Bei rund der Hälfte (49 Prozent) der im vergangenen Jahr gemeldeten Datenschutzverletzungen (und davon bei 86 Prozent aller Datenschutzverletzungen innerhalb von Web-Applikationen) wurden gestohlene Anmeldeinformationen wie Benutzernamen und Passwörter verwendet. In Deutschland wurden allein im ersten Quartal 2024 rund 3,2 Millionen Nutzerkonten erfolgreich gehackt. In der Schweiz waren es knapp 210.000. Sichere Authentifizierung scheint also für viele nach wie vor eine Herausforderung darzustellen.
Obwohl wir wissen, dass Passwörter geknackt, offengelegt oder gestohlen und dann gegen uns verwendet werden können, verlassen sich viele Personen und Unternehmen nach wie vor auf sie. Dafür gibt es verschiedene Gründe. Diese zu verstehen, ist essenziell dafür, unsere Passwörter zu stärken oder uns zu Gunsten von effektiveren Authentifizierungslösungen von ihnen zu lösen. Passwörter sind einfach praktisch: Sowohl Nutzer als auch IT-Administratoren sind mit ihrer Funktionsweise vertraut, sie sind einfach zu implementieren und erfordern dabei nur minimale Investitionen und bestehende Infrastruktur. Sie benötigen keine zusätzliche Hardware und nahezu jedes Gerät und jede Anwendung unterstützt Authentifizierung per Passwort.
Weniger Abhängigkeit von Passwörtern
Wer Alternativen zu Passwörtern in Betracht zieht, muss die Aspekte Sicherheit, Benutzerfreundlichkeit und Skalierbarkeit abwägen, um ein nahtloses und gleichzeitig sicheres Nutzererlebnis zu gewährleisten. Zu viel Komplexität bei den Authentifizierungsprozessen führt nur dazu, dass Nutzer Wege finden, diese zu umgehen. Unternehmen, die sich von Passwörtern lösen möchten, ohne ihre Nutzer zu überfordern, haben unter anderem die Wahl zwischen:
- Zwei-Faktor- beziehungsweise Multi-Faktor-Authentifizierung (2FA beziehungsweise MFA): Diese Methoden sind inzwischen zum Standard für viele Anwendungen geworden. Bei der 2FA müssen Nutzer zwei Faktoren zur Identifizierung vorzeigen, bevor sie Zugang zum Gerät oder der Anwendung erhalten. Üblicherweise umfassen diese Faktoren etwas, das sie wissen (ein Passwort) und etwas, über das sie verfügen (einen Code, den sie über ein mobiles Endgerät teilen können). Der zusätzliche Zeitaufwand und die Komplexität sind dabei vergleichsweise gering. MFA fügt zusätzliche Authentifizierungsebenen hinzu: etwas, das dem Nutzer eigen ist (biometrische Authentifizierung) oder etwas, das er ausführt (verhaltensbiometrische Authentifizierung). Allerdings haben in den vergangenen Jahren Angreifer zunehmend gelernt, 2FA und MFA durch gezieltes Phishing oder durch Ausnutzung von »MFA-Müdigkeit« zu umgehen, indem sie Nutzer mit gefälschten Anmeldebenachrichtigungen überfluten, bis diese eine davon durchwinken.
- Single Sign-On (SSO): SSO ermöglicht es Nutzern, mit nur einem Satz von Anmeldedaten auf verschiedene Geräte oder Anwendungen zuzugreifen. Dadurch wird der Bedarf an Passwörtern reduziert und das Benutzererlebnis verbessert. Für beispielsweise unternehmens- bzw. organisationsinterne Anmeldungen ist dieser Ansatz sehr effektiv, aber oftmals zeitaufwändig in der Implementierung und Einrichtung. SSO kann zudem riskant sein, wenn es auf Anmeldungen im Internet ausgeweitet wird und der Zugang über die Anmeldedaten für beliebte Dienste und Websites wie Google, Facebook, Yahoo, Apple oder Microsoft erfolgt. Die Anmeldung selbst wird dann zwar einfach. Wenn jedoch ein Konto bei einem dieser Anbieter kompromittiert wird, kann der Angreifer auf jedes andere Konto zugreifen, für den der SSO verwendet wird. Zudem werden häufig Daten zwischen den einzelnen Anbietern ausgetauscht, was vielen Nutzern nicht bewusst, aber auch nicht erwünscht ist.
