Sicherheitsfragen sind eine gängige Methode zur Authentifizierung von Identitäten – eine Methode, mit der Sie wahrscheinlich selbst schon zu tun hatten. Wenn Benutzer online ein Konto erstellen oder sich bei einem Service anmelden, geben sie bei einem Anbieter in vertraulicher Form Antworten auf geheime Fragen.
In der Regel werden diese Sicherheitsfragen und -antworten zur Self-Service-Wiederherstellung von Passwörtern genutzt: Durch die Eingabe der korrekten Antwort wird der Benutzer verifiziert und kann dann sein Passwort zurücksetzen. Sie können Sicherheitsfragen aber auch als zusätzliche Authentifizierungsfaktoren für die Anmeldung implementieren.
Wir raten jedoch davon ab, sich bei diesen Anwendungsfällen allein auf Sicherheitsfragen zu verlassen. Sicherheitsfragen sind zwar einfach einzurichten, aber sie sind genauso leicht zu hacken, zu erraten und anfällig für Diebstahl wie Passwörter. Wenn Sie dennoch daran interessiert sind, Ihr Unternehmen mit Sicherheitsfragen zu schützen, hilft Ihnen dieser Blogbeitrag zu verstehen, was eine gute Sicherheitsfrage und -antwort ausmacht, und welche Best Practices für deren effektive Nutzung gelten.
Typen von Sicherheitsfragen
Es gibt zwei Haupttypen von Sicherheitsfragen:
- Benutzerdefinierte Fragen ermöglichen es Benutzern, eine Frage aus einer Liste auszuwählen, die sie beantworten möchten. Obwohl es für Entwickler einfach ist, diese Fragen als Teil des Kontoerstellungsprozesses zu implementieren, sind sie nur dann effektiv, wenn der Benutzer eine sichere Antwort wählt, die schwer zu entdecken ist.
- Systemdefinierte Fragen basieren auf Informationen, die der Dienstanbieter bereits über den Benutzer hat (z. B. Adresse oder Geburtsdatum). Diese Fragen setzen voraus, dass das System genügend Informationen über den Benutzer enthält und dass die Antwort für einen Bedrohungsakteur schwer herauszufinden ist.
Im Folgenden untersuchen wir, wie gut beide Typen von Fragen funktionieren – doch zuerst zeigen wir auf, warum einige Sicherheitsfragen besser sind als andere.
Was zeichnet eine gute Sicherheitsfrage aus?
Sicherheitsfragen müssen folgende Merkmale haben, damit sie zu einer sicheren Authentifizierung beitragen:
- Vertraulichkeit: Niemand sonst sollte die Antwort erraten, recherchieren oder auf andere Weise erhalten k önnen. Dies ist die wichtigste Eigenschaft, die eine Antwort haben muss – wenn die Antwort leicht herauszufinden ist, sabotiert sie die Sicherheit eines Kontos. Wenn eine Information jedem im Umfeld des Benutzers bekannt ist oder online gefunden werden kann, ist sie nicht vertraulich.
- Einprägsamkeit: Benutzer müssen sich die Antwort merken, möglicherweise für lange Zeit nach dem Erstellen eines Kontos. Idealerweise kann sich der Benutzer sofort an die Antwort erinnern; er sollte sie nicht aufschreiben oder nachschlagen müssen.
- Konsistenz: Die Antwort auf die Frage darf sich im Laufe der Zeit nicht ändern. Am besten vermeiden Sie Antworten, die nur im Moment garantiert sind, wie z. B. Favoriten und Meinungen – denken Sie stattdessen über historische Fakten oder dauerhafte Informationen nach.
- Einfachheit: Die Antwort sollte präzise, für den Benutzer klar und einfach zu geben sein. Fragen mit mehrdeutigen Antworten oder Antworten, die Groß- und Kleinschreibung oder eine bestimmte Formatierung erfordern, können schwer zu verfolgen sein.
- Vielfalt: Es sollte mehrere mögliche Antworten auf die Frage geben. Je mehr mögliche Antworten, desto besser die Sicherheit – es ist weniger wahrscheinlich, dass es jemandem gelingt, die Antwort zu erraten oder durch Brute Force herauszufinden. Viele Dienstanbieter sperren Benutzer sogar nach einer Reihe fehlgeschlagener Versuche aus einem Konto aus.
Liste von Sicherheitsfragen
Wir haben unter Berücksichtigung der oben erörterten Prinzipien eine Liste gängiger Sicherheitsfragen zusammengestellt. Im Folgenden erfahren Sie, warum einige davon sicherer sind als andere.
