Postfach: Passwort, Wiederherstellung, 2FA

Jedes reguläre TrekMail-Postfach besitzt auf seiner Einstellungsseite den Tab Sicherheit. Dort ändern Sie das Passwort, verwalten die Anmeldung von Mail-Apps und App-Passwörter, erzeugen einen neuen Wiederherstellungscode und prüfen die Zwei-Faktor-Authentifizierung. Gemeinsame Postfächer haben keine direkte Anmeldung und zeigen daher stattdessen Zugriff.

Diese Seite richtet sich an den Kontoadministrator, der Einstellungen im Dashboard vornimmt. Wenn Ihnen das Postfach gehört und Sie Ihr Passwort ohne Hilfe des Administrators ändern möchten, lesen Sie Eigenes Postfachpasswort ändern.

So öffnen Sie den Tab

1. Öffnen Sie die Postfachseite im Dashboard.
2. Klicken Sie neben einem regulären Postfach auf Verwalten.
3. Öffnen Sie den Tab Sicherheit. Die übrigen Tabs hängen von Postfachtyp, Tarif und Status ab.

Der Tab enthält Zwei-Faktor-Authentifizierung, Postfach-Passwort, Anmeldung von Mail-Apps, App-Passwörter und Wiederherstellungscode.

Zwei-Faktor-Authentifizierung

Dieser Bereich zeigt, ob 2FA für das Postfach aktiv ist. Der Status steht auch in der Kopfzeile: Eine grüne Markierung „2FA aktiv“ bedeutet aktiviert, ein dezenter Link „2FA inaktiv“ bedeutet deaktiviert.

2FA wird vom Postfachinhaber im Webmail eingerichtet, nicht im Dashboard. Der Inhaber scannt und bestätigt das Geheimnis seiner Authenticator-App selbst. Ein berechtigter Administrator kann 2FA zurücksetzen, wenn der Inhaber ausgesperrt ist, sie aber nicht für ihn aktivieren. So wird 2FA ein- oder ausgeschaltet:

1. Der Inhaber meldet sich im TrekMail-Webmail oder unter der eigenen Marken-URL des Mandanten an.
2. In den Webmail-Einstellungen aktiviert er 2FA und scannt den QR-Code mit einer Authenticator-App wie Google Authenticator, 1Password oder Authy.
3. Nach der Bestätigung kehrt er zum Tab Sicherheit zurück oder aktualisiert ihn, um den neuen Status zu sehen.

Nach der Aktivierung von 2FA erfordern neue Anmeldungen im regulären Webmail das Postfachpasswort und einen TOTP oder 2FA-Wiederherstellungscode. Mail-Apps und klassisches Webmail fragen nie nach einem Code. Beim Aktivieren von 2FA ist Für Mail-Apps zusätzlich App-Passwörter verlangen standardmäßig ausgewählt.

Anmeldung von Mail-Apps und App-Passwörter

• Nur App-Passwörter (Empfohlen): IMAP, SMTP, Kalender und Kontakte brauchen ein App-Passwort. Das Postfachpasswort öffnet weiterhin reguläres Webmail. Klassisches Webmail verwendet ein App-Passwort.
• Postfach-Passwort oder App-Passwörter: Mail-Apps akzeptieren beides. Bestehende Postfächer behalten diesen Modus bei der Einführung.

Neue Postfächer folgen der standardmäßig aktivierten Einstellung Kontoeinstellungen > Neue Postfächer > Mail-Apps brauchen App-Passwörter. Änderungen stellen bestehende Postfächer nicht um. Unter Anmeldung von Mail-Apps können Sie hier ein Postfach in beide Richtungen umstellen; das Verlangen von App-Passwörtern fordert eine Bestätigung und meldet Apps ab, die das Postfachpasswort verwenden. Ein Postfachbenutzer kann im Webmail nur auf Nur App-Passwörter umstellen; für den Wechsel zurück ist ein Administrator nötig.