- Biometrische Authentifizierung: Dazu zählen Methoden wie Fingerabdruckerkennung, Gesichtserkennung, Iris-Scan und Stimmerkennung. Verhaltensbiometrie hingegen stützt sich auf die Erkennung von Tipp- oder Gerätenutzungsverhalten. Biometrische Authentifizierungsmethoden bieten ein hohes Maß an Sicherheit bei gleichzeitiger Benutzerfreundlichkeit, da sich Nutzer keine Passwörter oder Antworten auf Sicherheitsabfragen merken müssen. Außerdem sind viele Nutzer bereits mit ihnen vertraut, da zahlreiche Geräte für Endnutzer bereits über die Möglichkeit zur biometrischen Authentifizierung verfügen, was den Einsatz und die Akzeptanz dieser Methoden auf unternehmensweiter Ebene erleichtern und beschleunigen kann. Allerdings ist nicht jedes Gerät für biometrische Authentifizierung geeignet und die Implementierung der erforderlichen Technologie kann sehr kostspielig sein. Außerdem müssen die Nutzer damit einverstanden sein, ihre biometrischen Daten im beruflichen Kontext zu nutzen.
- Hardware-Tokens: Diese physischen Geräte erzeugen einmalige, oft zeitlich befristete Codes oder kryptografische Schlüssel für die Authentifizierung als zusätzliche Sicherheitsebene für die Anmeldung. Ein Angreifer bräuchte physischen Zugriff auf den Token und müsste außerdem die Anmeldedaten des Nutzers kennen, um Zugang zu seinem Konto zu erhalten. Der Nachteil: Ein vergessenes Passwort kann einfach zurückgesetzt werden, aber ein verlorener Hardware-Token muss ersetzt werden. In der Zwischenzeit muss zudem ein alternativer Backup-Prozess für die Anmeldung eingerichtet werden.
- Zertifikatsbasierte Authentifizierung: Dieser Ansatz basiert auf digitalen Zertifikaten, die von einer Zertifizierungsstelle ausgestellt werden, in Kombination mit Public-Key-Kryptographie zur Überprüfung und Verifizierung der Benutzeridentität. Das Zertifikat speichert identifizierungsrelevante Informationen und einen Public Key, während der Nutzer selbst über einen virtuellen Private Key verfügt. Diese Authentifizierungsmethode bietet sich beispielsweise in Fällen an, in denen Unternehmen Auftragnehmer beschäftigen, die temporären Zugang zu ihrem Netzwerk benötigen. Die Implementierung dieser Methode kann allerdings vergleichsweise kosten- und zeitaufwändig sein.
Darüber hinaus existiert noch ein weiterer, dynamischer Ansatz: die sogenannte risikobasierte Authentifizierung. Dabei wird bei einem Anmeldeversuch zunächst das damit verbundene Risiko eines unbefugten Zugriffs auf Basis verschiedener Faktoren wie Benutzerverhalten, Standort und Geräteinformationen ermittelt und die Authentifizierungsanforderungen entsprechend angepasst.
Fazit
Um ein möglichst hohes Level an Authentifizierungssicherheit zu gewährleisten, sollte der Fokus der Verantwortlichen nicht auf der Abschaffung von Passwörtern liegen, sondern darauf, die Abhängigkeit von ihnen zu reduzieren. Passwortlose Ansätze stützen sich dafür auf alternative oder zusätzliche Authentifizierungsmethoden, die – wie die oben genannten – sicher und gleichzeitig benutzerfreundlich sind, oft als Teil eines umfassenderen »Zero Trust«-Ansatzes. Sowohl passwortloser Zugriff als auch Zero Trust tragen dazu bei, die Sicherheit von Geräten, Nutzern und Netzwerken in einer sich kontinuierlich verändernden Bedrohungslandschaft zu erhöhen, ohne die Benutzererfahrung zu beeinträchtigen – und in Kombination unsere Abhängigkeit von Passwörtern zu beenden.
