Single-Sign-On und Zwei-Faktor-Authentifizierung – kombiniert sicher
Weil das Passwort die einzige Hürde vor dem illegalen Zugriff auf die IT ist, sollten Unternehmen auf eine Zwei-Faktor-Authentifizierung setzen.
Hacken für Anfänger: Wer den Zugriff auf einen beliebigen Webdienst einmal mit den Passwörtern „12345678“ oder „password“ versucht, wird damit häufig Erfolg haben. Das hat einen Grund, denn sichere Passwörter sind schwer zu merken, da sie aus einer zufälligen Kombination aus Ziffern, Sonderzeichen, Groß- und Kleinbuchstaben bestehen sollten.
Also nutzen viele Leute unsichere Einfachpasswörter. Die übliche Reaktion in einem Unternehmen besteht jetzt in der technischen Umsetzung allerstrengster Passwortregeln. Leider entsteht dadurch häufig nur eine Scheinsicherheit, die recht einfach ausgehebelt werden kann: Das Umdrehen der Schreibtischauflage hilft dem Cyberkriminellen oft bereits.
Aus Sicht der Anwender sind Passwörter maximal furchtbar und die offiziellen Passwortregeln werden deshalb so häufig wie möglich umgangen. Dieses allzu menschliche Verhalten kann nur dadurch eingeschränkt werden, dass ein Unternehmen beim Identity- und Accessmanagement neben Bildungsregeln für die Kennwörter gleich eine ganze Batterie an Maßnahmen auffährt.
Der wichtigste Punkt ist das sogenannte Single-Sign-On – die Einmalanmeldung für alle IT-Systeme. Dabei authentifiziert sich ein Anwender lediglich einmal und erhält dadurch den Zugriff auf alle Rechner und Dienste, für die er berechtigt ist. Aus Anwendersicht muss jetzt nur einmal das kaum zu merkende Passwort eingegeben werden. Diese Vereinfachung steigert die Wahrscheinlichkeit, dass Kennwörter auswendig gelernt und nicht niedergeschrieben werden.
Zwei-Faktor-Authentifizierung erhöht die Hürden
Doch allein reicht diese Maßnahme nicht aus. Auch weiterhin ist das Passwort die einzige Hürde vor dem illegalen Zugriff auf die IT. Im Falle eines Identitätsdiebstahls hat der Cyberkriminelle nun den Zugriff auf alle Systeme und nicht nur auf ein einziges. Also müssen die Unternehmen die Hürden erhöhen – mit Zwei-Faktor-Authentifizierung.
Das Verfahren nutzt statt eines Authentifizierungsmerkmals (das Passwort) deren zwei. Dabei werden unterschiedliche Erkennungsmerkmale gemischt. Das Passwort beispielsweise ist ein Merkmal, dass nur der berechtigte Anwender wissen kann. Er kann auch etwas Besonderes besitzen, etwa eine Smartcard mit einer Personenkennung. Eine weitere Möglichkeit sind biometrische Merkmale wie ein Fingerabdruck oder ein Irisscan, die eine Person eindeutig identifizieren.
In der Unternehmenspraxis wird meist eine Kombination der beiden Faktoren Wissen und Besitz eingesetzt. Ein typisches Beispiel: Ein Authentisierungsschlüssel wird auf einer Chipkarte gespeichert, deren Einsatz zusätzlich die Eingabe einer meist vierstelligen PIN erfordert.
Privatanwender kennen für den Zugriff auf zahlreiche Dienste ein technisch weniger aufwändiges Verfahren. Nach Eingabe des Passwortes wird ein Zifferncode per SMS an das Smartphone/Handy des Anwenders übertragen. Nur wenn er diesen Code innerhalb einer gewissen Frist von wenigen Minuten eingibt, kann er sich am Dienst anmelden.
Doch Verfahren ohne Token sind auf dem Vormarsch. So bietet Strong Authentication von BlackBerry ein einfaches Aktivierungsverfahren für Smartphones. Es arbeitet selbst auf Privatgeräten oder Geräten, die von anderen MDM-Lösungen als BlackBerry BES verwaltet werden. Der Vorteil: Es muss kein Hardware-Token versendet und verwaltet werden, der Einsatz ist dank des stets verfügbaren Smartphones komfortabel und einfach für die Anwender.
Denn erst die Kombination dieser beiden Verfahren gibt ausreichend Sicherheit bei der Anmeldung der Nutzer an die IT-Systeme. Langfristig müssen die Unternehmen sogar den Verzicht auf Passwörter angehen, denn die grundlegenden Probleme lassen sich nicht beheben: Normale Anwender sind zu bequem für ein veraltetes Verfahren, das auf IT-Profis zielt.
Bildquelle: Thinkstock/ iStock
