Postfachsicherheit: Passwort, Wiederherstellung, 2FA

Jedes reguläre TrekMail-Postfach besitzt auf seiner Einstellungsseite den Tab Sicherheit. Dort ändern Sie das Passwort, erzeugen einen neuen Wiederherstellungscode und sehen, ob die Zwei-Faktor-Authentifizierung aktiviert ist. Gemeinsame Postfächer haben keine direkte Anmeldung und zeigen daher stattdessen Zugriff.

Diese Seite richtet sich an den Kontoadministrator, der Einstellungen im Dashboard vornimmt. Wenn Ihnen das Postfach gehört und Sie Ihr Passwort ohne Hilfe des Administrators ändern möchten, lesen Sie Eigenes Postfachpasswort ändern.

So öffnen Sie den Tab

1. Öffnen Sie die Postfachseite im Dashboard.
2. Klicken Sie neben einem regulären Postfach auf Verwalten.
3. Öffnen Sie den Tab Sicherheit. Die übrigen Tabs hängen von Postfachtyp, Tarif und Status ab.

Der Tab zeigt von oben nach unten drei Bereiche: Zwei-Faktor-Authentifizierung, Postfachpasswort und Wiederherstellungscode.

Zwei-Faktor-Authentifizierung

Dieser Bereich zeigt, ob 2FA für das Postfach aktiv ist. Der Status steht auch in der Kopfzeile: Eine grüne Markierung „2FA aktiv“ bedeutet aktiviert, ein dezenter Link „2FA inaktiv“ bedeutet deaktiviert.

2FA wird vom Postfachinhaber im Webmail eingerichtet, nicht im Dashboard. Der Inhaber scannt und bestätigt das Geheimnis seiner Authenticator-App selbst. Ein berechtigter Administrator kann 2FA zurücksetzen, wenn der Inhaber ausgesperrt ist, sie aber nicht für ihn aktivieren. So wird 2FA ein- oder ausgeschaltet:

1. Der Inhaber meldet sich im TrekMail-Webmail oder unter der eigenen Marken-URL des Mandanten an.
2. In den Webmail-Einstellungen aktiviert er 2FA und scannt den QR-Code mit einer Authenticator-App wie Google Authenticator, 1Password oder Authy.
3. Nach der Bestätigung kehrt er zum Tab Sicherheit zurück oder aktualisiert ihn, um den neuen Status zu sehen.

Nach der Aktivierung erfordern neue Webmail-Anmeldungen das Passwort und ein TOTP oder einen 2FA-Wiederherstellungscode. IMAP- und SMTP-Clients verwenden weiterhin das Postfachpasswort. Bestehende Sitzungen bleiben bestehen. Lesen Sie die Passworthinweise unten, wenn Sie Zugangsdaten ändern müssen.

Postfachpasswort

Der Passwortbereich enthält ein Formular: Geben Sie das neue Passwort zweimal ein und klicken Sie auf Passwort speichern. Nur so lässt sich derzeit im Dashboard ein Postfachpasswort festlegen. Der alte Schnellzugriff über ein „Schlüsselsymbol“ in der Postfachliste wurde bei der Neugestaltung im Mai 2026 entfernt.

Anforderungen, die während der Eingabe geprüft werden:

• Mindestens 12 Zeichen
• Mindestens ein Großbuchstabe
• Mindestens ein Kleinbuchstabe
• Mindestens eine Zahl

Die Schaltfläche Speichern bleibt deaktiviert, bis alle vier Prüfungen grün sind.

Wenn Sie kein Passwort selbst erfinden möchten, klicken Sie unter dem Feld auf Sicheres Passwort erzeugen. Wir erstellen eine Mischung aus 18 Zeichen mit Groß- und Kleinbuchstaben, Ziffern und einer kleinen Symbolauswahl. Optisch leicht verwechselbare Zeichen wie i, l, 0 und O werden vermieden. Das Passwort wird automatisch in beide Felder eingefügt und zum Kopieren angezeigt.

Was sich nach erfolgreichem Speichern ändert:

• Das vorige Passwort funktioniert nicht mehr für neue Anmeldungen in Webmail, IMAP und SMTP. Aktualisieren Sie Outlook, Telefone, Skripte und andere Clients, bevor sie sich erneut verbinden sollen.
• Der Zugriff vertrauenswürdiger Geräte wird widerrufen. Eine Passwortänderung durch den Administrator schließt bestehende Webmail-Sitzungen nicht automatisch. Wenn eine aktive Sitzung ein Risiko darstellt, sperren Sie das Postfach oder ergreifen Sie andere Maßnahmen zur Reaktion auf den Vorfall.
• Die E-Mails im Postfach bleiben unverändert. Nachrichten und Ordner werden nicht gelöscht.

