La Multifaktor-Authentifizierung ist zu einer Grundvoraussetzung geworden. Eine halbwegs sichere Passwortstrategie ist heutzutage unerlässlich. Angesichts der Vielzahl an Datenlecks, immer raffinierteren Phishing-Angriffen und automatisierten Attacken ist es fast so, als würde man die Haustür einen Spalt offen lassen, wenn man sich nur auf sein eigenes Wissen verlässt.
In den letzten Jahren erschienen Neue Authentifizierungsmethoden, Richtlinien von Organisationen wie PCI SSC und Standards wie FIDO2 oder WebAuthn, die die Landschaft grundlegend verändert haben. Das Ergebnis ist, dass es heute viele verschiedene Möglichkeiten gibt, die Identität eines Benutzers zu verifizieren, mit sehr unterschiedlichen Sicherheits- und Komfortniveaus. Es geht nicht mehr nur darum, die Multi-Faktor-Authentifizierung (MFA) zu aktivieren, sondern die richtige Kombination von Faktoren auswählen abhängig vom Risiko, dem Kontext und der Art der Dienstleistung.
Grundlagen der Identifizierung, Authentifizierung und Autorisierung
Bevor man die Methoden vergleicht, sollte man bedenken, dass Authentifizierung ist nicht dasselbe wie sich selbst zu identifizieren oder sich selbst zu autorisieren.obwohl in der Praxis alles Teil desselben Zugriffsablaufs ist.
Zuerst wird die Identifizierung bedeutet einfach die Zuweisung einer eindeutigen Identität. zu einer Person, einem System oder einem Konto: ein Benutzername, eine Mitarbeiternummer, ein Zertifikat usw. Es ist die Frage „Wer bist du?“, ohne vorher zu überprüfen, ob man tatsächlich diese Person, dieses System oder dieses Konto ist.
La Authentifizierung ist der Prozess der Überprüfung, ob eine Identität gültig ist.Dazu fordert das System Sie auf, einen oder mehrere Authentifizierungsfaktoren anzugeben, die nur Sie kennen, besitzen oder sein sollten. Bei erfolgreicher Prüfung bestätigt das System Ihre Identität.
Von último, la Die Autorisierung definiert, worauf der Benutzer tatsächlich zugreifen kann. Nach der Authentifizierung: Welche Anwendungen er/sie sieht, auf welche Daten er/sie zugreifen kann, ob er/sie andere Benutzer verwalten kann usw. Dies kann durch Tools ergänzt werden, die Ihnen Folgendes ermöglichen: Wer hat Zugriff auf Ihre Dateien? und somit auch die Überprüfung von Berechtigungen und Freigaben.
Das kohärente Management dieser drei Elemente bildet das, was als bekannt ist Identitäts- und Zugriffsverwaltung (IAM)In Rahmenwerken wie PCI DSS wird dies hinsichtlich spezifischer Zugriffskontrollanforderungen gründlich geprüft. In Windows-Umgebungen wird dies üblicherweise mit dem Gruppenrichtlinien-Editor.
Authentifizierungsfaktoren: etwas, das Sie wissen, besitzen oder sind
Jedes moderne Authentifizierungssystem dreht sich um drei Hauptgruppen von Faktorendie kombiniert werden können, um Doppel- oder Mehrfaktorsysteme zu erstellen:
Einerseits ist „etwas, das du weißt“Passwörter, PINs, Passphrasen oder Sicherheitsfragen. Ihr Hauptvorteil liegt in ihrer einfachen Anwendung und der Vertrautheit mit den Zugangsdaten, doch sie sind auch das bevorzugte Ziel von Angreifern, sei es durch Brute-Force-Angriffe, Phishing, Datenbanklecks oder Credential Stuffing.
Zweitens finden wir „etwas, das du hast“Dies könnte ein Mobiltelefon sein, an das eine SMS gesendet wird, eine Authentifizierungs-App, eine Smartcard, ein physischer Token oder ein FIDO-Schlüssel. In diesem Fall müsste der Angreifer dieses Element stehlen oder klonen, um den Filter zu umgehen, was die Sicherheit theoretisch deutlich erhöht.
