlorene Geräte und erhalten Sie je nach Einstellung Warnungen bei neuen Geräten oder Netzen. Gleichzeitige Sitzungen können gemeldet oder begrenzt werden. Die Prüfung auf „unmögliche Reisen“ kann geografisch unplausible Folgeanmeldungen melden oder ablehnen.

„Meine Sicherheit“ bindet Nutzer ein. „Das war ich nicht“ schließt andere Sitzungen, vergisst Geräte, entfernt den API-Schlüssel, warnt das Sicherheitsteam, eröffnet einen Vorfall und fordert ein neues Passwort an.

5. Bankdatenänderungen unter das Vier-Augen-Prinzip stellen

Änderungen an IBAN, BIC oder Kontoinhaber können die Freigabe einer zweiten Person erfordern. Antragsteller genehmigen ihre eigene Anfrage nicht. Bestehende Angaben bleiben bis zur Entscheidung erhalten; ein neuer Bankdatensatz wartet ohne IBAN auf Freigabe.

Verfolgen Sie Anträge, Entscheidungen und begründete Ablehnungen mit Benachrichtigungen. Unterstützte API-Abläufe sind ebenfalls erfasst. Bankdatenänderungen werden mit maskierten IBANs in den Ereignissen protokolliert.

Bei einem SEPA-Überweisungsauftrag in Dolibarr können kürzlich geänderte Empfängerdaten eine Warnung oder Sperre auslösen. Nach Rücksprache mit dem Lieferanten hebt „Bankdaten geprüft“ diese Kontrolle auf.

Auch Änderungen an E-Mail, Telefon und Anschrift von Lieferanten und ihren Kontakten werden mit einstellbarem Umfang überwacht.

6. Effektive Rechte statt bloßer Benutzerlisten prüfen

Sehen Sie effektive Rechte aus direkten Vergaben und Gruppen samt Herkunft. Finden Sie auffällige Administratorkonten, inaktive Konten und riskante Kombinationen, die sensible Vorgänge bei derselben Person bündeln.

Die Funktionstrennung prüft unter anderem Lieferant, Rechnung und Zahlung; Bankdaten und Überweisungen; Gehälter und Zahlungen; Bankbuchungen und Abgleich. Korrigieren Sie Rechte oder akzeptieren Sie ein Risiko mit dokumentierter Begründung.

Aktivieren Sie die doppelte Freigabe sensibler Rechte für Administratorstatus, ausgewählte Rechte oder entsprechende Gruppenmitgliedschaften. Die Vergabe wird zum Antrag für einen zweiten Administrator. Niemand genehmigt seinen eigenen Antrag.

Für kurze Einsätze vergeben Sie temporäre Administratorrechte für 15 Minuten bis 4 Stunden innerhalb der konfigurierten Grenzen, mit oder ohne Freigabe. Erhöhungen sind sichtbar und protokolliert und werden bei Ablauf über die Modulprüfungen automatisch zurückgenommen.

7. Eintritte, Austritte und regelmäßige Prüfungen organisieren

• Eintritt: Konto anhand eines Referenzkollegen anlegen, Gruppen und optional individuelle Rechte übernehmen. 2FA-Frist mit Erinnerung und verpflichtender Einrichtung bei Ablauf festlegen, sofern eine Authentifizierungsmethode verfügbar ist.
• Austritt: Kontodeaktivierung, Sitzungsschließung, Passwortänderung und Entzug von API-Schlüsseln, 2FA, Rechten, Gruppen und Geräten bündeln. Explizite Bestätigung vor Durchführung und PDF-Nachweis mit Zeitstempel.
• Prüfkampagnen: Momentaufnahme aktiver Konten samt Gruppen, Rechten, 2FA, API-Schlüsseln und letzten Anmeldungen. Entscheidungen beibehalten, ändern oder entziehen dokumentieren, mit Abschlussbewertung und PDF-Nachweis. Überfällige Kampagnen werden gemeldet.

8. API-Schlüssel im Blick behalten

Erfassen Sie Konten mit API-Schlüssel, ohne den Schlüssel anzuzeigen. Prüfen Sie letzten Aufruf, Adresse und Aufrufzahl. Finden Sie ungenutzte Schlüssel und legen Sie eine maximale Laufzeit mit Vorwarnung fest.

Definieren Sie zulässige Adressen und wenden Sie Zugriffsregeln optional auf die API an. Auch technische Zugänge erhalten eine nachvollziehbare Kontrolle.

9. Ungewöhnliche Datenexporte und Löschungen erkennen

Downloads aus dem Exports-Modul werden mit Zeilenanzahl für unterstützte Formate protokolliert. Schwellenwerte melden große Exporte oder viele Exporte und Dokumentdownloads in kurzer Zeit. Auch Erzeugung und Download von Sicherungen werden erfasst.

Eine Ansicht bündelt Exporte je Nutzer. Löschungen unterstützter Geschäftsobjekte werden protokolliert und können oberhalb des gewählten Stundenlimits eine Warnung auslösen. Sie erhalten Anhaltspunkte für die Untersuchung auffälliger Aktivitäten.

