Die Zwei- oder Multi-Faktor-Authentifizierung kombiniert verschiedene Authentifizierungsmethoden und ist eine sinnvolle Maßnahme für mehr Sicherheit
Stärkt die Sicherheit
Ein Schritt Richtung Compliance
Vereinfacht die Anmeldung / Login / SSO
Wesentliche Komponente der Cybersicherheit
Schutz für Unternehmen und Benutzer in Hamburg
Mit der Benutzer-Authentifizierung wird im Computer- und Internetumfeld dafür gesorgt, dass die Identität eines Benutzers gegenüber einem IT-System nachgewiesen und verifiziert werden kann.
Dieser Vorgang lässt sich in die zwei Schritte Authentisierung und Authentifizierung aufteilen.
Die Begriffe Authentisierung, Authentifizierung und Autorisierung werden auch bei Unternehmen in Hamburg oft als synonym verwendet.
Es handelt sich hier um drei klar voneinander abgegrenzte Vorgänge.
Anmelde-Dienste Triple-A-Services (AAA-Services)
Für den Nachweis und die Verifizierung von Identitäten sowie der Zuteilung der Nutzerberechtigungen im IT-Umfeld kommen Authentisierung, Authentifizierung und Autorisierung gemeinsam zum Einsatz.
Mit der Nutzung der Abrechnung kommt noch das Accounting mit hinzu.
Für die Authentifizierung, die Autorisierung und das Accounting werden die Dienste als Triple-A-Services (AAA-Services) bezeichnet.
Gängige Methoden der Authentifizierung
Im IT-Umfeld haben sich verschiedene Methoden der Authentifizierung etabliert.
Neben der einfachen Zwei-Faktor-Authentifizierung mit Usernamen und Passwort existieren so genannte Mehr-Faktor-Methoden, bei denen der User weitere Merkmale besitzen und nachweisen muss. Es kann hierfür nötig sein, in Besitz eines physischen Gegenstands wie eines Security-Tokens zu sein. Weitere Merkmale sind zum Beispiel biometrische Merkmale wie der Fingerabdruck, das Gesicht oder die Iris vom Auge.
Das Authentisieren eines Benutzers ist also auf drei verschiedene Wege möglich:
Um höchste Sicherheitsstandards für den Zugriff auf Systeme zu realisieren, lassen sich die Merkmale miteinander zu einer Multi-Faktor-Authentifizierung kombinieren. In diesem Fall muss der User beispielsweise geheime Informationen kennen, einen Security Token besitzen und gleichzeitig seine biometrischen Merkmale nachweisen.
In zahlreichen Varianten existiert die sogenannte 2-Faktor-Authentifizierung (2FA):
Diese funktioniert indem das vorher einzugebende Passwort um einen zusätzlichen Faktor ergänzt, oder einstige Login-Verfahren komplett durch eine Kombination zweier Faktoren ersetzt werden. In unserem heutigen Blogbeitrag werfen wir einen Blick auf die verschiedenen Ansätze der 2-Faktor-Authentifizierung und betrachten auch die Risiken. Grundsätzlich gilt: Auf eine 2-Faktor-Authentifizierung zu setzen, ist immer sicherer.
Häufig werden die Begrifflichkeiten „Authentisierung“ und „Authentifizierung“ im Zusammenhang mit der 2-Faktor-Authentifizierung synonym verwendet. Streng genommen beschreiben diese Begriffe jedoch verschiedene Teilprozesse von Anmeldevorgängen. Nutzer authentisieren sich mit eindeutigen Anmeldeinformationen wie Passwort oder Chipkarte an einem System. Mit dem Überprüfen der Gültigkeit der verwendeten Daten authentifiziert das System den Nutzer.
Die Authentifizierung im Computer- und Cloudumfeld leisten in modernen Systemen eigene Services und Infrastrukturen. Diese werden als AaaS (Authentication as a Service) und AAI (Autorisierungs-Infrastruktur) bezeichnet. In großen Unternehmen kommen zentralisierte Identity- und Access Management-Systeme (IAM-Systeme) zum Einsatz, die sämtliche Identitäten und Zugriffsberechtigungen zentralisiert und übergeordnet verwalten.