1125 Artikel zu „Authentifizierung“
Mit der Entwicklung neuer Technologien werden Cyberbedrohungen immer ausgefeilter, und personenbezogene Daten bleiben eines der begehrtesten Ziele. Der Verizon Data Breach Investigations Report besagt, dass 49 % der Angriffe unter Verwendung von Anmeldedaten erfolgen. Traditionelle Authentifizierungsmethoden wie Benutzername und Passwort mit der standardmäßigen Multi-Faktor-Authentifizierung (MFA) reichen nicht mehr aus, um sensible Informationen und Systeme vor…
Passwörter sind ein notwendiges Übel: Sie sind einerseits eine der wichtigsten Schutzmaßnahmen für unsere Online-Identitäten, jedoch auch oft kompliziert und schwer zu merken. Alternativ verwenden deshalb viele Menschen schwache oder leicht zu erratende Passwörter, was Cyberkriminellen Tür und Tor öffnet. Was wäre also, wenn wir uns nie wieder an ein Passwort erinnern müssten und trotzdem…
Identitätsbasierte Bedrohungen sind zu einer Hauptquelle für Angriffe und Datenschutzverletzungen geworden. Daher benötigen Unternehmen heute eine verbesserte Identitätserkennung und neue Strategien zur Bedrohungsabwehr, welche sich am besten durch die Implementierung eines identitätsbasierten Zero-Trust-Ansatzes erreichen lässt. Im Folgenden finden sich Grundlagen zur Funktionsweise des Zero-Trust-Modells sowie Best Practices zu dessen effektiver Implementierung. Was ist Zero…
Klassische Methoden der Multi-Faktor-Authentifizierung (MFA) reichen kaum noch aus, um Hacker fernzuhalten. Immer öfter gelingt es Angreifern, Sicherheitsmechanismen zu umgehen und Zugangsdaten zu erbeuten. Um Hackern das Handwerk zu legen, setzen Unternehmen vermehrt auf MFA. Die Kombination verschiedener Faktoren soll den Identitätsdiebstahl erschweren. Allerdings haben Angreifer mittlerweile eine Vielzahl von Taktiken entwickelt, um die…
Ingo Deutschmann, SVP Development bei BehavioSec, erklärt im Interview mit »manage it« wie Unternehmen – besonders jene im Finanzwesen – mithilfe der Analyse des Verhaltens ihrer Kunden eine sichere und kontinuierliche Authentifizierung implementieren können, die konform mit Datenschutzrichtlinien wie der DSGVO ist und gleichzeitig für eine bessere User Experience sorgt.
Mehr als 80 Prozent der Unternehmen haben mindestens einen vernachlässigten, internetbezogenen Workload, d.h. er läuft auf einem nicht unterstützten Betriebssystem oder ist seit mindestens 180 Tagen ungepatcht. Fast 25 % der Unternehmen verwenden keine Multi-Faktor-Authentifizierung um den Root-Benutzer ihrer Cloud-Accounts, den Super-Administrator, zu schützen. Fast die Hälfte der Organisationen hat Internet-Workloads, die Geheimnisse und…
In Zeiten von Identitätsdiebstahl aus Sicht der Spieler und dem Eröffnen mehrerer Online-Casino-Konten durch Spieler auf der anderen Seite, ist die 2FA für Spieler und den Casino Betreiber gleichermaßen wichtig. Der Diebstahl oder das Verlieren von Smartphone, iPad oder Tablet führen ohne 2FA zu einem erleichterten Zugang von Personen- und Zahlungsdaten. Weitere Gefahren sind Hacker,…
Biometrische Authentifizierungsfaktoren rangieren in Sachen Sicherheit vor PINs und Passwörtern. Deutsche nutzen dennoch im Schnitt mindestens acht Passwörter für mehr als zehn Accounts. Biometrie gewinnt bei deutschen Verbrauchern als Authentifizierungsmethode an Ansehen: 60 Prozent denken positiv über Biometrie und 42 Prozent der Deutschen halten die Authentifizierung per Stimme, Fingerabdruck oder Iris-Scan für den sichersten Weg,…
Studie: Digitalisierung ausbaufähig, intelligente Technologien im Kommen. Ihren Erfolg bei der Digitalisierung stufen Unternehmen in Deutschland, Österreich und der Schweiz wie im Vorjahr durchschnittlich als mittelmäßig ein [1]. Angesichts der großen Anstrengungen in diesem Bereich und der hohen Ausgaben für die Digitalisierung ist diese Bilanz ernüchternd. Als technologischer Trend zeigt sich, dass mehr als zwei…
Dass der Schurke ein streng gehütetes Passwort stiehlt, um noch so ausgefeilte Sicherheitsmaßnahmen zu umgehen, mutet auf den ersten Blick an wie ein Klischee aus einem Action- oder Spionagefilm. Aber die Realität ist in vielen Fällen näher an der Fiktion als es so manchem Unternehmen lieb ist. Tatsächlich nutzen böswillige Akteure häufig Passwörter, um Konten…
Nur 10 von 43 getesteten Webportalen bieten den Nutzern ausreichende Zwei-Faktor-Authentifizierung (2FA). Payback, dm, GMX, WEB.DE, Notebooksbilliger.de, Otto und Zalando fallen mit null Punkten durch. Posteo und Bitcoin.de bestehen als einzige deutsche Webseiten den Test. Dashlane gibt die Ergebnisse seines »2FA Power Rankings« bekannt. Die Rankings, für die die Verfügbarkeit von 2FA-Angeboten unter 43…
Das automatische Einfügen von Sicherheitscodes (AutoFill) ist eines der neuen Features von iOS 12, das im Herbst erscheinen wird. Damit soll eigentlich die Benutzerfreundlichkeit der Zwei-Faktor-Authentifizierung (2FA) verbessert werden. Tatsächlich aber ist es möglich, dass durch diese vermeintliche Verbesserung Anwender beim Online-Banking zum Opfer von Betrügereien werden: AutoFill umgeht den menschlichen Validierungsaspekt des Transaktionssignierungs- und Authentifizierungsprozesses.
