Voraussetzungen für INKASSO.live als PWA#

Dieser Artikel fasst zusammen, welche Plattformen und Einstellungen benötigt werden, damit die INKASSO.live PWA stabil läuft und WebAuthn (passwortlos) funktioniert.

Unterstützte Betriebssysteme und Browser#

Windows 10/11 mit aktuellem Chrome oder Edge (jeweils die letzten zwei Stable-Versionen)
macOS ab 12 mit Safari ab 16.4 oder aktuellem Chrome/Edge
iOS/iPadOS ab 16.4 mit Safari (WebAuthn und PWA-Installationen erst ab dieser Version vollständig)
Android ab 10 mit Chrome 108+ (WebAuthn-Resident Keys) oder aktueller Edge/Brave
Linux (getestet Ubuntu 22.04/24.04) mit Chrome/Chromium/Edge; FIDO2-Sicherheitsschlüssel oder TPM-gestützte Authenticator werden unterstützt, sofern durch den Kernel freigegeben

Hinweis: Beta- oder veraltete Browser-Builds sind nicht freigegeben. Bitte automatische Updates aktiv lassen.

Systemseitige Einstellungen (alle Plattformen)#

Systemzeit per NTP synchronisieren (sonst schlagen TLS/WebAuthn-Checks fehl).
Geräte-Entsperrung aktivieren (PIN, Passwort, biometrisch); für WebAuthn muss der lokale Authenticator entsperrt werden können.
Bildschirmsperre/Keychain/Schlüsselbund nicht deaktivieren; WebAuthn-Schlüssel liegen darin.
Browser darf keine private/incognito-Profile erzwingen (WebAuthn-Credentials und PWA-Storage bleiben sonst nicht erhalten).

WebAuthn-spezifische Voraussetzungen#

Plattform-Authenticator: Windows Hello, Touch ID/Face ID auf macOS/iOS/iPadOS, Android Screen Lock/biometrisch, oder FIDO2-Sicherheitsschlüssel (USB/NFC/BLE).
Für Plattform-Authenticator muss eine lokale PIN oder Biometrie eingerichtet sein; ohne Entsperrmethode verweigert das OS die Challenge-Signatur.
Unter Windows: „Windows Hello“ aktivieren; bei Domänenrichtlinien die Verwendung von Sicherheitsschlüsseln erlauben.
Unter macOS/iOS: „Touch ID/Face ID für Safari“ erlauben; Schlüsselbund-Zugriff nicht einschränken.
Unter Android: Bildschirm-Sperrmethode aktiv und Chrome-Flag „Discoverable Passkeys“ standardmäßig an (ab 108).
Externe FIDO2-Schlüssel: USB/BLE/NFC zulassen; ggf. U2F/FIDO2-Unterstützung im Browser nicht deaktivieren.

Berechtigungen der PWA#

Speicherung: IndexedDB/Persistent Storage erlauben (für Offline-Modus und Caches); Safari: „Website-Daten erlauben“.
Benachrichtigungen: optional für zeitkritische Ereignisse; Browser-Prompt nicht blockieren, falls genutzt.
Kamera/Dateizugriff: nur falls Dokument-Upload mit Kamera/Scanner verwendet wird.
„Hintergrundaktualisierungen“ bzw. Service Worker müssen zugelassen sein; kein Energiesparmodus, der Netzaktivität oder Push pauschal unterbindet.

Netzwerkvoraussetzungen#

HTTPS-Verbindungen zu *.inkasso.live erlauben; Port 443 ausgehend offen.
Kein erzwungenes HTTP-Only/Man-in-the-Middle; Zertifikats-Pinning und Origin-Bindung verlangen unveränderte TLS-Ketten.
Offline-Modus: Browser muss lokale Caches halten dürfen; kein automatisches „Storage leeren“ durch Unternehmensrichtlinien.

Schnell-Checkliste vor dem Start#

Unterstütztes OS + aktueller Browser installiert.
Systemzeit korrekt, automatische Updates an.
Bildschirm-Sperre + PIN/Biometrie aktiv (Windows Hello / Touch ID / Android Screen Lock).
Keine SSL-Intercept-Proxies für *.inkasso.live.
Browser erlaubt PWA-Installation, Storage und (falls benötigt) Benachrichtigungen.

Damit sind alle Voraussetzungen erfüllt, um die INKASSO.live PWA inklusive WebAuthn ohne weitere Eingriffe zu nutzen.

Voraussetzungen für den Betrieb eines INKASSO.live Servers#

Keine SSL-Intercept-Proxies oder manipulierende Antivirus-HTTPS-Scanner auf der Domäne; sie brechen die WebAuthn-Origin-Bindung.