Kurzfassung
Nicht alle Authentifizierungsmethoden sind gleichwertig – Passwörter und SMS-Codes weisen erhebliche Schwachstellen auf, während Biometrie und physische Schlüssel einen stärkeren, aber dennoch unvollkommenen Schutz bieten. Unternehmen sollten eine Strategie für die Adaptive Multi-Faktor-Authentifizierung (MFA) einführen, die kontextabhängige Risikosignale – wie etwa Netzwerkstandort und geografische Lage – auswertet, um für jede Anmeldeanforderung dynamisch die am besten geeignete Kombination von Authentifizierungsfaktoren auszuwählen.
Funktionsweise von Authentifizierungsmethoden und Risikostufen
Anwendungen aller Art – ob Sie diese im Rahmen Ihrer Arbeit oder bei anderen alltäglichen Aktivitäten nutzen – gewähren Benutzer:innen durch Authentifizierung Zugriff auf einen Dienst. Je nach Sensibilität der Informationen, die durch die App fließen, sind verschiedene Arten von Authentifizierungsmethoden erforderlich, die jeweils unterschiedlichen Risikostufen entsprechen.
In einer Zeit stetig zunehmender Datenpannen reichen Benutzername und Passwort als Anmeldedaten für die Authentifizierung des Zugriffs nicht mehr aus. Stattdessen sollten Unternehmen mehrere Authentifizierungsfaktoren miteinander kombinieren und sich dabei bewusst sein, dass jeder Faktor seine eigenen Stärken und Schwächen hat.
Was sind die wichtigsten Arten von Authentifizierungsfaktoren?
Jede Art der Authentifizierung wird als Faktor bezeichnet. Sie werden verwendet, um die Identität eines Benutzers zu überprüfen und den Zugriff für alle zu blockieren, die nicht die sind, die sie vorgeben zu sein. Diese Faktoren werden in drei Gruppen unterteilt, die von jenen mit dem niedrigsten Vertrauensniveau bis zu jenen mit dem höchsten Vertrauensniveau reichen.
- Wissensfaktoren: Dinge, die Benutzer:innen wissen, wie Passwörter oder Antworten auf Sicherheitsfragen.
- Besitzfaktoren: Dinge, die Benutzer:innen besitzen, darunter SMS-Codes, per E-Mail gesendete Einmalpasswörter (OTPs) und Push-Benachrichtigungen.
- Biometrische Faktoren: Merkmale, die den Benutzer ausmachen, wie z. B. Fingerabdruck-Scan oder Gesichtserkennung.
Auch wenn diese Faktoren für sich genommen sicher genug erscheinen mögen, gibt es Sicherheitsaspekte, die verstanden werden müssen, bevor Sie entscheiden, welche Sie zum Schutz der Ressourcen und Daten Ihres Unternehmens einsetzen.
Wie sicher sind verschiedene Authentifizierungsfaktoren?
Bei der Implementierung eines Tools zur Überprüfung der Identität von Benutzer:innen ist es wichtig zu verstehen, dass einige Authentifizierungsfaktoren stärker sind als andere – und diejenigen, die man für am sichersten hält, in Wirklichkeit leicht zu kompromittieren sein können.
Warum gängige Faktoren anfälliger sind als sie scheinen
| Art des Faktors | Beispiele | Hauptschwachstelle |
|---|---|---|
| Wissensfaktoren | Passwörter, Sicherheitsfragen | Sicherheitsfragen sind für Angreifer:innen leicht zu erraten und für Nutzer:innen schwer zu merken, wie eine umfangreiche Studie zur Account-Wiederherstellung bei Google zeigt. |
| Besitzfaktoren | Short Message Service (SMS)-Codes, OTPs per E-Mail, Push-Benachrichtigungen, physische USB-Schlüssel, mobile Authentifikator-Apps | SMS-Codes können abgefangen werden; physische Schlüssel oder Geräte können verloren gehen oder gestohlen werden, wodurch die Identitätsprüfung kompromittiert wird, sobald ein Angreifer Zugriff erlangt. |
| Biometrische Faktoren | Fingerabdruck-Scan, Gesichtsauthentifizierung | Fingerabdrücke können mit einem Stück Klebeband abgenommen werden, und auch andere biometrische Merkmale können repliziert werden, um Anwendungen zu täuschen, damit diese die Identität einer Benutzer:in verifizieren. |
Sicherheitsfragen werden beispielsweise in Anwendungen eingesetzt, die von E-Mail bis hin zu staatlichen Online-Portalen reichen. Eine umfangreiche Studie zur Kontowiederherstellung bei Google hat gezeigt, dass Antworten auf Sicherheitsfragen sowohl für Angreifer leicht zu erraten als auch für Nutzer schwer zu merken sind.