Als alleinige Authentifizierungsmethode sind Passwörter nicht mehr zeitgemäß. Je komplexer Passwörter werden, desto aufwendiger sind sie zu verwalten. Bei der biometrischen Authentifizierung zeichnen sich eine immer größere Interoperabilität, offene Standards und wachsende Benutzerfreundlichkeit ab.
Cyberkriminelle, die versuchen sich in ein Unternehmen einzuhacken sind schon schlimm genug, aber viele geben sich als Mitarbeiter und Auftragnehmer aus, um dies zu tun. Sind Ihre Workforce-Authentifizierungssysteme dieser Herausforderung gewachsen? Andreas Baumhof, CTO bei ThreatMetrix, gibt drei hilfreiche Tipps, um die Cyberkriminellen zu stoppen: #1 Kennen Sie Ihre Auftragnehmer und Mitarbeiter Es gibt…
Das Gesicht als Barcode: Wie Face ID im Zusammenspiel mit weiteren Identifizierungsmethoden Sicherheit bietet. Smartphone-Hersteller wie Apple setzen bereits auf die Nutzeridentifizierung via Gesichtserkennung. Diese auf dem iPhone X verwendete Gesichtserkennungsmethode nennt sich Face ID und ersetzt auf dem Gerät Touch ID. Face ID entwickelt sich zunehmend zu einem Differenzierungsmerkmal für Unternehmen, die ihren Kunden…
Am 28. Januar findet der Europäische Datenschutztag statt – ein Aktionstag, der die Öffentlichkeit für Datenschutz und Privatsphäre sensibilisieren soll. Angesichts zunehmender Cyberangriffe und mangelnder Privatsphäre im Internet müssen private Daten noch besser geschützt werden. In diesem Jahr steht der Tag vor allem im Zeichen der Datenschutzgrundverordnung der EU (EU-DSGVO), die am 25. Mai in Kraft…
Egal ob der Finanzdienstleister Equifax oder unlängst der Video-Streamingdienst Netflix: Daten- und Identitätsdiebstahl haben Hochkonjunktur. Bei der jüngsten Phishing-Attacke gegen Netflix gelang es Kriminellen neben Kreditkarteninformationen auch die Anmeldedaten (Credentials) von Nutzern zu stehlen. Die daraus entstehenden Missbrauchsmöglichkeiten sind vielfältig und in ihrem Umfang kaum abzuschätzen. Es gibt aber Möglichkeiten, sich vor solchen Angriffen…
Die Eingliederung von Handys und Tablets ins immer verzweigtere Unternehmensnetzwerk stellt die IT-Sicherheit seit geraumer Zeit vor Herausforderungen. Im Zuge dieser Entwicklung ist das Passwort als Authentifizierungsmethode obsolet, da es schnell verloren oder gestohlen werden kann, wodurch Außenstehende zu leicht Zugang zum System erhalten können. Die Multi-Faktor-Authentifizierung gilt als deutlich probateres Mittel, da es einen…
Süddeutsche Zeitung berichtet über weitreichenden Hackerangriff. PSD2-Richtlinie verschärft Anforderungen an eine starke Authentifizierung. Multi-Faktor Out-of-Band Authentifizierungsverfahren sicherste Option. Bei der südafrikanischen Nedbank war seit Einführung der Out-of-Band-Technologie im Jahr 2012 kein einziger Phishingangriff erfolgreich. Wie die Süddeutsche Zeitung in ihrer Ausgabe vom 3. Mai 2017 berichtete, ist es kriminellen Hackern erneut gelungen, Sicherheitslücken zu…