Login als Single-Sign-on (SSO)

Question

Liebe Tomedianer, liebes Zollsoft-Team,

ich bin frisch dazugestoßen und erkunde mit Zeit und Eifer das Programm von A bis Z durch. Habe zu meiner Frage auch bereits das Forum hoch und runter gelesen und zumindest keine Antwort via Suche/Schlagwörter o.ä. gefunden.:

Ist für Tomedo ein Single-Sign-on geplant/umsetzbar? Bei CGM Albis weiß ich gibt es das. Dies wäre zumindest für meinen Ablauf deutlich entspannter, da ich mittels Apple-Skript die Abmeldung hin zum Sperrbildschirm vom Mac hinkriege und Re-Login in den Mac via Touch-ID geht. (Ich weiß, Touch-ID geht nicht für Tomedo). Aktuell muss man jedoch noch den Benutzernamen und dann nach Zeilenwechsel das Passwort eingeben.

Kann man diesen Arbeitsschritt nicht umgehen mit Single-Sign-on? Oder hat da wieder KBV/KK/Datenschutz/der liebe Herrgott was gegen?

Liebe Grüße

Clemens Siebolds

Comments

Lieber Herr Siebolds,

ob denn Ihre Überlegungen mit der Sicherheitsrichtlinie der KBV übereinstimmen? Am Mac können Sie das User-Passwort abschalten und sind dann gleich in Tomedo drin.Die Überlegungen gehen eher in die Richtung jeden User mit einer 2 MFA Biometrie zu authorisieren, was ziemlich aufhalten würde - aber sicherer ist das.
Aktuell sind über 600 Arztpraxen im Internet sichtbar, wo man mit zwei Klicks auf den Anmeldeschirm des Servers kommt.
Gruß vom Arztgatten aus Lippstadt, RA Jörg Frotscher

---

Lieber Herr Frotscher,

danke für die Anmerkungen.

Was ich bislang in der IT Richtlinie (nur von der Homepage der KBV abgerufen) gesehen habe:

" Nach der Nutzung eines Gerätes meldet sich die Person ab (Anlage 1 Nummer 13). "

Ich finde mittels Skript diesem Vorgang sehr entgegen zu kommen. Ich will ja, dass sich sowohl bei Tomedo, als auch beim Mac abgemeldet wird - dies erfolgt via Apple-Script und Button in Tomedo.

Definitiv soll nicht nur der Benutzername genutzt werden, so könnte sich ja jede MFA als Arzt ausgeben (Nutzername ist ja für jeden einsehbar) - mit Single-Sign-on ist eher ein Passwort gemeint, welches eingegeben wird und somit einem Benutzer zugeordnet. Ich halte ein gutes Passwort für sicherer, als Name/1234 aus Bequemlichkeit.

Ich finde es verstörend, dass mutmaßlich der Zugang zum Server so einfach ist. Ohne zu ausschweifend zu werden für die eigentliche Frage - könnten Sie mir (sofern Zeit und Geduld) mir erörtern, wie es dazu kommt? Gerne als PN.

Viele Grüße

Clemens Siebolds

---

Sehr geehrter Herr Frotscher!

Am Mac können Sie das User-Passwort abschalten und sind dann gleich in Tomedo drin

Genau das darf man natürlich nicht tun, und das will der Kollege Siebolds ja auch gar nicht. Er möchte mit der Anmeldung am Mac automatisch auch an tomedo angemeldet sein.

Aktuell sind über 600 Arztpraxen im Internet sichtbar, wo man mit zwei Klicks auf den Anmeldeschirm des Servers kommt.

Und das ist eine allgemeine Anmerkung und hat nichts mit tomedo sondern eher mit Windoof-Systemen zu tun... 

---

Lieber Herr Cepin

tatsächlich will ich das nichtmal. Die Mac-Anmeldung einmalig morgens am Client via Passwort, anschließend (Wunsch) SSO in Tomedo.

ausloggen im Alltag via Apple-Script-Button, welcher sowohl bei Tomedo als auch bei Mac abmeldet

anschließend einloggen für jeden mit passendem Fingerabruck in Mac. Anschließend SSO Eingabe und rein in Tomedo.