Die dritte Kategorie ist „etwas, das du bist“Das heißt, biometrische Merkmale wie Fingerabdrücke, Gesichtserkennung, Iris-Scans oder sogar Verhaltensmerkmale (Tippstil, Gangart, Stimmmuster). Sie sind zwar sehr praktisch und schwer zu fälschen, stellen aber ernsthafte Herausforderungen für Datenschutz und Datenverwaltung dar: Ein kompromittierter Fingerabdruck lässt sich nicht einfach „ändern“.
Darüber hinaus gewinnen Kontext- oder Verhaltensfaktoren zunehmend an Bedeutung, die manchmal zusammengefasst werden als „etwas, das man tut“ oder „etwas, das um einen herum geschieht“Standort, Gerät, von dem aus Sie sich verbinden, übliche Tageszeit, bekannte IP-Adresse usw. Für sich genommen gelten diese Faktoren in der Regel nicht als "starke" Faktoren, sie bilden jedoch die Grundlage für eine risikobasierte adaptive Authentifizierung.
Passwörter, PINs und wissensbasierte Authentifizierung
Der Aufruf Wissensbasierte Authentifizierung (KBA) Es ist das traditionelle Modell: Man gibt einen Benutzernamen und ein Passwort ein oder beantwortet eine Frage wie „In welcher Stadt wurden Sie geboren?“. Es ist extrem kostengünstig zu implementieren, wird von jeder Plattform unterstützt und die Nutzer kennen die Funktionsweise bereits.
Das Problem besteht darin, dass in der Praxis Passwörter werden in großem Umfang wiederverwendet. Die Sicherheit von Passwörtern zwischen Diensten ist oft unsicher. Verschiedene Studien zeigen, dass ein großer Prozentsatz der Nutzer dasselbe Passwort auf Dutzenden von Websites verwendet. Weist also nur eine Website eine Sicherheitslücke auf, sind alle anderen Konten durch Credential-Stuffing-Angriffe gefährdet.
Die Die herkömmlichen Sicherheitsfragen sind noch schlimmer.Viele Antworten lassen sich durch kurze Recherchen in sozialen Medien oder öffentlichen Quellen finden, andere sind relativ leicht zu erraten. Daher wird empfohlen, diese Methoden auf sehr spezifische Fälle zu beschränken oder sie durch andere Recherchemechanismen zu ersetzen.
Die PINs sind ein interessanter SonderfallRein theoretisch besitzt eine vierstellige PIN nur eine geringe Entropie und würde die üblicherweise an Passwörter gestellten Komplexitätsanforderungen nicht erfüllen. Die aktuellen PCI-SSC-Richtlinien stellen jedoch klar, dass eine PIN als „etwas, das man weiß“ akzeptiert werden kann, sofern sie mit zusätzlichen Sicherheitsmaßnahmen wie Kontosperrungen nach mehreren Fehlversuchen, progressiven Zeitüberschreitungen und sicherer Speicherung kombiniert wird.
Wenn es nicht möglich ist Sichern Sie diese PIN mit Anti-Brute-Force-Maßnahmen.Daher muss es die gleichen Kriterien wie ein sicheres Passwort erfüllen: eine ausreichend hohe Mindestlänge, Verbot trivialer Muster, Verlauf usw. Andernfalls wird es zu einer leicht ausnutzbaren Schwachstelle.
Einmalcodes: SMS, E-Mail und vorab generierte Listen
Eine der am weitesten verbreiteten Methoden der MFA ist nach wie vor die Verwendung von Einmalcodes (OTP) Die Übermittlung erfolgt über verschiedene Kanäle oder erfolgt durch vorheriges Ausdrucken. Dies ist ein zweiter Faktor, der für den Nutzer sehr einfach zu verstehen ist und den viele Dienste standardmäßig anbieten.
Im Fall von OTP per SMS oder SprachanrufDer Vorgang ist einfach: Nach Eingabe von Benutzername und Passwort sendet das System einen mehrstelligen Code an die registrierte Telefonnummer. Der Benutzer gibt den Code ein, und bei Übereinstimmung wird der Zugriff gewährt. Im Wesentlichen wird so überprüft, ob Sie noch die Kontrolle über diese Telefonnummer haben.