Der Authentifizierungsservice fungiert als eigene Instanz, auch Identity-Provider genannt, zwischen den Benutzern und den Diensten, auf die Zugriff zu erteilen ist. Damit ein User Services und Leistungen des Systems nutzen kann, wird er zur Authentifizierung zu dieser Instanz weitergeleitet. Diese verifiziert den Nutzer und meldet die erfolgreiche Verifizierung dem jeweiligen Dienst. Da der IT-Dienst dem Identity-Provider vertraut, erteilt er dem Benutzer die angeforderte Zugriffsberechtigung.
Eines der Verfahren, dass auf diese Art und Weise arbeitet ist OpenID. Es handelt sich dabei um einen dezentral organisierten Authentifizierungsservice für webbasierte Dienste. OpenID ermöglicht das Single Sign-On-Prinzip, bei dem sich ein Nutzer nur einmalig gegenüber dem OpenID-Provider authentifizieren muss und sich anschließend ohne weitere Angabe von Benutzernamen und Passwort an allen dem OpenID-Provider vertrauenden Websites anmelden kann.
In aller Regel beginnt der Authentisierungsprozess bei der 2-Faktor-Authentifizierung mittels mehrerer Faktoren mit dem Eingeben eines sicheren Passworts. Bestätigt das System die Richtigkeit des eingegebenen Kennworts, führt dies nicht etwa direkt zum gewünschten Inhalt, sondern zu einer zusätzlichen Sicherheitsschranke – dem zweiten Faktor. So lässt sich verhindern, dass Unbefugte, die im Besitz des Passworts sind, Zugang zu Daten oder Funktionen erhalten.
Üblicherweise greifen die Systeme hinter der 2-Faktor-Authentifizierung nach der Kennwortabfrage auf ein externes System zurück, um die zweistufige Prüfung des Nutzers durchzuführen. Wie dies aussieht, kann von Anbieter zu Anbieter verschieden sein: Womöglich wird ein zweiter Code auf ein externes Gerät wie das Smartphone gesendet. Möglich ist weiter, dass der zweite Faktor der Fingerabdruck des Nutzers auf einem entsprechenden Sensor ist. Denkbar sind auch Chipkarten oder USB-Tokens. Grundlegend für die 2-Faktor-Authentifizierung sind drei Säulen:
Die jeweils verwendeten Faktoren stammen idealerweise aus verschiedenen Kategorien. So wird die 2-Wege-Authentifizierung sicherer, wenn Wissen (z. B. PIN oder Passwort) mit Besitz (z. B. Chipkarte) oder Biometrie (z. B. Finger-/Augenabdruck) kombiniert werden.
Der wohl größte Vorteil der 2FA besteht darin, dass weder Diebstahl noch ein unbefugtes Kopieren von Zugangsdaten Zugang zum System freigeben. Hacker und andere Cyberkriminelle müssen gleichzeitig im Besitz des zweiten Faktors sein, um eindringen zu können. Die häufigsten Bedrohungsszenarien für den Identitätsdiebstahl sind dank 2-Faktor-Authentifizierung auszuschließen.
Die 2-Faktor-Authentifizierung ist kein Allheilmittel. Sie baut jedoch eine weitere Schranke in gängige Login-Prozesse. Diese sind idealerweise bereits mit starken Passwörtern gesichert. Der zweite Faktor bildet eine zusätzliche Barriere. Bislang ist es noch niemandem gelungen, eine grundsätzliche Schwachstelle in 2FA auszumachen, wenngleich die verschiedenen Varianten alle ihre Vor- und Nachteile haben. Damit ist und bleibt 2FA eine der besten Methoden, das Risiko von Kontoübernahmen und unbefugtem Datenzugriff zu minimieren.