Kurzfassung
Identifizierung, Authentifizierung und Autorisierung sind drei unterschiedliche, aber voneinander abhängige Schritte in der Online-Sicherheit. Die Identifizierung stellt fest, wer ein Benutzer ist; die Authentifizierung verifiziert diesen Anspruch mithilfe von Passwörtern, Tokens oder Biometrie; und die Autorisierung gewährt den Zugriff auf bestimmte Ressourcen erst, nachdem beide vorherigen Schritte erfolgreich waren. Die Verwendung von Multi-Faktor-Authentifizierung (MFA) stärkt die Kontosicherheit gegen Identitätsdiebstahl und Cyberkriminalität erheblich.
Die Mechanismen der digitalen Identität und Sicherheit
Unser Alltag verlagert sich immer mehr in die digitale Welt – und Anwender müssen immer wieder identifiziert, authentisiert und autorisiert werden. Diese Begriffe werden häufig synonym verwendet; in Wirklichkeit sind sie aber nicht identisch, und bezeichnen drei ganz verschiedene Aufgaben.
Identifizierung ist der Vorgang, einen bestimmten Benutzer zu identifizieren, häufig über einen Benutzernamen. Authentifizierung ist der Nachweis der Identität dieses Benutzers, was üblicherweise durch die Eingabe eines Passworts erfolgt.
Erst nachdem ein Anwender identifiziert und authentisiert wurde, kann er autorisiert werden, und erhält die Berechtigung, auf bestimmte Systeme und Ressourcen zuzugreifen. Im Zuge der Autorisierung werden ihm Rechte und Privilegien für den Zugriff auf Ressourcen gewährt. Die Identifizierung und die Authentisierung dienen einem konkreten Zweck und sind wichtige Komponenten der Datensicherheit.
Was ist der Unterschied zwischen Identifizierung und Authentifizierung?
Die Identifizierung ist der erste Schritt bei den meisten Online-Transaktionen und erfordert, dass sich ein Benutzer „identifiziert“, in der Regel durch die Angabe eines Namens, einer E-Mail-Adresse, einer Telefonnummer oder eines Benutzernamens. Dies ist der Prozess, bei dem jemand angibt, eine bestimmte Person zu sein.
In digitalen Umgebungen ist es mitunter aber schwierig zu überprüfen, ob ein Anwender eine echte Identität angegeben hat, und ob er derjenige ist, der er zu sein vorgibt.
Wie funktioniert die Identitätsprüfung?
Identitäten können durch die Angabe weiterer Informationen, etwa eines amtlichen Ausweises, überprüft werden. Der Verifizierungsprozess erfolgt in der Regel aber nur einmal – wenn Sie zum ersten Mal ein Konto einrichten oder auf eine Website zugreifen. Anschließend wird Ihre Identität authentifiziert, oft durch die Erstellung eines Passworts, das mit Ihrem Benutzernamen verknüpft wird.
Bei der ersten Anmeldung und dem ersten Zugriff auf ein System, einen Service oder ein Unternehmen – nachdem Ihre Identität überprüft wurde – wird eine Authentifizierungslösung eingerichtet. Dies kommt dann jedes Mal zum Tragen, wenn Sie auf den Service oder die Anwendung zugreifen.
Für die digitale Authentisierung ist mindestens einer der folgenden Faktoren erforderlich:
- Etwas, das Sie wissen: ein Passwort oder eine Sicherheitsfrage
- Etwas, das Sie besitzen: ein Token, eine Smartcard, ein Ausweis oder ein kryptografischer Schlüssel
- Etwas, das Sie sind: biometrische Daten wie Fingerabdrücke oder Gesichtsscans
Im Rahmen des Authentifizierungsprozesses kann der Benutzer beweisen, dass er immer noch die Person ist, die er während der Identifizierung zu sein vorgab. Zu den sichersten Authentifizierungsverfahren gehört die Multi-Faktor-Authentisierung (MFA), bei der sich die Anwender mit mehr als einem Faktor authentisieren müssen.
Was ist Autorisierung und wie funktioniert es?
Bei der Autorisierung geht es darum, Benutzern den Zugang zu Diensten oder Systemen zu gewähren: Sie erhalten Rechte und Privilegien auf der Grundlage der bereits erfolgten Identifizierung und Authentifizierung.
Im Jahr 2020 gab es fast 5 Millionen dokumentierte Fälle von Identitätsdiebstahl und -betrug. Bei dieser Form von Angriff stehlen bösartige Akteure persönliche Daten und geben sich als rechtmäßige Nutzer aus.