10. Den Zustand Ihrer Instanz überwachen

• Konfigurationsscan: Prüfungen von Dolibarr, PHP, conf.php, Dokumentverzeichnis und potenziell riskanten Modulen.
• Dateiintegrität: SHA-256-Referenz, Erkennung hinzugefügter, geänderter oder gelöschter ausführbarer Dateien und verdächtiger Skripte in Dokumenten. Neue Referenz nach Updates freigeben.
• Parameterhistorie: Änderungen mit altem und neuem Wert; geheime Werte werden nicht im Klartext gespeichert.
• Sicherungen: Alter, Größe, Fehler und ungewöhnliche Größenabnahmen verfolgen, mit überwachten Verzeichnissen und Meldungen externer Werkzeuge. Deklarierte externe Sicherungen und Wiederherstellungstests nachhalten.
• Versionen: veröffentlichte Dolibarr-Versionen, in GitHub-Hinweisen erfasste Schwachstellen und Ende des PHP-Sicherheitssupports prüfen.

11. Überprüfbares Protokoll und Warnungen in Ihren Arbeitskanälen

Das Protokoll bündelt unterstützte Anmelde-, Sitzungs-, Konto-, Rechte- und Bankdatenereignisse mit Filtern und CSV-/JSON-Export. Eine Hash-Kette ermöglicht Integritätsprüfungen, automatische Kontrolle, Warnung bei Unterbrechung und PDF-Prüfnachweis.

Übertragen Sie Ereignisse an einen SIEM- oder syslog-Server per UDP, TCP oder TCP mit TLS, als RFC 5424 mit JSON oder CEF. Externe Aufbewahrung ergänzt das lokale Protokoll.

Warnungen gehen per E-Mail, Teams, Slack, Google Chat, Discord oder JSON-Webhook ein. Ein Wochenbericht bündelt Sicherheitswert, Aktivitäten, Sperren, sensible Änderungen und offene Punkte.

12. Vorfälle bearbeiten und Maßnahmen dokumentieren

Erstellen Sie Vorfälle mit Kategorie, Schweregrad, Verantwortlichem, Status und Maßnahmenchronologie. Prüfen Sie zeitlich benachbarte Ereignisse und verfolgen Sie vorgeschlagene Fristen für NIS2- und DSGVO-Abläufe.

Der Sperrmodus schließt Sitzungen von Nicht-Administratoren und verhindert neue Anmeldungen bis zur Aufhebung. Die Aktivierung erfordert Bestätigung, dokumentiert den Grund und löst Warnung sowie Vorfall aus.

Ein PDF-Bericht fasst Prüfungen, auffällige Konten, Vorfälle und Aktivitäten für den gewählten Zeitraum zusammen, mit Zuordnung zu NIS2- und DSGVO-Maßnahmen. Rechteprüfungen und Nachweise ergänzen die Dokumentation. Die Suite dokumentiert technische Maßnahmen; sie zertifiziert Ihre Organisation nicht und deckt deren organisatorische Pflichten nicht allein ab.

Eigenständige Suite. Kontinuität für 2FA-byAkyras-Kunden.

Ein separater 2FA-Kauf ist nicht erforderlich. Bei bestehenden Installationen werden Daten, Einstellungen und Rechte übernommen, registrierte Methoden erhalten und das eigenständige 2FA-Modul deaktiviert. Nutzer müssen sich nicht erneut registrieren.

Vollständige Oberfläche in Französisch, Englisch, Deutsch, Spanisch, Italienisch und Niederländisch; regionale Varianten nutzen ihre Basissprache. In anderen Sprachen wird der 2FA-Bereich mit verfügbaren Übersetzungen und der Rest auf Englisch angezeigt.

Voraussetzungen und Geltungsbereich

Dolibarr 20–24, PHP mindestens 7.4 (8.2 oder höher empfohlen), MySQL/MariaDB. HTTPS für Windows Hello und FIDO2/WebAuthn. Geplante Aufgaben und System-Cron für automatische Prüfungen; GeoIP Maxmind für geografische Funktionen. Vertrauenswürdige Proxys bei Reverse-Proxy-Nutzung angeben. Multicompany wurde nicht getestet.

Have-I-Been-Pwned- und GitHub-Prüfungen benötigen ausgehenden Zugriff und entfallen bei Nichterreichbarkeit; YubiKey OTP nutzt YubiCloud. Sicherungsüberwachung erstellt keine Backups. Überweisungskontrollen gelten für SEPA-Aufträge in Dolibarr, nicht für direkte Bankzahlungen. REST-Exporte und Bildschirmaufnahmen sind nicht durch die Exporterkennung abgedeckt.

Doppelte Freigaben erfassen unterstützte Dolibarr-/API-Abläufe, keine direkten Datenbankänderungen. Die Rechtefreigabe ist optional; ohne zweiten Administrator erfolgt die Vergabe mit protokollierter Umgehung. Hashes sind kein unabhängiger Nachweis gegenüber Personen mit Kontrolle über Datenbank und Instanzschlüssel. VPNs und Mobilnetze können geografische Prüfungen beeinflussen. Details und Notfallverfahren stehen in der Dokumentation.

Machen Sie Dolibarr-Sicherheit sichtbar, handhabbar und zu einer laufenden Aufgabe.