Sicherheitsfragen: Best Practices, Beispiele und Ideen

Sicherheitsfragen sind eine gängige Methode zur Authentifizierung von Identitäten – eine Methode, mit der Sie wahrscheinlich selbst schon zu tun hatten. Wenn Benutzer online ein Konto erstellen oder sich bei einem Service anmelden, geben sie bei einem Anbieter in vertraulicher Form Antworten auf geheime Fragen. 

In der Regel werden diese Sicherheitsfragen und -antworten zur Self-Service-Wiederherstellung von Passwörtern genutzt: Durch die Eingabe der korrekten Antwort wird der Benutzer verifiziert und kann dann sein Passwort zurücksetzen. Sie können Sicherheitsfragen aber auch als zusätzliche Authentifizierungsfaktoren für die Anmeldung implementieren.

Wir empfehlen Ihnen allerdings nicht, für diese Anwendungsfälle ausschließlich auf Sicherheitsfragen zu setzen. Sie lassen sich zwar einfach einrichten, doch Sicherheitsantworten können leicht gehackt und erraten werden und sind – genauso wie Passwörter – anfällig für Diebstahl. Wenn Sie Ihr Unternehmen dennoch durch Sicherheitsfragen schützen möchten, erfahren Sie in diesem Blog-Beitrag, wodurch sich gute Sicherheitsfragen und -antworten auszeichnen. Außerdem werden die Best Practices für ihre effektive Nutzung erläutert.

Typen von Sicherheitsfragen

Es gibt zwei Haupttypen von Sicherheitsfragen: 

• Benutzerdefinierte Fragen: Die Benutzer können in einer Liste eine Frage auswählen, auf die sie eine Antwort geben möchten. Entwickler können diese Fragen im Rahmen des Kontoerstellungsprozesses einfach implementieren. Sie sind jedoch nur effektiv, wenn der Benutzer eine starke Antwort auswählt, die sich nur schwer herausfinden lässt.
• Systemdefinierte Fragen: Diese Fragen basieren auf Informationen, die dem Service Provider bereits über den Benutzer bekannt sind (z. B. Adresse oder Geburtsdatum). Für diese Fragen müssen genügend Informationen über den Benutzer im System gespeichert sein – und die Antwort muss so gestaltet sein, dass ein Bedrohungsakteur sie nur schwer in Erfahrung bringen kann.

Im Folgenden untersuchen wir, wie gut beide Typen von Fragen funktionieren – doch zuerst zeigen wir auf, warum einige Sicherheitsfragen besser sind als andere.

Was zeichnet eine gute Sicherheitsfrage aus? 

Sicherheitsfragen müssen folgende Merkmale haben, damit sie zu einer sicheren Authentifizierung beitragen:

• Vertraulichkeit: Niemand anders darf die Antwort erraten, durch Recherche ermitteln oder in anderer Form herausfinden können. Dies ist die wichtigste Eigenschaft, die eine Antwort haben muss – falls sie sich einfach herausfinden lässt, wird dadurch die Sicherheit des Kontos sabotiert. Wenn eine Information irgendeiner Person im Umfeld des Benutzers bekannt ist oder im Internet gefunden werden kann, ist sie nicht vertraulich.
• Einprägsamkeit: Die Benutzer müssen sich die Antwort potenziell für einen langen Zeitraum nach der Kontoerstellung merken können. Im Idealfall kann sich der Benutzer sofort an die Antwort erinnern, ohne dass er sie sich notieren oder nachsehen muss.
• Konsistenz: Die Antwort auf die Frage darf sich im Laufe der Zeit nicht ändern. Am besten sollten Antworten vermieden werden, die nur kurzfristig Gültigkeit haben – wie Favoriten und Meinungen. Ziehen Sie stattdessen eher historische Fakten oder dauerhaft geltende Informationen in Betracht.
• Einfachheit: Die Antwort sollte präzise sowie für den Benutzer eindeutig und einfach zu geben sein. Fragen mit mehrdeutigen oder solchen Antworten, bei denen die Groß-/Kleinschreibung oder eine bestimmte Formatierung beachtet werden muss, sind unter Umständen schwer zu behalten.
• Vielseitigkeit: Es sollte mehrere mögliche Antworten auf die Frage geben. Je mehr mögliche Antworten, desto höher ist die Sicherheit – es ist dann weniger wahrscheinlich, dass jemand die Antwort erraten oder per Brute-Force-Angriff erlangen kann. Nach einer Reihe von Fehlversuchen sperren viele Service Provider sogar die Konten für die Benutzer.