Wenn Sie das Passwort wegen eines vermuteten Angriffs zurücksetzen, ist dies der Moment, in dem der fremde Zugriff gesperrt wird.

Wiederherstellungscode

Ein Wiederherstellungscode ist eine einmal verwendbare Zeichenfolge. Mit ihr kann der Inhaber sein Passwort zurücksetzen, wenn er das aktuelle nicht verwenden kann. Der Code meldet ihn nicht direkt an und ersetzt nicht die separaten 2FA-Wiederherstellungscodes.

Die Karte zeigt:

• Wann der aktive Code ausgegeben wurde, zum Beispiel „Vor 3 Stunden ausgegeben“, oder „Noch nicht ausgegeben“, wenn kein verwendbarer Code vorhanden ist.
• Eine Schaltfläche Neuen Code erzeugen.

Ein Klick auf Erzeugen öffnet einen Bestätigungsdialog und zeigt den neuen Code einmal an. Speichern Sie ihn sofort. Nach dem Schließen kann er nicht wieder abgerufen werden. Der Code läuft nach 24 Stunden ab. Ein neuer Code macht alle früheren Codes zur Wiederherstellung des Postfachpassworts ungültig, einschließlich eines älteren Codes aus der ursprünglichen Einrichtung.

Übermitteln Sie den Code über einen sicheren Kanal, etwa einen Send-Link des Passwortmanagers, Signal oder persönlich. Der Benutzer verwendet ihn anschließend auf der Webmail-Seite „Passwort vergessen?“ im Modus Wiederherstellungscode, um selbst ein neues Passwort festzulegen.

Wenn wir den Versand eines Postfachs sperren

Wir überwachen ausgehende E-Mails jedes Postfachs. Deuten Aktivitäten darauf hin, dass ein Passwort missbraucht wurde, können wir den Versand dieses einen Postfachs sperren, ohne andere Funktionen zu beeinträchtigen. E-Mails kommen weiterhin an, der Inhaber kann sich anmelden und lesen, andere Postfächer des Kontos bleiben unverändert und die Reputation Ihrer Domain wird geschützt.

Dies ist eine Sicherheitsbremse und keine Bestrafung. Wir werden uns dazu bei Ihnen melden.

Gehen Sie wie folgt vor:

1. Ändern Sie das Postfachpasswort mit dem Formular oben. Erst dieser Schritt sperrt die andere Person wirklich aus; die Versandsperre verschafft nur Zeit.
2. Tragen Sie das neue Passwort überall ein, wo das Postfach eingerichtet ist: auf Telefonen, in Mail-Apps und in jedem Skript oder Werkzeug, das darüber sendet.
3. Informieren Sie den Support über die Änderung auf der Supportseite. Wir schalten den Versand wieder frei. Dies können Sie absichtlich nicht selbst tun.

Während der Sperre verhält sich das Postfach in jeder anderen Hinsicht normal. Im Webmail verfasste Nachrichten lassen sich als Entwurf speichern und nach der Freischaltung senden.

Einige gute Gewohnheiten

• Verwenden Sie ein anderes Passwort als für das TrekMail-Dashboard. Ein kompromittiertes Postfach darf keinen Zugang zu Abrechnung oder anderen Postfächern eröffnen.
• Bewahren Sie den Wiederherstellungscode in einem Passwortmanager auf. Nicht im Posteingang und nicht auf einem Klebezettel, sondern in einem vom geschützten Postfach getrennten Manager.
• Aktivieren Sie 2FA für wichtige reguläre Postfächer. Gemeinsame Postfächer haben keine direkte Anmeldung. Schützen Sie sie daher durch sichere persönliche Postfächer aller Mitglieder.

Was nicht zu diesem Tab gehört

Einige erwartete Funktionen befinden sich absichtlich an anderer Stelle:

• Weiterleitungsregeln: Die Weiterleitung hat einen eigenen Tab. Sie betrifft die Zustellung, nicht die Sicherheit.
• Erlaubte oder blockierte Absender: Sie stehen im Tab Filter. Sicherheit bleibt bewusst eng gefasst, um „wer sich anmelden kann“ von „was eingeht“ zu trennen.
• Postfach löschen: Verwenden Sie das Papierkorbsymbol oben rechts in der Kopfzeile. Es steht neben Speicher bearbeiten und gehört zur Tarifverwaltung, nicht zur Sicherheit.
• 2FA für die Anmeldung des Kontoinhabers: Diese eigene Einstellung steht unter Konto → Sicherheit, nicht am Postfach. Beide sind unabhängig: Der Kontoinhaber kann 2FA für das Dashboard aktiviert haben, während einzelne Postfächer sie nicht nutzen.