Wir können auch finden OTPs werden per E-Mail versendetDies kommt zwar seltener vor, ist aber dennoch vorhanden. Das Risiko liegt auf der Hand: Wenn Ihr E-Mail-Passwort mit dem Passwort des zu schützenden Kontos übereinstimmt, ist die zusätzliche Sicherheit dahin, da der Angreifer zuerst auf Ihren Posteingang zugreifen und den Code problemlos auslesen kann.
Ein klassischerer Ansatz ist der des vorab generierte CodelistenDiese Codes werden von einigen Banken in gedruckter Form bereitgestellt oder können von bestimmten Diensten (wie z. B. großen Online-Plattformen) zur Kontowiederherstellung heruntergeladen werden. Jeder Code ist nur einmal verwendbar; für weitere Versuche muss ein anderer Code aus der Liste verwendet werden.
Diese Listen sind ziemlich sicher gegen Abhörangriffe, weil Sie werden zu ganz bestimmten Zeiten generiert und ausgeliefert.Der entscheidende Punkt ist die Aufbewahrung: Wenn Sie das Dokument in einer unverschlossenen Schublade aufbewahren oder ein Foto davon machen und es unverschlüsselt in der Galerie lassen, könnte jeder, der physischen Zugriff auf Ihre Sachen hat, Ihre Konten oder Gelder stehlen.
Um diese Listen effektiv zu verwalten, ist es ratsam, Bewahren Sie sie an einem sicheren physischen Ort oder in einem verschlüsselten digitalen Container auf.Beispielsweise die sicheren Notizen in einem Passwortmanager. Allerdings weisen sie ein deutliches Skalierungsproblem auf: Bei vielen Transaktionen oder vielen Konten stoßen sie schnell an ihre Grenzen und werden schwer zu verwalten. Daher werden sie zunehmend weniger als primäre Methode und mehr als Notfallmechanismus eingesetzt.
Authentifizierungs- und TOTP-Anwendungen
Die neuesten Richtlinien und praktischen Erfahrungen stimmen darin überein, dass Zeitbasierte Authentifizierungsanwendungen (TOTP) Sie bieten ein sehr gutes Gleichgewicht zwischen Sicherheit und Komfort, weshalb sie wann immer möglich als „Standardoption“ empfohlen werden.
Das Prinzip ist einfach: während der Entladung des zweiten Faktors, Der Dienst und Ihre Authentifizierungs-App verwenden denselben geheimen Schlüssel. (üblicherweise durch Scannen eines QR-Codes). Anschließend generieren sowohl die App als auch der Server alle 30 Sekunden denselben 6- oder 8-stelligen Code, ohne dass eine Verbindung erforderlich ist – dank eines Standardalgorithmus.
Werkzeuge wie Google Authenticator, Microsoft Authenticator, Authy, Aegis oder Duo Mobile Sie ermöglichen die Registrierung mehrerer Konten und die zentrale Verwaltung all Ihrer Codes. Einige bieten verschlüsselte Cloud-Backups oder die Synchronisierung zwischen Geräten, was sehr praktisch ist, aber sorgfältig konfiguriert werden sollte, um neue Risiken zu vermeiden.
Es gibt auch Passwortmanager, die TOTP integrieren (1Password, Bitwarden, Dashlane und andere). In diesen Fällen speichert dasselbe Produkt das Passwort und generiert den temporären Code, was die Anmeldung extrem komfortabel macht. Aus rein sicherheitstechnischer Sicht geht jedoch ein Teil der Unabhängigkeit der Authentifizierungsfaktoren verloren, da beide auf einem einzigen Fehlerpunkt beruhen.
In jedem Fall bieten TOTPs im Vergleich zu SMS oder E-Mail klare Vorteile: Sie sind nicht vom Mobilfunknetz oder dem Betreiber abhängig.Sie sind weniger anfällig für SIM-Swapping-Angriffe, funktionieren ohne Netzabdeckung und legen keinen Code auf leicht abfangbaren Kanälen offen.
Biometrie: Fingerabdruck, Gesicht, Stimme und andere Merkmale
La Biometrische Authentifizierung ist keine Science-Fiction mehr. zum Bestandteil des Alltags werden: Fast jedes aktuelle Smartphone ermöglicht das Entsperren per Fingerabdruck oder Gesicht, und viele Laptops verfügen über Fingerabdruckleser oder Kameras, die mit einer sicheren Gesichtserkennung kompatibel sind.
