Ein Leitfaden für Multi-Faktor-Authentifizierungslösungen

In einer Welt, in der Unternehmen ständig Gefahr laufen, ihre wertvollen Daten an clevere Betrüger zu verlieren, ist die Benutzerauthentifizierung unerlässlich. Bei passwortbasierten Systemen werden die Benutzer authentifiziert, wenn sie dem System gültige Anmeldedaten (Passwörter) vorlegen.

Aber solche "Ein-Faktor"-Authentifizierungssysteme bringen massive Risiken in das Unternehmen. So werden im Jahr 2020 mehr als 80 % der Sicherheitsverletzungen (Hackerangriffe) durch Brute-Force-Methoden oder die Verwendung verlorener oder gestohlener Anmeldedaten erfolgen. Da sie die Person nicht wirklich authentifizieren , kann ein Bedrohungsakteur, der diese Anmeldedaten in die Hände bekommt, leicht einen autorisierten Benutzer imitieren und an dessen Stelle auf das System zugreifen. Wenn solche unbefugten und/oder böswilligen Benutzer unentdeckt bleiben, können sie im Laufe der Zeit großen Schaden anrichten.

Um ihr Risiko zu minimieren und sich zu schützen, benötigen Unternehmen sicherere Methoden zur Benutzerauthentifizierung. Sie brauchen Lösungen für die Multi-Faktor-Authentifizierung.

In diesem Artikel untersuchen wir, wie diese MFA-Lösungen funktionieren und wie Unternehmen MFA für eine stärkere, mehrschichtige Sicherheit implementieren können. Wir vergleichen auch die Risiken der verschiedenen Authentifizierungsfaktoren, die Nachteile von MFA-Lösungen und wie passwortlose Lösungen diese Mängel überwinden können.

‍Anatomievon Multi-Faktor-Authentifizierungslösungen

MFA- oder Multi-Faktor-Authentifizierungslösungen sind eine Abkehr von den herkömmlichen Lösungen zur reinen Passwortauthentifizierung. Wie der Name schon sagt, müssen die Benutzer mehrere Authentifizierungsfaktoren verwenden, um ihre Identität zu bestätigen, bevor sie auf ein System zugreifen können.

Die ersten Multi-Faktor-Authentifizierungslösungen waren Zwei-Faktor-Authentifizierungslösungen (2FA). Zunehmend umfasst die MFA jedoch mindestens drei Authentifizierungsfaktoren oder Identitäten Anmeldedaten:

1. ‍Wissenoder etwas, das der Nutzer "weiß": Passwörter, persönliche Identifikationsnummern (PINs), Einmal-Passwörter (OTPs), etc.
2. Besitz oder etwas, das der Nutzer "hat": Sicherheits-Tokens (hardware- oder softwarebasiert), Smartcards, Smartphones usw.
3. Inhärenz oder etwas, das der Nutzer "ist": Die einzigartigen biologischen Merkmale des Nutzers, z. B. Iris-Scans, Fingerabdrücke, Stimmabdrücke, Gesichtsabdrücke usw.
   ‍

‍WarumMulti-Faktor-Authentifizierungslösungen für die Sicherheit wichtig sind

Das Hauptziel von Multi-Faktor-Authentifizierungslösungen besteht darin, die Unternehmenssicherheit zu erhöhen und unbefugten Benutzern den Zugriff auf ein Gerät, eine Anwendung oder ein Netzwerk zu erschweren. Zusammengenommen erhöhen diese Faktoren die Sicherheit, dass ein Benutzer wirklich derjenige ist, für den er sich ausgibt. Mit anderen Worten: Sie erhöhen die Wahrscheinlichkeit, dass der Benutzer oder Mitarbeiter, der den Zugriff beantragt, echt und autorisiert ist.

Sie erschweren es einem Angreifer, in das System einzudringen, denn selbst wenn es ihm gelingt, einen Faktor (häufig das Kennwort) zu kompromittieren, muss er noch andere Barrieren überwinden, bevor er Zugang erhält. Solche Lösungen verringern also die Wahrscheinlichkeit erfolgreicher Cyberangriffe. Und das ist der Hauptgrund, warum es wichtig ist, standardmäßig eine Mehrfaktor-Authentifizierung einzusetzen.