Die Kollegen von Zollsoft haben ja das Interesse bekundet, damit heißt es wie vor Weihnachten nur noch: abwarten und überraschen lassen

Answer 1

Sehr geehrte Tomedianer:innen,

das Thema SSO und auch Login treibt uns sehr intensiv um. Wir arbeiten daran für unsere Dienste ein SSO übergreifend einzuführen. Außerdem arbeiten wir auch an einer alternativen Login Methode, welche es ermöglicht dort effizienter zu arbeiten. Hier stehen auch Themen im Raum eine ähnliche Methode zum Apple Watch login nur bezahlbarer zu realisieren.

Das hat alles aber einen mittelfristigen bis langfristigen Charakter, da hier verschiedene Anpassungen notwendig sind und wir natürlich auch wollen, dass sie ein optimales Nutzererlebnis haben.

Alle von Ihnen beschriebenen Nutzungsszenarien haben wir dazu schon auf dem Schirm.

Comments

perfekt, vielen Dank :)

---

Apple Watch ist problematisch, die Reichweite ist zu groß. Das Watch-Login loggt mich auch im Nebenzimmer ein. Muß schon was mit kurzer Reichweite sein!

---

korrekt, deshalb wird es da auch nur etwas ähnliches geben. Das Problem ist auch gegeben bei engen Anmeldungen oder Anmeldungen mit mehreren Rechnern, die eng nebeneinander stehen. Wir haben aber schon Technologien recherchiert, die eine Lösung sein werden.

---

NFC_Chip an einen Leser halten oder irgenwas was funktioniert ohne dass man aktiv was machen muß?

---

Lassen Sie sich mal überraschen. :) Es wird auf jeden Fall eine Lösung sein, die Hand und Fuß hat und vor allem Convenience und Security gut miteinander verbinden wird. Und es gibt neben NFC noch weiere Standards. :)

---

Na gut, bin gespannt! 

Answer 2

Lieber Kollege Siebolds!

Falls Sie iMacs aufgestellt haben bietet sich das Video-LogIn an. Ich benutze das sehr gerne, meine Helferinnen nicht, die müssen halt Kürzel und Passwort eingeben.

Comments

Lieber Herr Cepin,

danke für den Vorschlag. Ich nutze als clients Mac-minis, keine iMacs. Die Schwestern sollen ja schließlich auchw as davon haben ;) - daher die Frage nach SSO

---

WebCam an den Monitor wäre dann eine Lösung ;-)

Answer 3

Liebes Tomedo-Team,

gibt es hierzu Pläne oder muss man sich eine Webcam in die Praxis stellen?

Comments

LIeber Herr Siebolds,

ich bin froh, dass Sie nach einer sicheren Lösung suchen. Als Datenschutzbeauftragter erlebe ich immer wieder, dass mit einem Anschalten der Hardware auch das Praxisverwaltungssystem, das nur einen Nutzer (Praxis) kennt, startet.

Schauen Sie mal hier bei den Vorschlägen von Apple, möglicherweise finden Sie einen Mac-kundigen IT-Dienstleister, dern Ihnen das einrichtet. Kerberos ist auch von der KBV empfohlen.

https://support.apple.com/de-de/guide/deployment/depfdbf18f55/web
Und was die Praxen betrifft, die mit "offener Hose" im Netz stehen, gelingt das mit https://www.shodan.io/

Aber man muss dafür schon etwas üben.. aber wenn man einen Server erreicht hat, sollte man aufhören und keine PW ausprobieren, weil das ist dann schon strafbar. Ich habe aufgehört, die Praxen anzurufen und sie über Ihren "Zustand" zu informieren, weil fast alle dachten, ich hätte sie gehackt.

Herzliche Grüße aus Lippstadt, RA Jörg frotscher