Biometrie basiert auf physische oder Verhaltensmerkmale, die schwer zu reproduzieren sindFingerabdrücke, Gesichtszüge, Iris, Stimme, Tippdynamik, Gangart usw. Aus Sicht des Nutzers ist dies äußerst praktisch, da man sich nichts merken muss und der Zugriff reibungsloser verläuft.
Es gibt jedoch wichtige Nuancen. Die erste ist, dass Biometrische Daten sind von Natur aus sensibel.Gesichts- oder Fingerabdrücke lassen sich nicht „widerrufen“, wenn sie kompromittiert wurden. Sie dienen nicht nur der Authentifizierung, sondern auch der rechtlichen Identifizierung. Daher müssen ihre Erfassung, Speicherung und Verarbeitung mit einem sehr hohen Sicherheitsstandard erfolgen.
Aus diesem Grund beschränken die meisten modernen Architekturen biometrische Verfahren auf lokale Authentifizierungsprozesse auf dem Gerät selbstWenn Sie beispielsweise Face ID oder einen Fingerabdruckleser verwenden, werden die Daten in einem sicheren Bereich auf dem Telefon gespeichert und verarbeitet und nicht an den externen Dienst gesendet. Übertragen wird lediglich ein „Ja“ oder „Nein“ vom Betriebssystem, das bestätigt, dass der berechtigte Nutzer das Gerät entsperrt hat.
Im Falle einer reinen biometrischen Fernauthentifizierung ist der Dienst, der diese Daten empfängt, derjenige, der sie verwendet. Es muss dem Gerätehersteller oder dem Systemanbieter implizit vertrauen.Dies ist etwas, wozu nur wenige Organisationen bereit sind, außer in sehr geschlossenen Ökosystemen. Ein Paradebeispiel ist Apple, das die vollständige Kontrolle über Hardware und Software besitzt und Mechanismen wie Face ID in Verbindung mit Zugriffstasten anbietet.
Obwohl die Biometrie Nachteile hat, bietet sie viele Vorteile. Ein entscheidender Vorteil: Es reduziert die Reibung drastisch.Ein Nutzer, der sein Mobiltelefon hunderte Male am Tag mit dem Finger oder dem Gesicht entsperrt, ist viel eher bereit, die Zwei-Faktor-Authentifizierung zu akzeptieren, wenn dies die zusätzliche „Unannehmlichkeit“ ist, die er in Kauf nehmen muss, anstatt jedes Mal kilometerlange Passwörter einzugeben, wenn er auf sein Gerät zugreift.
Standort-, kontext- und risikobasierte Authentifizierung (RBA)
Neben den klassischen Faktoren spielen in vielen modernen Systemen weitere Faktoren eine Rolle. Risikobasierte Authentifizierung (RBA)die Anforderungen dynamisch an das anzupassen, was sie in Echtzeit beobachten.
Im Wesentlichen analysiert das System Kontextuelle Variablen wie Standort, Gerät, IP-Adresse, Tageszeit oder NutzungsmusterWenn sich jemand von seinem üblichen Laptop, zur üblichen Zeit und über das Büronetzwerk einloggt, wird das Risiko als gering eingeschätzt, und es kann sein, dass er außer seinem Passwort oder seiner SSO-Sitzung nichts Weiteres angeben muss.
Wenn jedoch ein Anmeldung aus einem anderen Land, zu einer ungewöhnlichen Zeit oder von einem nicht erkannten GerätDie Risikoberechnungs-Engine kann die Anforderungen erhöhen und einen zweiten zusätzlichen Faktor verlangen, wie zum Beispiel ein Einmalpasswort (OTP), eine App-Genehmigung oder eine biometrische Überprüfung.
Dieser Ansatz hat den großen Vorteil, Ausgewogenheit zwischen Sicherheit und BenutzerfreundlichkeitEs bestraft den Nutzer nicht mit unnötigen Schritten, wenn alles in Ordnung zu sein scheint, sondern schlägt Alarm, wenn etwas verdächtig erscheint. Für Banken, große Online-Plattformen oder Unternehmen mit Tausenden von Mitarbeitern ist es praktisch Standard.
