Salesforce MFA Fehlerbehebung
Seit Februar 2022 ist Multi-Faktor-Authentifizierung (MFA) für jeden direkten Salesforce-UI-Login verpflichtend. Wenn MFA nicht funktioniert, sind Sie vollständig ausgesperrt. Diese Anleitung behandelt die häufigsten Probleme und deren Lösungen.
Problem 1: Telefon verloren oder kaputt
Wenn das Gerät mit Ihrer Salesforce Authenticator App (oder einer Drittanbieter-TOTP-App) verloren, gestohlen oder kaputt ist, können Sie den MFA-Prompt nicht selbst genehmigen.
So gehen Sie vor:
1 Kontaktieren Sie Ihren Salesforce-Administrator — nur dieser kann den Zugriff wiederherstellen.
2 Der Admin navigiert zu Setup → Benutzer → [Ihr Benutzerkonto].
3 Unter „App-Registrierung: Salesforce Authenticator“ klickt der Admin auf Trennen, um das alte Gerät zu entfernen.
4 Der Admin klickt auf Temporären Verifizierungscode generieren, um einen Einmalcode zu erstellen, der den Login ermöglicht.
5 Nach dem Login mit dem temporären Code fordert Salesforce Sie auf, MFA mit dem neuen Gerät neu zu registrieren.
Temporäre Codes verfallen
Temporäre Verifizierungscodes sind je nach Admin-Einstellung 1–24 Stunden gültig. Nutzen Sie sie sofort.
Problem 2: Salesforce Authenticator sendet keine Push-Benachrichtigungen
Wenn die Authenticator App geöffnet ist und keine Benachrichtigung erscheint, probieren Sie folgende Reihenfolge:
1 Internetverbindung prüfen. Die App benötigt Internetzugang für Push-Benachrichtigungen. Wechseln Sie zwischen WLAN und Mobilfunkdaten.
2 App zwangsweise schließen und neu starten. Auf iOS vom App-Switcher hochwischen, auf Android aus den letzten Apps entfernen.
3 Benachrichtigungen aktivieren. Einstellungen → Mitteilungen → Salesforce Authenticator prüfen und Push erlauben.
4 Login erneut versuchen. Auf der Salesforce-Login-Seite „Benachrichtigung erneut senden“ anklicken oder Credentials erneut eingeben.
5 TOTP-Code verwenden. Der 6-stellige Code unter dem Kontonamen in der App funktioniert auch offline. Geben Sie ihn auf dem Salesforce-Verifizierungsbildschirm ein.
Problem 3: TOTP-Code wird abgelehnt
Wenn der 6-stellige Code aus der Authenticator-App (Salesforce, Google Authenticator, Authy etc.) abgelehnt wird:
- Uhrzeit des Telefons prüfen. TOTP-Codes sind zeitbasiert. Einstellungen → Datum & Uhrzeit → „Automatisch einstellen“ aktivieren.
- Auf den nächsten Code warten. Jeder Code ist 30 Sekunden gültig. Bei Eingabe am Ende des Fensters warten Sie auf den nächsten.
- Richtigen Account prüfen. Bei mehreren Salesforce-Orgs in der App den Code für die korrekte Org verwenden.
Problem 4: Gesperrt und kein Admin erreichbar
Wenn der Admin nicht verfügbar ist:
- Prüfen, ob Ihre Org SSO nutzt. SSO loggt MFA-nativ um, wenn der Identity Provider die Authentifizierung übernimmt. Versuchen Sie die Anmeldung über das Firmenportal (z. B. Okta).
- Backup-Verifizierungsmethode nutzen. Falls Ihr Admin einen Sicherheitsschlüssel (U2F/WebAuthn) oder eingebauten Authenticator als zweite Methode eingerichtet hat, nutzen Sie diese.
- Salesforce Support kontaktieren. Fall bei help.salesforce.com öffnen. Identitätsprüfung erforderlich.
Problem 5: Admin muss MFA für einen Benutzer zurücksetzen
Wenn Sie als Admin einem Benutzer helfen:
1 Gehen Sie zu Setup → Benutzer und suchen Sie den Benutzer.
2 Unter „App-Registrierung: Salesforce Authenticator“ auf Trennen klicken.
3 Wenn der Benutzer auch eine TOTP-App registriert hat, unter „App-Registrierung: One-Time Password Generator“ auf Trennen klicken.
4 Temporären Verifizierungscode generieren. Ablaufzeit festlegen (Standard 24 Stunden) und den Code sicher an den Benutzer übermitteln.
5 Der Benutzer loggt sich mit Passwort + temporärem Code ein und wird aufgefordert, MFA neu zu registrieren.
Sicherheitsbest Practice
Temporäre Codes immer über einen sicheren Kanal übermitteln — Telefonanruf oder verschlüsselte Nachricht. Nie per unverschlüsselte E-Mail zusammen mit dem Benutzernamen.
Von Salesforce unterstützte MFA-Methoden
| Methode | Funktionsweise | Offline nutzbar? |
|---|---|---|
| Salesforce Authenticator (Push) | Tippen Sie auf „Genehmigen“ in der Push-Benachrichtigung | Nein |
| Salesforce Authenticator (TOTP) | 6-stelliger Code aus der App | Ja |
| Drittanbieter-TOTP-App | Code aus Google Authenticator, Authy etc. | Ja |
| Sicherheitsschlüssel (U2F/WebAuthn) | Physischer USB-/NFC-Schlüssel antippen | Ja |
| Eingebauter Authenticator | Touch ID, Face ID oder Windows Hello | Ja |
MFA-Sperrungen in Zukunft verhindern
- Mehrere MFA-Methoden registrieren. TOTP-App + Sicherheitsschlüssel für Fallback hinzufügen.
- Backup-Codes aufbewahren. Manche Orgs erlauben Admins, Backup-Codes zu generieren — sicher speichern.
- Admin-Kontakte dokumentieren. Wissen, wer Ihre Salesforce-Admins sind und wie Sie sie außerhalb von Salesforce erreichen (Telefon, Slack etc.).
Weiter: Passwort zurücksetzen →