Unter App-Passwörter kann jeder, der das Postfachpasswort setzen darf, App-Passwort erstellen, Ersetzen oder Widerrufen wählen. Mitglieder mit Lesezugriff können die Liste einsehen. Benutzer verwalten ihre eigene Liste im Webmail unter Einstellungen, App-Passwörter. Geben Sie jeder App oder jedem Gerät ein eigenes benanntes Passwort, bis zu 25 aktive Passwörter pro Postfach. Jedes wird einmal angezeigt. Ersetzen macht das alte Passwort sofort ungültig; Widerrufen meldet die App ab.

Zurücksetzen oder Wiederherstellung des Passworts, Anmeldesperre, Umwandlung in ein freigegebenes Postfach und Verschieben nach Kürzlich gelöscht widerrufen alle App-Passwörter. Das Wiederherstellen des Postfachs stellt sie nicht wieder her. Wer sein eigenes Passwort im Webmail ändert, kann Zusätzlich alle App-Passwörter widerrufen wählen (standardmäßig deaktiviert). Siehe App-Passwörter für Mail-Apps.

Postfachpasswort

Der Passwortbereich enthält ein Formular: Geben Sie das neue Passwort zweimal ein und klicken Sie auf Passwort speichern. Nur so lässt sich derzeit im Dashboard ein Postfachpasswort festlegen. Der alte Schnellzugriff über ein „Schlüsselsymbol“ in der Postfachliste wurde bei der Neugestaltung im Mai 2026 entfernt.

Anforderungen, die während der Eingabe geprüft werden:

• Mindestens 12 Zeichen
• Mindestens ein Großbuchstabe
• Mindestens ein Kleinbuchstabe
• Mindestens eine Zahl

Die Schaltfläche Speichern bleibt deaktiviert, bis alle vier Prüfungen grün sind.

Wenn Sie kein Passwort selbst erfinden möchten, klicken Sie unter dem Feld auf Sicheres Passwort erzeugen. Wir erstellen eine Mischung aus 18 Zeichen mit Groß- und Kleinbuchstaben, Ziffern und einer kleinen Symbolauswahl. Optisch leicht verwechselbare Zeichen wie i, l, 0 und O werden vermieden. Das Passwort wird automatisch in beide Felder eingefügt und zum Kopieren angezeigt.

Was sich nach erfolgreichem Speichern ändert:

• Das vorige Postfachpasswort funktioniert nicht mehr für neue Anmeldungen. Setzt ein Administrator hier, per API oder durch einen KI-Agenten ein neues Passwort, werden automatisch alle App-Passwörter widerrufen. Erstellen Sie neue für Outlook, Smartphones und Skripte oder verwenden Sie das neue Postfachpasswort, wo es noch akzeptiert wird.
• Der Zugriff vertrauenswürdiger Geräte wird widerrufen. Eine Passwortänderung durch den Administrator schließt bestehende Webmail-Sitzungen nicht automatisch. Wenn eine aktive Sitzung ein Risiko darstellt, sperren Sie das Postfach oder ergreifen Sie andere Maßnahmen zur Reaktion auf den Vorfall.
• Die E-Mails im Postfach bleiben unverändert. Nachrichten und Ordner werden nicht gelöscht.

Wenn Sie das Passwort wegen eines vermuteten Angriffs zurücksetzen, ist dies der Moment, in dem der fremde Zugriff gesperrt wird.

Wiederherstellungscode

Ein Wiederherstellungscode ist eine einmal verwendbare Zeichenfolge. Mit ihr kann der Inhaber sein Passwort zurücksetzen, wenn er das aktuelle nicht verwenden kann. Der Code meldet ihn nicht direkt an und ersetzt nicht die separaten 2FA-Wiederherstellungscodes.

Die Karte zeigt:

• Wann der aktive Code ausgegeben wurde, zum Beispiel „Vor 3 Stunden ausgegeben“, oder „Noch nicht ausgegeben“, wenn kein verwendbarer Code vorhanden ist.
• Eine Schaltfläche Neuen Code erzeugen.