Der größte Nachteil ist, dass Es ist nicht trivial, es zu entwerfen oder anzupassen.Sind Risikoschwellenwerte falsch kalibriert, kann es passieren, dass legitime Nutzer ständig zur Multi-Faktor-Authentifizierung aufgefordert werden oder – im anderen Extremfall – verdächtiges Verhalten übersehen wird. Hier spielen fortschrittliche Analysen und zunehmend auch künstliche Intelligenz eine Schlüsselrolle bei der Erkennung von Anomalien und ungewöhnlichen Mustern.
Multifaktor-Authentifizierung: Multifaktor vs. Mehrschritt
Wenn wir zwei oder mehr verschiedene Faktoren kombinieren, sprechen wir von Multi-Faktor-Authentifizierung (MFA)Die Idee dahinter ist, dass ein Angreifer, selbst wenn er einen der Faktoren (zum Beispiel das Passwort) knackt, immer noch einen zweiten unabhängigen Filter (wie ein Einmalpasswort oder einen physischen Schlüssel) überwinden muss.
Aus Compliance-Sicht verknüpfen Rahmenwerke wie PCI DSS das Konzept der Multi-Faktor-Authentifizierung mit sehr spezifischen Anforderungen: Fernzugriff Zugriff auf interne Netzwerke, Zugriff auf Kartendatenumgebungen, Konten mit erhöhten Berechtigungenetc. In diesen Fällen ist es nicht mehr akzeptabel, sich ausschließlich auf Benutzername und Passwort zu verlassen.
Jahrelang herrschte große Verwirrung über den Unterschied zwischen Mehrstufige Authentifizierung und PCI-konforme MFAÄltere Richtlinien verlangten, dass alle Faktoren ausgewertet werden, ohne dass der Benutzer eine Teilrückmeldung erhält, d. h., dass ihm nicht mitgeteilt wird, ob das Passwort korrekt ist, bevor nach dem zweiten Faktor gefragt wird.
Die aktuellsten Versionen des Leitfadens präzisieren die Kriterien: Es ist zulässig, den Erfolg eines Faktors zu bestätigen, bevor der nächste angefordert wird.Vorausgesetzt, der Zugriff wird erst gewährt, nachdem alle Benutzer erfolgreich verifiziert wurden. Dies bedeutet, dass Abläufe wie „zuerst Passwort, dann OTP“ zulässig sind, selbst wenn die Gültigkeit des Passworts bestätigt wurde.
Dennoch bleibt es dabei Eine gute Vorgehensweise, um dieses detaillierte Feedback zu reduzieren.: entweder die Gültigkeit eines Faktors erst dann offenzulegen, wenn alle Faktoren vorgelegt wurden, oder sich zuerst mit einem Einmal-Sitzungsfaktor (OTP, phishingresistenter Schlüssel) zu authentifizieren, bevor andere statische Faktoren wie das Passwort validiert werden.
FIDO U2F / FIDO2 Hardware-Schlüssel und Passkeys
Angesichts der Probleme von Phishing und Man-in-the-Middle-Angriffen durch viele traditionelle Methoden haben sich Lösungen wie die folgenden herausgebildet: FIDO U2F/FIDO2-SicherheitsschlüsselBekannt geworden durch Geräte wie YubiKey, Google Titan oder Modelle von Feitian und SoloKeys.
Diese Schlüssel implementieren Public-Key-Kryptographie und werden während der Registrierung Sie generieren einen eindeutigen Schlüssel, der jedem Dienst zugeordnet ist.Bei der erneuten Authentifizierung sendet der Server eine Anfrage, die der Schlüssel nur dann signiert, wenn Domain und Kontext mit den registrierten Daten übereinstimmen. Versucht jemand, Sie mit einer gefälschten Website zu täuschen, erkennt der Schlüssel dies und signiert nichts. Viele Plattformen nutzen dieses Verfahren. TPM 2.0 zum Schutz der mit dem Gerät verbundenen Schlüssel.
Diese Art der Authentifizierung überprüft somit nicht nur den Benutzer, sondern auch Es überprüft auch den Dienst selbst.Sie bieten einen sehr hohen Schutz vor Phishing-, Replay- und Relay-Angriffen. Deshalb gelten sie in vielen Organisationen als Goldstandard für den Schutz kritischer Konten, administrativer Zugangsdaten und des E-Mail-Zugangs im Unternehmen.
