Zwei-Faktor-Authentifizierung bremst Passwortdiebe

Ohne Zugangscodes läuft nichts mehr in der modernen IT. Das Einwählen in E-Mail-Konten, Shopping-Seiten oder Cloud-Services erfordert aus Sicherheitsgründen immer die Kombination aus Benutzername und Sicherheitscode. Dies gilt häufig auch für den Zugang zu Diensten oder Netzwerken von Unternehmen.

Trotz aller bahnbrechenden Entwicklungen in den letzten Jahrzehnten dient das „Urgestein Passwort“ immer noch in seiner ursprünglichen Form als Zugangskontrolle – oftmals sogar als einzige Authentifizierungsmöglichkeit.

Passwörter als Gefahrenquelle

Eigentlich sollen Passwörter den Zugang zu sensiblen Daten oder Zugängen absichern. In der Praxis sind sie jedoch oftmals schlecht gewählt. Benutzerdefinierte Zugangsdaten sind selten stark genug gewählt und durch intelligente Wörterbuchattacken, Brute-Force-Methoden oder simples Raten einfach zu überwinden.

Viele Anwender nutzen sogar identische Passwörter im dienstlichen und privaten Bereich. Letztlich werden Passwörter (wegen der schlechten Merkbarkeit) nicht zufällig erzeugt und enthalten oft leicht zu erratende Merkmale wie Name, Geburtstag und fortlaufende Nummerierungen. Zudem erleichtern viele Anwender Hackern die Arbeit: Sie verstecken Hinweise auf die schwer zu merkenden Zugangscodes in Dateien oder speichern diese gleich im Klartext auf dem Rechner ab.

Sicherheitsexperten bemängeln seit langem, dass Passworte ein reales Risiko darstellen. ESET Senior Research Fellow David Harley sagt dazu: „Die traurige Tatsache ist, dass statische Passwörter als vordergründig billige, aber konzeptionell unbefriedigende Lösung für ein sehr schwieriges Problem eingesetzt werden. Das gilt umso mehr, wenn sie nicht durch ergänzende Techniken geschützt werden."

Zwei-Faktor-Authentifizierung verstärkt Zugangssicherheit

Das herkömmliche Verfahren der Absicherung mit einem Passwort erfüllt längst nicht mehr die Anforderungen moderner IT-Sicherheit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Fachleute von Security-Unternehmen empfehlen daher die sogenannte Multi-Faktor-Authentifizierung.

Das Verfahren basiert auf Wissen (z. B. ein Passwort), Besitz (z. B. eine Smartcard) oder biometrischen Merkmalen (z. B. ein Fingerabdruck). In der Praxis ist die Nutzung der Faktoren Wissen und Besitz am häufigsten. Ein typisches Beispiel ist die Anmeldung an dem VPN eines Unternehmens.

Der Authentisierungsschlüssel wird hierbei in einer Chipkarte gespeichert (Faktor Besitz) die nur durch Eingabe einer PIN eingesetzt werden kann (Faktor Wissen). Je nach Sicherheitsanforderungen kann der Schlüssel auch auf dem Client (etwa dem Notebook) bzw. dem VPN-Server im Netz der Organisation gespeichert sein.

Alternativ kann eine Public-Key-Infrastruktur (PKI) genutzt werden, die auf digitalen Signaturen und asymmetrischer Verschlüsselung basiert. Die Gültigkeit der Signaturen wird über eine anerkannte Zertifizierungsstelle (CA, Certificate Authority) überprüft. Die Länge des Schlüssels oder der Signatur korreliert mit der Sicherheit des verwendeten Kryptoverfahrens.

Lösungen von der Stange: Teuer und aufwändig

Auf dem Markt befindet sich bereits eine Reihe von Lösungen mit unterschiedlichen Ansätzen. Diese variieren nicht nur im Anschaffungspreis, sondern auch im späteren Administrationsaufwand.

Als Authentifizierungsverfahren werden auf vielen mobilen Geräten UserID/Password, Smartcards, OTP-Tokens, Biometrie via Fingerprint und Venenleser, RFID-Tokens, X.509 Zertifikate oder QR-Codes eingesetzt. Auch Hardware-Boxen und USB-Dongles finden immer mehr Verbreitung.

Letztere erweisen sich als besonders einfach. Der Anwender muss auf dem Rechner nichts installieren oder konfigurieren, sondern lediglich den USB-Dongle einstecken. Eine interessante Möglichkeit zur Steigerung der Sicherheit bieten zudem USB-Sticks, die gleichzeitig ein eigenes, gehärtetes Betriebssystem bereitstellen.

Diese Lösungen agieren damit komplett autark vom Betriebssystem auf dem genutzten PC und den darauf installierten Programmen. Sie können dadurch auch auf potentiell unsicheren Rechnern und Privat-PCs verwendet werden.

Dennoch bleiben Probleme: Kleinere Unternehmen besitzen nur selten die finanziellen Mittel und personellen Ressourcen dafür. Für Privatpersonen eignen sich diese Mittel gar nicht. Auch Administratoren größerer Rechnerverbände tun sich schwer, denn die stetig steigende Anzahl an mobilen Geräten sorgt für mehr Arbeit und Kosten. Hinzu kommt: Die Anwender benötigen Komfort, sonst setzen sich die Verfahren nicht durch.

Zwei-Faktor-Authentifizierung per Software

Online-Dienste wie Google, Dropbox oder Facebook und auch Apple bieten ihren privaten und Geschäftskunden bereits eine Zwei-Faktor-Authentifizierung an. Dabei spielt das Smartphone als zusätzliche Authentifizierungseinheit eine entscheidende Rolle.

So bietet beispielsweise Google die Übersendung des zusätzlich einzugebenden Einmalcodes als SMS an. Parallel dazu hat das amerikanische Unternehmen eine App entwickelt, die Einmalcodes erzeugt. Andere Anbieter arbeiten mit ähnlichen Methoden.

Auch Cloudservice-Anbieter haben die Zeichen der Zeit erkannt. Immer mehr gehen dazu über, die Zugangskontrolle über eine Multi-Faktor-Authentifizierung zu realisieren. Der Fokus liegt dabei speziell auf Unternehmen, die Kundendaten und Geschäftsprozesse nahezu komplett auslagern. Daneben etabliert sich „Authentication as a service“, also die Zugangskontrolle als Dienstleistung.

Eine interessante Alternative ist „ESET Secure Authentication“. Will sich der Anwender an einem System anmelden, stellt ihm das Tool ein Einmal-Passwort (OTP) auf dem Smartphone bereit. Dieses muss er bei der Anmeldung zusätzlich zum normalen Passwort eingeben, um Zugang zu erhalten.

Die Ausweitung des Sicherheitssystems auf zwei Passwörter, die sich zudem auf unterschiedlichen Geräten befinden, ist für Cyberkriminelle eine deutlich größere Hürde. Das Verfahren ähnelt der Kombination aus PIN und mTan beim Online-Banking.

Kurz: Das gute alte Passwort hat als alleinige Zugangskontrolle ausgedient. Geht es verloren, haben Unbefugte nahezu alle Möglichkeiten. Die Zwei-Faktor-Authentifizierung scheint sich im Moment immer mehr durchzusetzen, denn sie erhöht die Sicherheit der Zugangskontrolle immens. Je einfaches es dem Anwender dabei gemacht wird, desto schneller wird sie sich im digitalen Leben etablieren.

Interesse? Kostenlose Testversion anfordern.

Bildquelle: ESET