Liste von Sicherheitsfragen

Wir haben unter Berücksichtigung der oben erörterten Prinzipien eine Liste gängiger Sicherheitsfragen zusammengestellt. Im Folgenden erfahren Sie, warum einige davon sicherer sind als andere.

Beispiele für schlechte Sicherheitsfragen

Diese Sicherheitsfragen gelten als schlecht, weil sie unpraktisch sind oder erschlossen werden können:

Beispiele für gute Sicherheitsfragen

Die Fragen oben sind aus unterschiedlichen Gründen nicht besonders sicher oder benutzerfreundlich. Wir haben die Liste der Sicherheitsfragen daher überarbeitet. Unten finden Sie Fragen, die praktischer sind und mehr Schutz bieten:

Empfiehlt es sich, Sicherheitsfragen zu verwenden?

Sicherheitsfragen können von Unternehmen einfach implementiert werden, außerdem sind sie den Benutzern vertraut und bringen für sie keinen Aufwand mit. Damit erschöpfen sich die Vorteile aber auch schon.

In einer immer differenzierteren Bedrohungslandschaft haben Sicherheitsfragen ausgedient. Sie bieten nur einen geringen Sicherheitsschutz und selbst unsere Beispiele für gute Sicherheitsfragen können durch Erraten, soziale Medien und Online-Recherche von anderen erschlossen werden. Darüber hinaus haben sowohl benutzer- als auch systemdefinierte Sicherheitsantworten eine Schwachstelle: Sie können (genauso wie Passwörter) bei Datensicherheitsverstößen oder Phishing-Angriffen gestohlen werden. Dies ist ein gewichtiger Grund, weshalb Sicherheitsexperten dafür plädieren, sie nicht mehr zu verwenden.

Daher können auch wir Sicherheitsfragen nicht mehr als Hauptmethode zum Schutz von Konten empfehlen. Im Rahmen einer umfassenderen Sicherheitsstrategie können gute Sicherheitsfragen als zusätzliche Authentifizierungsmethode durchaus sinnvoll sein, allerdings müssen in diesem Fall einige Bedingungen erfüllt werden.

Best Practices für Sicherheitsfragen

Auch wenn Sicherheitsfragen nicht die effektivste Methode zum Sichern von Konten sind, gibt es einige Dinge, die Unternehmen, Mitarbeiter und Kunden tun können, um die Konten wirksamer zu schützen.

Tipps für die Verwendung von Sicherheitsfragen

Wenn Sie Sicherheitsfragen weiterhin als ergänzende Sicherheitsmethode für Ihre Mitarbeiter oder Kunden einsetzen möchten, schlagen wir zur Minimierung von Schwachstellen die folgenden Best Practices vor:

• Antworten beschränken: Prüfen Sie Antworten anhand einer Liste abgelehnter gängiger Antworten, die z. B. den Benutzernamen oder die E-Mail-Adresse, das aktuelle Passwort des Benutzers sowie leicht erratbare Zeichenfolgen wie „123“ oder „passwort“ ausschließt. Zur Vermeidung solcher Antworten können Sie auch eine bestimmte Mindestlänge für Antworten erzwingen.
• Fragen neu beantworten lassen: Fordern Sie die Benutzer in regelmäßigen Abständen dazu auf, ihre Sicherheitsfragen zu prüfen und zu bestätigen, dass sie die Antworten noch kennen. Hierdurch haben sie Gelegenheit, alle Antworten zu aktualisieren, die sich möglicherweise geändert haben. Außerdem steigt so die Wahrscheinlichkeit, dass sich die Benutzer an ihre neueste Antwort erinnern, falls sie ihr Konto einmal wiederherstellen müssen.
• Keine selbst verfassten Antworten: Wenn Sie den Benutzern erlauben, ihre eigenen Fragen zu formulieren, wirft dies Risiken auf. Die Benutzer könnten dabei zwar starke, eindeutige Fragen erstellen, die Hacker nicht einfach beantworten können – doch genauso gut könnten es auch schwache und leicht erschließbare Fragen sein. Selbst verfasste Antworten basieren auf dem eigenen Sicherheitsverhalten der Benutzer. Wenn Sie Benutzer mit einem weniger ausgeprägten Sicherheitsbewusstsein zur Festlegung ihrer eigenen Fragen auffordern, kann dies das Risiko einer Kontoübernahme beträchtlich erhöhen.
• Mehrere Sicherheitsfragen festlegen: Wenn Sie den Benutzern mehrere Fragen gleichzeitig stellen, kann dies das Sicherheitsniveau von Sicherheitsfragen verbessern, insbesondere wenn die Antworten verschiedenartig sind und ein Angreifer somit an mehr unbekannte Informationen gelangen muss. Hierbei könnten benutzer- und systemdefinierte Fragen potenziell kombiniert werden. So oder so – wenn einem Benutzer eine von mehreren Fragen gestellt wird, sollten Sie nicht zulassen, dass er vor der Beantwortung einer Frage eine andere auswählen kann. Dadurch minimieren Sie die Wahrscheinlichkeit, dass Angreifer die für den Kontozugriff erforderlichen Antworten erraten oder anderweitig erlangen können.
• Verschlüsselten Speicher verwenden: Antworten enthalten unter Umständen personenbezogene Informationen zu Benutzern und werden möglicherweise auch für andere Konten verwendet. Nutzen Sie sichere Hashing-Algorithmen, um zu verhindern, dass Hacker Sicherheitsantworten aus Ihrem System abrufen können.