Ein genauerer Blick auf die Schwächen von Besitzfaktoren und biometrischen Faktoren
Das Senden eines Short Message Service (SMS)-Codes ist ein weiterer Faktor, der nicht so sicher ist, wie er scheint. Tatsächlich empfiehlt das National Institute of Standards and Technology SMS-Codes nicht mehr als Authentifizierungstool, da Angreifer eine für ein anderes Telefon bestimmte Nachricht sehr leicht abfangen können. Physische Universal Serial Bus (USB)-Schlüssel oder Mobilgeräte mit einer Authentifikator-App können verloren gehen oder gestohlen werden, und sobald ein Angreifer Zugriff auf einen Besitzfaktor hat, ist die Identitätsüberprüfung der Ressource kompromittiert.
Obwohl sie als die stärksten gelten, weisen selbst biometrische Faktoren wie Fingerabdrücke und Gesichtsverifizierung Schwächen auf. Wir alle kennen den Trick, Fingerabdrücke mit einem Stück Klebeband abzunehmen, und auch andere biometrische Merkmale können nachgebildet werden, um Anwendungen so zu täuschen, dass sie die Identität einer Benutzer:in verifizieren.
Was ist adaptive Multi-Faktor-Authentifizierung (MFA) und warum ist sie wichtig?
Zur Bereitstellung einer sicheren Authentifizierungsmethode gehört es, die von jedem Faktor ausgehenden Risiken zu verstehen und die Faktoren effektiv zu kombinieren, um diese Risiken zu mindern. Ein adaptiver Ansatz, der unterschiedliche Umstände bewertet, kann dabei helfen, potenzielle Authentifizierungsfaktoren an das Risikoniveau anzupassen.
- Netzwerk: Ob die Anfrage aus einem bekannten oder unbekannten Netzwerk stammt.
- Geografie: Ob die Anfrage aus einer Stadt oder von einem Standort stammt, der für diesen Benutzer erwartet wird.
- Internet Protocol (IP)-Zone: Ob die IP-Adresse in eine anerkannte Zone der Organisation fällt.
Wie adaptive MFA das Anmelderisiko in der Praxis bewertet
Wenn beispielsweise die interne Datenbank Ihrer Organisation eine Authentifizierungsanfrage von einem Benutzer erhält, der sich in Ihrem Netzwerk und innerhalb der Stadt und Postleitzahl Ihrer Organisation befindet, reichen ein Passwort und ein Authentifizierungsfaktor mit mittlerer bis hoher Sicherheit, wie ein physischer Schlüssel oder ein biometrischer Faktor, wahrscheinlich aus, um die Identität dieses Benutzers zu überprüfen. Wenn die Anfrage jedoch aus einem unbekannten Netzwerk oder aus einer für den Benutzer neuen Stadt stammt, könnte man erwägen, eine mobile Push-Anfrage hinzuzufügen, um die Identität zu bestätigen.
Auch wenn sie sich auf unterschiedlichen Stufen der Sicherheitsskala befinden, weisen alle Authentifizierungsfaktoren Schwachstellen auf. Unternehmen, die ihre Daten – sowie die ihrer Mitarbeiter:innen und Kund:innen – besser schützen möchten, müssen einen Ansatz für Adaptive MFA implementieren, der das Risiko jeder einzelnen Anmeldeanforderung bewertet und die Authentifizierungsfaktoren entsprechend auswählt.