Aus Sicht des Nutzers ist der Vorgang überraschend einfach: Schließen Sie den Schlüssel an den USB-Anschluss an oder bringen Sie ihn per NFC in die Nähe. Berühren Sie einfach den kapazitiven Sensor Ihres Smartphones, und schon sind Sie fertig. Dahinter steckt zwar komplexe Kryptografie, aber die Geste ist einfacher als die Eingabe eines Einmalpassworts.
Auf dieser Grundlage hat die FIDO-Allianz die Zugriffsschlüssel oder KennschlüsselDiese Systeme gehen noch einen Schritt weiter, indem sie Passwörter direkt ersetzen. Der private Schlüssel wird auf dem Gerät gespeichert (oder verschlüsselt und über die Cloud des Anbieters synchronisiert), und der Benutzer authentifiziert sich, indem er das Gerät per Biometrie oder PIN entsperrt.
Passkeys bleiben systembedingt multifaktoriell, da sie kombinieren etwas, das Sie besitzen (das Gerät), kombiniert mit etwas, das Sie sind oder wissen (Biometrie oder PIN).Sie machen das herkömmliche Passwort überflüssig. Immer mehr große Dienste bieten sie an, obwohl das Ökosystem noch etwas fragmentiert ist und jede Plattform unterschiedliche Nuancen implementiert.
SSO, tokenbasierte Authentifizierung und digitale Zertifikate
In Unternehmensumgebungen ist es üblich, diese Faktoren mit Mechanismen wie den folgenden zu kombinieren: Einmaliges Anmelden (SSO)Dadurch können Sie sich einmalig bei einem vertrauenswürdigen Identitätsanbieter (z. B. Azure AD, Okta, Google Workspace) anmelden und auf mehrere Anwendungen zugreifen, ohne die Anmeldeinformationen ständig wiederholen zu müssen.
Bei diesen Systemen stellt der Identitätsanbieter Probleme. Sicherheitstoken (wie z. B. JWT) Nach einer starken initialen Authentifizierung (idealerweise mit MFA) werden diese Token den integrierten Anwendungen vorgelegt, um Ihre Identität zu beweisen, ohne dass Sie bei jedem Schritt Ihr Passwort erneut eingeben müssen.
Die tokenbasierte Authentifizierung reduziert die Serverlast und ermöglicht zustandslose Architekturen Weit verbreitet in modernen APIs und Anwendungen. Die Verwaltung von Token-Ablauf, -Erneuerung und -Widerruf muss jedoch sehr gut durchdacht sein, um zu verhindern, dass ein gestohlener Token zu einem unbegrenzten Zugang wird.
Eine weitere sehr robuste Methode, insbesondere für interne Netzwerke und VPN-Zugänge, ist die Authentifizierung auf Basis digitaler ZertifikateAnstelle eines Passworts legt der Benutzer ein von einer Unternehmenszertifizierungsstelle ausgestelltes Zertifikat vor, dessen Gültigkeit der Server kryptografisch überprüft.
Dieser Ansatz ist äußerst robust gegenüber vielen gängigen Angriffen, aber er beinhaltet Aufrechterhaltung einer gut verwalteten Public-Key-Infrastruktur (PKI).Ausstellung, Verlängerung, Widerruf, Nutzungsrichtlinien, Geräteverwaltung usw. Deshalb ist es in der Regel Hochsicherheitsumgebungen vorbehalten, in denen sich der Aufwand lohnt.
Sitzungsverwaltung und Zero Trust
Sobald der anfängliche Authentifizierungsprozess abgeschlossen ist, stellen fast alle Systeme eine Verbindung her. Eine Sitzung, die das Vertrauensverhältnis darstellt. zwischen dem Benutzer und dem Dienst. Anstatt bei jedem Klick eine Multi-Faktor-Authentifizierung (MFA) anzufordern – was unpraktisch wäre – wird diese Sitzung wiederverwendet, um nachfolgende Anfragen zu autorisieren.