‍Multi-Faktor-Authentifizierungslösungen für starke Kundenauthentifizierung: Regulatorische Anforderungen

Multifaktor-Authentifizierungslösungen werden zunehmend als unerlässlich angesehen, um eine starke Kundenauthentifizierung (SCA) zu gewährleisten, insbesondere in Zahlungssystemen. Die technischen Regulierungsstandards (RTS) der EU-Zahlungsdiensterichtlinie (PSD2) verlangen beispielsweise von allen an der Verarbeitung von Zahlungen beteiligten Unternehmen die Implementierung von Multi-Faktor-Authentifizierungslösungen, um die Vertraulichkeit und Integrität der Zahlungstransaktionen der Nutzer zu schützen.

Abgesehen von den PSD2-RTS für SCA gibt es mehrere andere regulatorische Standards und Richtlinien, die den Einsatz von Multi-Faktor-Authentifizierungslösungen vorschreiben (oder empfehlen):

‍- NIST SP 800-63B
- Payment Card Industry Data Security Standard (PCI DSS) ‍
- ISO/IEC 27001 - Information Security Management Standard ‍
- Defense Federal Acquisition Regulation Supplement (DFARS) ‍
- ISO/IEC 29115 - Entity authentication assurance framework

‍UnterschiedlicheAuthentifizierungsfaktoren: Risikovergleich

Nicht alle Authentifizierungsfaktoren sind gleich. Einige bergen mehr Risiken als andere und erhöhen die Anfälligkeit des Unternehmens für Cyberangriffe, Datenschutzverletzungen und sogar Erpressungsversuche.

Der IDEE IAM-Risikorechner ist eine einfache und zuverlässige Möglichkeit für Unternehmen, die Risiken verschiedener Authentifizierungsfaktoren und Kontrollen zu vergleichen. Die folgende Tabelle zeigt einen solchen Vergleich:

Um das Risiko Ihres Unternehmens bei der Verwendung verschiedener Authentifizierungsfaktoren zu analysieren, können Sie hier den IAM-Risikorechner von IDEE nutzen.

‍Nachteilevon Multi-Faktor-Authentifizierungslösungen

Multi-Faktor-Authentifizierungslösungen bieten eine höhere Sicherheit als Ein-Faktor-/Passwort-basierte Lösungen. Sie haben jedoch auch einige Nachteile.

Viele verwenden immer noch Kennwörter als einen Authentifizierungsfaktor. Passwörter können leicht kompromittiert oder gestohlen werden, was das Risiko für das Unternehmen erhöht. Der Besitzfaktor, sei es ein OTP-Token, ein Schlüsselanhänger oder eine Zugangskarte, kann verloren gehen oder gestohlen werden, was nicht nur die Sicherheitsrisiken erhöht, sondern auch die IT-Teams mit Ersatzanfragen belastet. Oftmals führen sie auch zu Reibungsverlusten in der Benutzererfahrung. Biometrische Faktoren bieten die höchste Sicherheit. Allerdings zögern die Nutzer (verständlicherweise), sie zu verwenden, weil sie Bedenken wegen der Verletzung der Privatsphäre haben.

Die beste Möglichkeit, diese Schwächen zu überwinden, ist mit passwortlosen Null-Vertrauen Multi-Faktor-Authentifizierung. Die passwortlose MFA verlässt sich nicht auf gespeicherte Geheimnisse, um Benutzer zu validieren oder zu authentifizieren. In Verbindung mit einem mobilen Authentifikator bietet die passwortlose MFA, die Biometrie und Besitz kombiniert, sehr hohe Sicherheit. Außerdem ist sie einfach zu implementieren, da sie nur das Smartphone des Nutzers und keine zusätzliche Hardware erfordert. Da die Nutzer bereits mit ihren Smartphones vertraut sind, ist die passwortlose MFA zudem reibungsarm und einfach zu bedienen.

‍Abschluss

Lösungen für die Multi-Faktor-Authentifizierung sind den herkömmlichen, passwortbasierten Authentifizierungssystemen um einiges voraus. Organisationen, die es mit ihrer Sicherheit ernst meinen, sollten ihre Einführung auf jeden Fall eher früher als später in Betracht ziehen.