Ein Klick auf Erzeugen öffnet einen Bestätigungsdialog und zeigt den neuen Code einmal an. Speichern Sie ihn sofort. Nach dem Schließen kann er nicht wieder abgerufen werden. Der Code läuft nach 24 Stunden ab. Ein neuer Code macht alle früheren Codes zur Wiederherstellung des Postfachpassworts ungültig, einschließlich eines älteren Codes aus der ursprünglichen Einrichtung.

Übermitteln Sie den Code über einen sicheren Kanal, etwa einen Send-Link des Passwortmanagers, Signal oder persönlich. Der Benutzer verwendet ihn anschließend auf der Webmail-Seite „Passwort vergessen?“ im Modus Wiederherstellungscode, um selbst ein neues Passwort festzulegen.

Wenn wir den Versand eines Postfachs sperren

Wir überwachen ausgehende E-Mails jedes Postfachs. Deuten Aktivitäten darauf hin, dass ein Passwort missbraucht wurde, können wir den Versand dieses einen Postfachs sperren, ohne andere Funktionen zu beeinträchtigen. E-Mails kommen weiterhin an, der Inhaber kann sich anmelden und lesen, andere Postfächer des Kontos bleiben unverändert und die Reputation Ihrer Domain wird geschützt.

Dies ist eine Sicherheitsbremse und keine Bestrafung. Wir werden uns dazu bei Ihnen melden.

Gehen Sie wie folgt vor:

1. Ändern Sie das Postfachpasswort mit dem Formular oben. Erst dieser Schritt sperrt die andere Person wirklich aus; die Versandsperre verschafft nur Zeit.
2. Verbinden Sie jedes Telefon, jede Mail-App und jedes SMTP-Skript mit einem neuen App-Passwort oder dem neuen Postfachpasswort, falls das Postfach es noch akzeptiert.
3. Informieren Sie den Support über die Änderung auf der Supportseite. Wir schalten den Versand wieder frei. Dies können Sie absichtlich nicht selbst tun.

Während der Sperre verhält sich das Postfach in jeder anderen Hinsicht normal. Im Webmail verfasste Nachrichten lassen sich als Entwurf speichern und nach der Freischaltung senden.

Einige gute Gewohnheiten

• Verwenden Sie ein anderes Passwort als für das TrekMail-Dashboard. Ein kompromittiertes Postfach darf keinen Zugang zu Abrechnung oder anderen Postfächern eröffnen.
• Bewahren Sie den Wiederherstellungscode in einem Passwortmanager auf. Nicht im Posteingang und nicht auf einem Klebezettel, sondern in einem vom geschützten Postfach getrennten Manager.
• Aktivieren Sie 2FA für wichtige reguläre Postfächer. Gemeinsame Postfächer haben keine direkte Anmeldung. Schützen Sie sie daher durch sichere persönliche Postfächer aller Mitglieder.

Was nicht zu diesem Tab gehört

Einige erwartete Funktionen befinden sich absichtlich an anderer Stelle:

• Weiterleitungsregeln: Die Weiterleitung hat einen eigenen Tab. Sie betrifft die Zustellung, nicht die Sicherheit.
• Erlaubte oder blockierte Absender: Sie stehen im Tab Filter. Sicherheit bleibt bewusst eng gefasst, um „wer sich anmelden kann“ von „was eingeht“ zu trennen.
• Postfach löschen: Verwenden Sie das Papierkorbsymbol oben rechts in der Kopfzeile. Es steht neben Speicher bearbeiten und gehört zur Tarifverwaltung, nicht zur Sicherheit.
• 2FA für die Anmeldung des Kontoinhabers: Diese eigene Einstellung steht unter Konto, Sicherheit, nicht am Postfach. Beide sind unabhängig: Der Kontoinhaber kann 2FA für das Dashboard aktiviert haben, während einzelne Postfächer sie nicht nutzen.