Häufig gestellte Fragen
Warum reichen Passwörter und Sicherheitsfragen nicht aus, um mein Unternehmen zu schützen?
In einer Zeit stetig zunehmender Datenpannen reichen Benutzername und Passwort als Anmeldedaten für die Authentifizierung des Zugriffs nicht mehr aus. Eine große Studie zur Account-Wiederherstellung bei Google hat gezeigt, dass Antworten auf Sicherheitsfragen für Angreifer:innen leicht zu erraten und für Nutzer:innen schwer zu merken sind, was Wissensfaktoren allein zu einem unzuverlässigen Schutz für die Ressourcen und Daten Ihres Unternehmens macht.
Warum empfiehlt das Nationale Institut für Standards und Technologie (NIST) SMS-Codes nicht mehr als Authentifizierungsmethode?
Das National Institute of Standards and Technology (NIST) empfiehlt Short Message Service (SMS)-Codes nicht mehr als Authentifizierungsmittel, da Angreifer eine für das Telefon einer anderen Person bestimmte Nachricht sehr leicht abfangen können. Dieses Abfangrisiko bedeutet, dass SMS-Codes trotz ihrer weiten Verbreitung keine ausreichende Sicherheit für den Schutz sensibler Ressourcen bieten.
Was macht biometrische Authentifizierung sowohl stark als auch verwundbar?
Biometrische Faktoren wie Fingerabdrücke und Gesichtserkennung gelten als die stärksten Authentifizierungsfaktoren, da sie mit dem verbunden sind, was der Benutzer ist. Allerdings haben sie auch Schwächen – Fingerabdrücke können mit einem Stück Klebeband abgelöst werden, und auch andere biometrische Merkmale können repliziert werden, um Anwendungen zu täuschen, damit diese die Identität eines Benutzers verifizieren.
Welche kontextabhängigen Signale verwendet adaptive MFA, um das Anmelderisiko zu bewerten?
Ein adaptiver MFA-Ansatz bewertet verschiedene Umstände, um die Authentifizierungsfaktoren an das entsprechende Risikoniveau anzupassen. Zu den kontextabhängigen Signalen, die es berücksichtigt, gehören unter anderem Netzwerk, geografische Lage und Internet Protocol (IP)-Zone. Dadurch kann es die erforderlichen Authentifizierungsfaktoren basierend auf dem Risikoprofil jeder Anmeldeanforderung dynamisch anpassen.
Wann sollte eine Organisation über ein Passwort hinaus zusätzliche Authentifizierungsfaktoren verlangen?
Wenn eine Authentifizierungsanfrage aus einem unbekannten Netzwerk oder aus einer für den Benutzer neuen Stadt stammt, sollten Organisationen erwägen, zusätzliche Faktoren – wie etwa eine mobile Push-Anfrage – hinzuzufügen, um die Identität des Benutzers zu bestätigen. Wenn die Anfrage hingegen von einem Benutzer im Netzwerk der Organisation und innerhalb der erwarteten geografischen Region stammt, können ein Passwort und ein Faktor mit mittlerem bis hohem Vertrauensniveau, wie ein physischer Schlüssel oder ein biometrischer Faktor, ausreichend sein.
Was ist der Unterschied zwischen Wissens-, Besitz- und biometrischen Authentifizierungsfaktoren?
Wissensfaktoren sind Dinge, die der Benutzer weiß, wie beispielsweise Passwörter oder Antworten auf Sicherheitsfragen. Besitzfaktoren sind Dinge, die der Benutzer besitzt, darunter SMS-Codes, per E-Mail gesendete Einmal-Passwörter (OTPs) und Push-Benachrichtigungen. Biometrische Faktoren sind Merkmale, die der Benutzer ausmachen, wie z. B. Fingerabdruck-Scan oder Gesichtsauthentifizierung. Diese drei Gruppen reichen vom niedrigsten bis zum höchsten Sicherheitsniveau.