Tipps zum Festlegen von Sicherheitsantworten

Die Implementierung von Sicherheitsfragen ist nur effektiv, wenn die Benutzer die entsprechenden Best Practices kennen. Hier finden Sie einige Ratschläge, die Sie an Ihre Mitarbeiter und Kunden weitergeben können, damit sie stärkere Sicherheitsantworten erstellen:

• Fingierte Antworten verwenden: Antworten Sie nicht mit bedeutsamen Informationen, die andere herausfinden können, sondern mit einer falschen Antwort, die für andere nicht überprüfbar ist – idealerweise mit einer zufälligen Zeichenfolge. Behandeln Sie Sicherheitsantworten in diesem Sinne wie Passwörter: Je undurchsichtiger sie sind, desto besser.
• Passwortmanager verwenden: Es ist viel schwieriger, sich zufällig generierte Textzeichenfolgen zu merken, als echte, personenbezogene Details. Daher lohnt es sich, Ihre Sicherheitsantworten in einem Passwortmanager zu speichern, damit Sie nicht den Überblick verlieren.

Welche besseren Alternativen zu Sicherheitsfragen gibt es?

Wenn Sie künftig ganz auf Sicherheitsfragen verzichten möchten, steht Ihnen eine Vielzahl von anderen Maßnahmen zur Verfügung, die jeweils unterschiedliche Sicherheitsniveaus bieten: 

Bevor Sie sich für eine davon entscheiden, um Ihre Mitarbeiter und Kunden zu schützen, ist es wichtig, dass Sie die damit verbundenen spezifischen Risiken und Vorteile kennen – und dass Sie wissen, welche davon das höchste Maß an Sicherheit bieten. Die Maßnahmen, die auf etwas basieren, das der Benutzer weiß (z. B. Sicherheitsfragen und Passwörter), bieten das geringste Maß an Sicherheit. Diejenigen hingegen, die auf etwas, das der Benutzer hat, oder auf einem seiner charakteristischen Merkmale basieren, haben das höchste Sicherheitsniveau.

Die biometrische Authentifizierung ist beispielsweise bedrohungssicherer als andere Verfahren, da sie auf für jeden Benutzer eindeutigen Kennzeichen wie Stimme, Fingerabdrücken, DNA und Gesichtserkennung basiert. Die Benutzer müssen sich die biometrischen Eigenschaften nicht merken bzw. diese – anders als Sicherheitsantworten – nicht speichern, wodurch das Kompromittierungsrisiko sinkt.

Die Multi-Faktor-Authentifizierung (MFA) wiederum ist ein kontextbezogener Authentifizierungsansatz. Sie können verschiedene Authentifizierungsfaktoren miteinander kombinieren, um die Anforderungen Ihres Unternehmens zu erfüllen, und Risikosignale aus Anmeldeversuchen von Benutzern analysieren, um zu ermitteln, welche Authentifizierungsverfahren am besten geeignet sind. Bei dieser Variante haben Sie die Flexibilität, Sicherheitsfragen und Passwörter als eine von mehreren Authentifizierungsmöglichkeiten zu verwenden und diese für zusätzliche Sicherheit zu implementieren oder in Kontexten mit geringem Risiko ganz auf sie zu verzichten.

Die Schwachstelle von Sicherheitsfragen ist, dass sie erschlossen werden können, weil sie auf Wissen basieren. Wenn ein Angreifer beispielsweise eine Sicherheitsantwort errät, recherchiert oder mittels Phishing ermittelt, wird das Konto kompromittiert. Selbst die besten Sicherheitsfragen sind nicht gegen derartige Angriffe gefeit. Wenn Sie (auch zusätzlich) andere Sicherheitsmaßnahmen einsetzen und mehr über die Adaptive MFA-Lösung von Okta erfahren möchten, lesen Sie unser Datenblatt.