Mit der Autorisierung soll sichergestellt werden, dass eine Person diejenige ist, die sie vorgibt zu sein – und dass sie berechtigt ist, auf bestimmte Services zuzugreifen und bestimmte Rechte hat. Um wirksam zu sein, muss die Autorisierung nach der Identifizierung und der Authentifizierung erfolgen.
| Begriff | Definition | Wenn es auftritt | Beispiel |
|---|---|---|---|
| Identifizierung | Der Vorgang, einen bestimmten Benutzer zu identifizieren, oft anhand eines Benutzernamens | Ersteinrichtung und jedes Mal, wenn ein Benutzer auf ein Konto oder einen Dienst zugreift | Angabe eines Namens, einer E-Mail-Adresse, einer Telefonnummer oder eines Benutzernamens |
| Authentifizierung | Nachweis der Identität eines Benutzenden, der üblicherweise durch die Eingabe eines Passworts erfolgt | Bei jedem Zugriff auf den Dienst oder die Anwendung, nach der Identifizierung | Eingabe eines Passworts oder Angabe eines einmaligen Verifizierungscodes |
| Autorisierung | Gewährung von Zugriff auf Dienste oder das System für einen Benutzer – Zuweisung von Rechten und Privilegien | Erst nachdem sowohl die Identifizierung als auch die Authentifizierung verifiziert wurden | Das System gewährt Zugriff auf Ressourcen, die der Administrator autorisiert hat. |
Wann wird das jeweilige Protokoll verwendet?
Die Identifizierung erfolgt im Rahmen der ersten Einrichtung von Konten und Services sowie beim Onboarding in einem Unternehmen. Um eine Person zuverlässig zu identifizieren und diese Identität anschließend zu überprüfen, sind persönliche Daten erforderlich.
Die Überprüfung der Identität kann beispielsweise mit Hilfe von Ausweisdokumenten, Kenntnissen, die nur die echte Person hat, oder durch die Eingabe persönlicher Daten wie der Sozialversicherungsnummer erfolgen. Normalerweise wird ein Nutzer jedes Mal aufs Neue identifiziert, wenn er auf ein Konto oder einen Dienst zugreift, und zwar in Form eines Benutzernamens.
Wie funktioniert Authentifizierung in der Praxis?
Der zweite Schritt ist die Authentisierung. Diese wird initiiert, um einen Benutzer mit den zuvor bereitgestellten Informationen abzugleichen. So soll sichergestellt werden, dass er tatsächlich die Person ist, die er vorgibt zu sein. Die Authentifizierung erfolgt, wenn ein Benutzer ein Passwort eingibt oder die abgefragten Informationen bereitstellt. Das System prüft dann, welche Daten gespeichert sind und ob die Angaben übereinstimmen.
Authentifizierungssysteme können auch einen einmaligen Verifizierungscode anfordern, um sicherzustellen, dass die Identität des Benutzers legitim ist. Dies wird häufig an eine zuvor angegebene E-Mail-Adresse oder per SMS an eine Telefonnummer gesendet und erfordert, dass der Benutzer den Code als zusätzlichen Authentifizierungsfaktor angibt. Erst nachdem Identifizierung und Authentifizierung verifiziert wurden, sollte die Autorisierung erfolgen.
Bei diesem letzten Schritt gestattet das System dem Benutzer den Zugang zu bestimmten Ressourcen oder gewährt ihm Rechte und Privilegien. Die Autorisierung ermöglicht es Unternehmen, Ressourcen im System sowie einzelne Benutzer zu schützen, indem sie die unberechtigte Nutzung oder den unberechtigten Zugriff unterbindet.
Wie wirken Identifizierung, Authentifizierung und Autorisierung zusammen?
Ein Beispiel:
- Der Benutzer wird im System angelegt, indem er seine Identifikationsdaten angibt.
- Der Benutzer richtet einen Authentifizierungsfaktor, z. B. ein Passwort, für den künftigen Zugang ein.
- Der Benutzer kehrt zum Login zurück und wird vom System nach seiner Identifikation (Benutzername) und dem Authentifizierungsfaktor (Passwort) gefragt.
- Das System authentifiziert den Benutzer, indem es prüft, ob die Informationen korrekt sind und mit den gespeicherten Daten übereinstimmen.
- Der Benutzer erhält Zugriff auf die Systeme und Ressourcen, für die der Administrator ihn autorisiert hat.
Wie können Sie Ihre Identität online schützen?
Wenn Ihre persönlichen Daten im Internet sicher sein sollen, müssen Sie Ihre Identität durch starke Authentifizierungsverfahren schützen. Hier sind einige Tipps zur Erstellung starker Passwörter.
Wie können Sie Ihre Authentifizierungssicherheit stärken?
Ein Passwort-Manager kann Ihnen dabei helfen, starke und für böswillige Akteure schwer zu erratende Passwörter zu generieren. Ändern Sie Ihre Passwörter häufig und verwenden Sie nicht für jede Website das gleiche Passwort.