Dies führt dazu, dass sich viele Angreifer auf Folgendes konzentrieren: aktive Sitzungen stehlen oder übernehmen durch Cookies, Tokens oder ähnliche Mechanismen, anstatt die Multi-Faktor-Authentifizierung direkt zu umgehen. Deshalb ist es so wichtig, die MFA durch gute Sitzungsverwaltungspraktiken zu ergänzen.
Unter den üblichen Empfehlungen finden wir Sitzungen bestimmten Benutzern und Geräten zuordnen Um eine Wiederverwendung von verschiedenen Geräten zu verhindern, sollten angemessene Leerlauf-Timeouts angewendet, bei besonders sensiblen Vorgängen eine erneute MFA-Authentifizierung erzwungen und stets verschlüsselte Kanäle wie TLS verwendet werden.
Alle diese Elemente passen sehr gut zu dem Ansatz von Zero-Trust-Architektur (ZTA)Hierbei wird nicht einfach aufgrund der Zugehörigkeit zum Unternehmensnetzwerk implizites Vertrauen vorausgesetzt. Jede relevante Anfrage wird anhand von Kontext, Gerätestatus und Identität bewertet, wodurch die Auswirkungen einer potenziell kompromittierten Sitzung minimiert werden.
Praktischer Vergleich von MFA-Methoden und Empfehlungen
Angesichts all dessen ist es angemessen zu fragen Welche Multi-Faktor-Authentifizierungsmethoden sind am besten geeignet? und wie man für jeden Anwendungsfall die richtige Kombination auswählt, ohne den Benutzer in den Wahnsinn zu treiben.
Wenn wir die Faktoren vom schwächsten zum stärksten ordnen, können wir sie ganz unten platzieren. SMS, E-Mail und SicherheitsfragenSie erfüllen zwar die formale Anforderung „etwas, das man besitzt/weiß“, sind aber in hohem Maße anfällig für SIM-Swapping, Weiterleitung, Phishing und Passwortwiederverwendung.
Auf mittlerem Niveau befinden sich die TOTP-Anwendungen, einfache physische Token und bestimmte biometrische Methoden Sie sind gut implementiert, bieten ein gutes Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit und gelten als Standardempfehlung für den Schutz der meisten persönlichen Konten und vieler Unternehmenskonten.
Oben finden wir die FIDO U2F/FIDO2-Schlüssel und phishingresistente PasskeysDiese Methoden kombinieren robuste Kryptografie, Domänenbindung und gerätebezogene Authentifizierung. Für sensible Konten – beispielsweise im Finanzbereich, in der Systemadministration oder beim Zugriff auf kritische Dashboards – sind sie die bevorzugte Methode.
Ab diesem Zeitpunkt sollte die Wahl eines bestimmten Unternehmens Folgendes berücksichtigen: Welche Art von Daten schützt es, welches Maß an Reibungsverlusten können seine Nutzer tolerieren und über welches Budget verfügt es? um die Infrastruktur bereitzustellen und zu warten. Die meisten Organisationen kombinieren letztendlich mehrere Ansätze: starke MFA für sensible Zugriffe, SSO für den täglichen Komfort und RBA, um Sicherheit und Benutzerfreundlichkeit in Einklang zu bringen.
In jedem Szenario gibt es klare Übereinstimmungspunkte: Aktivieren Sie nach Möglichkeit die Multi-Faktor-Authentifizierung und priorisieren Sie Phishing-resistente Methoden. Wenn das Risiko es rechtfertigt, sollte man beispielsweise die Wiederherstellung von Konten sehr gut schützen. Erhalten Sie wieder Zugriff auf Windowsund die Benutzer darin zu schulen, zu verstehen, warum sie zu diesem "zweiten Schritt" aufgefordert werden und wie Betrugsversuche erkannt werden können.
In einem Umfeld, in dem Identitätsdiebstahl einen großen Anteil der Vorfälle ausmacht, ermöglicht die Stärkung der Authentifizierung mit geeigneten Methoden Folgendes: die Wahrscheinlichkeit einer Kontokompromittierung drastisch reduzieren ohne dabei ein zufriedenstellendes Benutzererlebnis zu beeinträchtigen, und ist zu einer Grundvoraussetzung sowohl für einzelne Benutzer als auch für jede Organisation geworden, die Sicherheit auch nur ansatzweise ernst nehmen will.