Beispiele für schlechte Sicherheitsfragen
Diese Sicherheitsfragen gelten als schlecht, weil sie unpraktisch sind oder erschlossen werden können:
Ineffektive Sicherheitsfrage | Begründung |
|---|---|
Wie lautet Ihr Geburtsdatum? | Kann einfach von anderen erraten werden und ist daher nicht vertraulich. |
Wie hieß Ihr Lieblingslehrer in der Schule? | Themen aus der Kindheit liegen so weit zurück, dass sie möglicherweise in Vergessenheit geraten. |
Wie heißt Ihr Lieblingsfilm? | Dies ändert sich wahrscheinlich im Laufe der Zeit. |
Was war Ihr erstes Auto? | Hier ist nicht eindeutig, wie detailliert die Antwort sein sollte. |
Welches Sternzeichen haben Sie? | Wegen der begrenzten Anzahl potenzieller Antworten könnte die Antwort von anderen Personen erraten oder ermittelt werden. |
Beispiele für gute Sicherheitsfragen
Die Fragen oben sind aus unterschiedlichen Gründen nicht besonders sicher oder benutzerfreundlich. Wir haben die Liste der Sicherheitsfragen daher überarbeitet. Unten finden Sie Fragen, die praktischer sind und mehr Schutz bieten:
Effektive Sicherheitsfrage | Begründung |
|---|---|
In welcher Stadt bzw. an welchem Ort wurden Sie geboren? | Im Allgemeinen ist dieser Fakt weniger bekannt und daher schlechter von anderen zu erraten. |
Wie lautet der zweite Vorname Ihrer ältesten Schwester bzw. Ihres ältesten Bruders? | In der Regel ist dies eine Information, die nur miteinander vertrauten Geschwistern bekannt ist und sich daher nicht so leicht herausfinden lässt. |
Welches war Ihr erstes Konzert, das Sie besucht haben? | Es ist unwahrscheinlich, dass sich die Antwort ändert. |
Geben Sie Marke und Modell Ihres ersten Autos an. | Hier wird präzise nach spezifischen Details gefragt. |
In welcher Stadt bzw. welchem Ort haben sich Ihre Eltern kennengelernt? | Dies ist ein persönliches Detail. Da es viele potenzielle Antworten gibt, können andere die richtige Antwort schwerer erraten. |
Empfiehlt es sich, Sicherheitsfragen zu verwenden?
Sicherheitsfragen können von Unternehmen einfach implementiert werden, außerdem sind sie den Benutzern vertraut und bringen für sie keinen Aufwand mit. Damit erschöpfen sich die Vorteile aber auch schon.
In einer immer komplexeren Bedrohungslandschaft haben Sicherheitsfragen ausgedient. Sie bieten einen geringen Schutz, und selbst die von uns oben bereitgestellten Beispielsicherheitsfragen können von anderen durch Raten, soziale Medien und Online-Recherche ausgenutzt werden. Darüber hinaus sind sowohl benutzer- als auch systemdefinierte Sicherheitsantworten genauso anfällig für Diebstahl bei einer Datenpanne oder einem Phishing-Betrug wie Passwörter – ein wichtiger Grund, warum Sicherheitsexperten von ihrer Abschaffung abraten.
Daher können auch wir Sicherheitsfragen nicht mehr als Hauptmethode zum Schutz von Konten empfehlen. Im Rahmen einer umfassenderen Sicherheitsstrategie können gute Sicherheitsfragen als zusätzliche Authentifizierungsmethode durchaus sinnvoll sein, allerdings müssen in diesem Fall einige Bedingungen erfüllt werden.
Best Practices für Sicherheitsfragen
Auch wenn Sicherheitsfragen nicht die effektivste Methode zum Sichern von Konten sind, gibt es einige Dinge, die Unternehmen, Mitarbeiter und Kunden tun können, um die Konten wirksamer zu schützen.
Tipps für die Verwendung von Sicherheitsfragen
Wenn Sie Sicherheitsfragen weiterhin als ergänzende Sicherheitsmethode für Ihre Mitarbeiter oder Kunden einsetzen möchten, schlagen wir zur Minimierung von Schwachstellen die folgenden Best Practices vor:
- Antworten einschränken: Antworten mit einer Negativliste auf häufige Antworten überprüfen, wie z. B. den Benutzernamen oder die E-Mail-Adresse, das aktuelle Passwort des Benutzers und erratene Zeichenfolgen wie „123“ und „Passwort“. Die Erzwingung einer Mindestlänge für Antworten kann auch dazu beitragen, solche Antworten zu vermeiden.
- Erneuerungsfragen: Fordern Sie den Benutzer regelmäßig auf, seine Sicherheitsfragen zu überprüfen und zu bestätigen, dass er die Antworten noch kennt. Dies sollte ihnen die Möglichkeit geben, alle Antworten zu aktualisieren, die sich möglicherweise geändert haben, und es wahrscheinlicher machen, dass sich der Benutzer an seine letzte Antwort erinnert, falls er sein Konto wiederherstellen muss.
- Keine selbstverfassten Fragen: Wenn Benutzer ihre eigenen Fragen schreiben dürfen, birgt dies Risiken. Dies könnte zu starken, einzigartigen Fragen führen, die für Hacker schwer zu beantworten sind – es könnte aber auch zu schwachen und leicht ausnutzbaren Fragen führen. Selbstverfasste Fragen stützen sich auf das Sicherheitsverhalten des Benutzers selbst. Wenn man also Benutzer mit weniger Sicherheitsbewusstsein einlädt, ihre eigenen Fragen zu stellen, kann dies das Risiko der Kontoübernahme wirklich erhöhen.
