Zahlenabgleich
Der Browser zeigt eine Zahl, die App drei. Nur wer beide sieht, kann bestätigen. Versehentliches Wegtippen und Push-Bombing laufen ins Leere.
Push-MFA für Keycloak
Anmeldungen bestätigen, statt Codes abzutippen.
Deine Nutzer sehen am Smartphone, wer sich wo anmelden will, gleichen eine Zahl mit dem Browser ab und bestätigen mit Fingerabdruck oder Gesicht. Du installierst dafür ein Plugin in deinem Keycloak.
So funktioniert es
In einer Stunde eingerichtet, ohne neue Infrastruktur.
-
1
Plugin in Keycloak installieren
Eine JAR-Datei in den
providers-Ordner, Zugangsdaten aus dem Portal eintragen, Authenticator in den Login-Flow setzen. -
2
Nutzer scannt den QR-Code
Bei der nächsten Anmeldung zeigt Keycloak einen QR-Code. Der Nutzer scannt ihn mit der Okivo-App, das Gerät erzeugt seinen Schlüssel.
-
3
Anmeldung per Push bestätigen
Ab dann kommt bei jeder Anmeldung ein Push. Zahl abgleichen, mit Biometrie freigeben, fertig.
Funktionen
Alles, was eine Push-Bestätigung sicher macht.
Im Free-Tarif ist der Kern enthalten. Was erst in bezahlten Tarifen dabei ist, ist markiert.
Biometrie-Freigabe
Vor jeder Bestätigung fragt die App nach Fingerabdruck, Gesicht oder Gerätecode. Ein entsperrtes Handy allein reicht nicht.
Mehrere Geräte pro Nutzer
Diensthandy und Tablet, oder ein Ersatzgerät für den Notfall. Jedes Gerät hat seinen eigenen Schlüssel und lässt sich einzeln entfernen.
Anfrage-Details
Welche Anwendung, welcher Browser, welche IP-Adresse. Der Nutzer sieht, was er bestätigt, bevor er es tut.
ab Team
Standort und Risiko-Hinweise
Ungefährer Ort auf einer Karte, dazu Hinweise bei neuem Land, neuem Browser oder unmöglicher Reise. Wir sagen dazu, wie genau der Ort ist.
ab Team
RADIUS und VPN
Über FreeRADIUS bestätigen Nutzer auch VPN- und WLAN-Anmeldungen per Push, mit demselben Gerät und denselben Regeln.
Sicherheit und Datenschutz
Wir wecken das Gerät. Mehr sehen wir nicht.
Die Anmeldung findet zwischen deinem Keycloak und der App statt. Der Okivo-Push-Dienst weiß nicht, wer sich wo anmeldet.
Bei dir
Dein Keycloak + Okivo-Plugin
- Nutzer, Anmeldungen, Anfrage-Details
- Öffentlicher Schlüssel je Gerät
Okivo · Betrieb in der EU
Push-Dienst
- Geräte-Kennung und Push-Adresse
- Pseudonym zum Zählen, nicht rückrechenbar
- Keine Namen, keine E-Mail, keine Details
Smartphone des Nutzers
Okivo-App
- Privater Schlüssel in Secure Enclave bzw. Android Keystore
- Verlässt das Gerät nie
1Keycloak → Push-DienstWeckruf mit Geräte-Kennung
2Push-Dienst → AppPush „Neue Anfrage“ – ohne Inhalt
3App ↔ Keycloak, direktApp holt die Details direkt bei deinem Keycloak und antwortet signiert
Der Schlüssel bleibt am Gerät
Der private Schlüssel entsteht in der Secure Enclave bzw. im Android Keystore und lässt sich nicht auslesen, auch nicht von uns.
Der Push-Dienst kennt keine Nutzer
Er speichert nur Geräte-Kennung, Push-Adresse und ein Pseudonym, mit dem wir registrierte Nutzer zählen. Daraus lässt sich niemand zurückrechnen.
Bestätigung direkt bei dir
Für die Bestätigung spricht die App direkt mit deinem Keycloak. Anfrage-Details und Antwort laufen nicht über Okivo.
EU-Betrieb, Anbieter aus Wien
Der Push-Dienst läuft in der EU. Anbieter und Vertragspartner ist Mahr Software & IT Solutions e.U. in Wien. Auftragsverarbeitung
Preise
Klein anfangen, ohne Kreditkarte.
Free
KostenlosKeine Zahlungsart nötig
bis 10Nutzer
1Realm
- Push mit Zahlenabgleich
- Mehrere Geräte pro Nutzer
- RADIUS / VPN (nicht enthalten)
- Standort und Risiko-Hinweise (nicht enthalten)
Team
99 € pro Jahr
entspricht 8,25 € pro Monat · spart 9 €
bis 50Nutzer
bis 3Realms
- Push mit Zahlenabgleich
- Mehrere Geräte pro Nutzer
- RADIUS / VPN
- Standort und Risiko-Hinweise
Business
319 € pro Jahr
entspricht 26,58 € pro Monat · spart 29 €
bis 250Nutzer
beliebigRealms
- Push mit Zahlenabgleich
- Mehrere Geräte pro Nutzer
- RADIUS / VPN
- Standort und Risiko-Hinweise
Alle Preise netto, zuzüglich Umsatzsteuer.
Gezählt werden registrierte Nutzer
Nicht Geräte, nicht Anmeldungen. Wer zwei Geräte hat, zählt einmal. Alle Realms teilen sich das Limit.
Wir sperren nie bestehende Anmeldungen
Ist das Limit erreicht oder läuft das Abo aus, kann sich nur niemand Neues einrichten. Wer registriert ist, meldet sich weiter an.
Free ohne Zahlungsart
Konto anlegen, Realm erzeugen, loslegen. Eine Karte brauchst du erst, wenn du einen bezahlten Tarif buchst.
Häufige Fragen
Was Admins vorher wissen wollen.
Welche Keycloak-Versionen werden unterstützt?
Keycloak 26.x. Das Plugin ist ein Authenticator nach der offiziellen SPI und braucht keine Änderungen am Keycloak selbst.
Was passiert, wenn das Nutzerlimit erreicht ist?
Neue Nutzer können kein Gerät mehr einrichten, Keycloak zeigt ihnen dann einen Hinweis. Alle bereits registrierten Nutzer melden sich weiter an wie bisher. Wir schicken dir bei 80 % und bei 100 % eine E-Mail.
Was sieht Okivo von meinen Nutzern?
Keine Namen, keine E-Mail-Adressen, keine Anmeldedetails. Der Push-Dienst speichert je Gerät eine Kennung, die Push-Adresse und ein nicht rückrechenbares Pseudonym, damit wir registrierte Nutzer zählen können.
Brauche ich eine Kreditkarte?
Für den Free-Tarif nicht. Erst wenn du einen bezahlten Tarif buchst, gibst du bei unserem Zahlungsanbieter Stripe eine Zahlungsart an.
Wie kündige ich?
Im Portal unter „Abo und Rechnungen verwalten“, jederzeit zum Ende des Abrechnungszeitraums. Danach gilt wieder der Free-Tarif; bestehende Anmeldungen laufen weiter.
Was passiert, wenn ein Nutzer sein Handy verliert?
Du entfernst das Gerät in Keycloak beim Nutzer, der private Schlüssel ist damit wertlos. Hat der Nutzer ein zweites Gerät eingerichtet, meldet er sich damit weiter an.
Loslegen
Probier Okivo mit deinem eigenen Keycloak aus.
Kostenlos bis 10 Nutzer, ohne Zahlungsart, ohne Gespräch mit dem Vertrieb.
Kostenlos starten