Außerdem empfehlen wir, mindestens ein Zwei-Faktor-Authentifizierungsverfahren zu verwenden – zum Beispiel ein Passwort und einen Verifizierungscode. Viele Websites unterstützen standardmäßig eine Funktion zur Aktivierung der Zwei-Faktor-Authentifizierung.
Noch besser ist die Multi-Faktor-Authentifizierung mit drei oder mehr Authentifizierungsfaktoren. Je mehr Authentifizierungsfaktoren Sie einrichten, desto sicherer wird Ihr Konto sein. Die Verwendung biometrischer Daten, etwa von Fingerabdrücken, Netzhautscannern und Gesichtserkennung, kann das Sicherheitsniveau weiter steigern.
Die Authentifizierung ist möglicherweise der Schlüssel, um Online-Accounts zuverlässig zu schützen und die Sicherheit kritischer Daten und Ressourcen zu gewährleisten.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Identifizierung und Authentifizierung?
Identifizierung ist der Vorgang, bei dem ein bestimmter Benutzer identifiziert wird, oft anhand eines Benutzernamens, und beschreibt den Prozess, bei dem jemand angibt, eine bestimmte Person zu sein. Die Authentifizierung ist der Nachweis der Identität dieses Benutzers, was üblicherweise durch die Eingabe eines Passworts erfolgt. Sie bietet dem Benutzer die Möglichkeit zu beweisen, dass er weiterhin die Person ist, als die er sich während der Identifikationsphase ausgegeben hat.
Warum muss die Autorisierung nach der Identifizierung und Authentifizierung erfolgen?
Bei der Autorisierung geht es darum, Benutzern den Zugang zu Diensten oder Systemen zu gewähren: Sie erhalten Rechte und Privilegien auf der Grundlage der bereits erfolgten Identifizierung und Authentifizierung. Damit die Autorisierung effektiv ist, muss sie sowohl nach der Identifizierung als auch nach der Authentifizierung erfolgen, da sie dazu beiträgt sicherzustellen, dass eine Person diejenige ist, die sie zu sein vorgibt, und dass sie berechtigt ist, auf bestimmte Dienste zuzugreifen und bestimmte Privilegien zu haben.
Welche drei Faktoren werden bei der digitalen Authentifizierung verwendet?
Digitale Authentifizierung erfordert eines der Folgenden: etwas, das eine Person weiß (wie ein Passwort oder eine Sicherheitsfrage), etwas, das eine Person besitzt (wie ein Token, eine Smartcard, einen Ausweis oder einen kryptografischen Schlüssel) oder etwas, das eine Person ist (wie biometrische Daten, einschließlich eines Fingerabdrucks oder Gesichtsscans).
Was ist Multi-Faktor-Authentifizierung (MFA) und warum wird sie empfohlen?
Multi-Faktor-Authentifizierung (MFA) erfordert die Verwendung von mehr als einer Authentifizierungsform und gehört damit zu den sichersten Authentifizierungsmethoden. Die Verwendung von drei oder mehr Authentifizierungsfaktoren ist noch besser – je mehr Authentifizierungsfaktoren bereitgestellt werden, desto sicherer wird ein Konto.
Wie fügt sich ein einmaliger Verifizierungscode in den Authentifizierungsprozess ein?
Authentifizierungssysteme können einen einmaligen Verifizierungscode anfordern, um sicherzustellen, dass die Identität des Benutzers legitim ist. Dies wird häufig an eine zuvor angegebene E-Mail-Adresse oder per SMS an eine Telefonnummer gesendet und erfordert, dass der Benutzer den Code als zusätzlichen Authentifizierungsfaktor angibt.
Wie können Sie Ihre Konten durch starke Authentifizierungsverfahren schützen?
Benutzer:innen sollten mindestens ein Zwei-Faktor-Authentifizierungsverfahren verwenden, wie etwa ein Passwort und einen Verifizierungscode, und ihre Passwörter häufig ändern, ohne sie für mehrere Websites wiederzuverwenden. Ein Passwortmanager kann dabei helfen, dass Passwörter stark bleiben, und die Verwendung biometrischer Daten wie Fingerabdrücke, Netzhautscanner und Gesichtserkennung kann zusätzliche Sicherheitsebenen bieten.
Referenzen
Multi-Faktor-Authentifizierung: Wer sie hat und wie man sie einrichtet. (Januar 2022). PC Mag.
Facts + Statistics: Identity Theft and Cybercrime. (2022). Insurance Information Institute, Inc.
What Makes a Good Password? 9 Rules to Protect You From Cyberattacks. (Februar 2022). CNET.
Biometrics. (Juni 2021).U.S. Department of Homeland Security (DHS).