- Mehrere Sicherheitsfragen festlegen: Wenn Sie den Benutzern mehrere Fragen gleichzeitig stellen, kann dies das Sicherheitsniveau von Sicherheitsfragen verbessern, insbesondere wenn die Antworten verschiedenartig sind und ein Angreifer somit an mehr unbekannte Informationen gelangen muss. Hierbei könnten benutzer- und systemdefinierte Fragen potenziell kombiniert werden. So oder so – wenn einem Benutzer eine von mehreren Fragen gestellt wird, sollten Sie nicht zulassen, dass er vor der Beantwortung einer Frage eine andere auswählen kann. Dadurch minimieren Sie die Wahrscheinlichkeit, dass Angreifer die für den Kontozugriff erforderlichen Antworten erraten oder anderweitig erlangen können.
- Verschlüsselten Speicher verwenden: Antworten enthalten unter Umständen personenbezogene Informationen zu Benutzern und werden möglicherweise auch für andere Konten verwendet. Nutzen Sie sichere Hashing-Algorithmen, um zu verhindern, dass Hacker Sicherheitsantworten aus Ihrem System abrufen können.
Tipps zum Festlegen von Sicherheitsantworten
Die Implementierung von Sicherheitsfragen ist nur effektiv, wenn die Benutzer die entsprechenden Best Practices kennen. Hier finden Sie einige Ratschläge, die Sie an Ihre Mitarbeiter und Kunden weitergeben können, damit sie stärkere Sicherheitsantworten erstellen:
- Falsche Antworten verwenden: Anstatt mit aussagekräftigen Informationen zu antworten, die andere herausfinden können, verwenden Sie eine falsche Antwort, die andere nicht überprüfen können, idealerweise mit einer zufälligen Zeichenfolge. In diesem Sinne behandeln Sie Sicherheitsantworten wie Passwörter – je obskurer, desto besser.
- Verwenden Sie einen Password Manager: Sich zufällige Textketten zu merken ist viel schwieriger als wahrheitsgemäße, persönliche Details. Deshalb lohnt es sich, einen Password Manager zu verwenden, um Ihre Sicherheitsantworten zu speichern, damit Sie nicht den Überblick verlieren.
Welche besseren Alternativen zu Sicherheitsfragen gibt es?
Wenn Sie es vorziehen, ganz von Sicherheitsfragen abzukommen, gibt es eine Vielzahl anderer Maßnahmen, die jeweils unterschiedliche Sicherheitsniveaus bieten.
Bevor Sie sich für eine davon entscheiden, um Ihre Mitarbeiter und Kunden zu schützen, ist es wichtig, dass Sie die damit verbundenen spezifischen Risiken und Vorteile kennen – und dass Sie wissen, welche davon das höchste Maß an Sicherheit bieten. Die Maßnahmen, die auf etwas basieren, das der Benutzer weiß (z. B. Sicherheitsfragen und Passwörter), bieten das geringste Maß an Sicherheit. Diejenigen hingegen, die auf etwas, das der Benutzer hat, oder auf einem seiner charakteristischen Merkmale basieren, haben das höchste Sicherheitsniveau.
Biometrische Authentifizierung ist beispielsweise widerstandsfähiger gegen Bedrohungen als andere, da sie auf Identifikatoren beruht, die für jeden Benutzer einzigartig sind, wie Stimme, Fingerabdrücke, DNA und Gesichtserkennung. Benutzer müssen sich biometrische Merkmale nicht merken oder speichern, wie sie es bei Sicherheitsfragen tun, was sie schwerer zu kompromittieren macht.
Multi-Faktor-Authentifizierung (MFA) hingegen ist ein kontextbezogener Ansatz zur Authentifizierung. Sie können eine Mischung aus Authentifizierungsfaktoren implementieren, die den Anforderungen Ihres Unternehmens entsprechen, und Risikosignale von Benutzeranmeldeversuchen analysieren, um zu bestimmen, welche Authentifizierungsmethoden am besten geeignet sind. Mit dieser Konfiguration haben Sie die Flexibilität, Sicherheitsfragen und Passwörter als eine von vielen Authentifizierungsoptionen zu verwenden und sie für zusätzliche Sicherheit in risikoarmen Kontexten bereitzustellen oder ganz darauf zu verzichten.
Die Schwachstelle von Sicherheitsfragen ist, dass sie erschlossen werden können, weil sie auf Wissen basieren. Wenn ein Angreifer beispielsweise eine Sicherheitsantwort errät, recherchiert oder mittels Phishing ermittelt, wird das Konto kompromittiert. Selbst die besten Sicherheitsfragen sind nicht gegen derartige Angriffe gefeit. Wenn Sie (auch zusätzlich) andere Sicherheitsmaßnahmen einsetzen und mehr über die Adaptive MFA-Lösung von Okta erfahren möchten, lesen Sie unser Datenblatt.
