Anmelden in zwei Schritten: Doppelt hält besser

Paradox: Die Sicherheit sinkt, wenn sie besonders hoch geschraubt wird. Ein Grund ist die Sicherheitsregel, nach der jedes Benutzerkonto mit einem eigenen Kennwort geschützt wird. Doch was passiert? Viele Anwender nutzen einfachste Kennwörter, weil sichere nur schwer zu merken sind.

Die Regel führt also nicht zu mehr, sondern zu weniger Sicherheit. In Unternehmen wird das durch strikte Bildungsregeln und Verfallszeiten für die Kennwörter umgangen. Das wiederum führt bei vielen Mitarbeitern zu Unmut, wenn sie sich morgens dutzendfach anmelden müssen.

Kein Kennwortwirrwarr mehr

Aber auch hier gibt es Hilfe: Single Sign-On. Das ist bequem, da der Kennwortwirrwarr auf ein einziges Passwort reduziert wird. Voraussetzung dafür ist ein striktes Identitätsmanagement, zum Beispiel mit Standards wie Active Directory (AD). Doch Enterprise Mobility verlangt mehr als die Administration von nur Konten. Es geht um eine ausgefeilte Verwaltung von mobilen und stationären Anwendern, die sich bei On-Premise-Software sowie internen und externen Cloud-Anwendungen anmelden.

Das neue Azure Active Directory Premium von Microsoft kombiniert die Merkmale eines lokalen AD-Servers mit denen eines Cloudservice. Es bietet neben den Anmelderoutinen für Single-Sign-On die Synchronisierung mit einem lokalen Server inklusive Benutzergruppen. Zudem gibt es jetzt Selfservice-Routinen, zum Beispiel ein selbst ausgelöster Passwort-Reset.

Dieses Single Sign-On kann für lokal installierte Anwendungen oder Server und bei rund 1200 anderen Cloudservices als Anmeldedienst eingesetzt werden. Dazu gehören populäre Dienste wie Dropbox, Tumblr oder Youtube ebenso wie SaaS-Anwendungen, etwa Salesforce, SAP BusinessObjects, Trello oder Zoho.

Das alles ist aber nicht ganz ohne Risiko. Nun liegt zwischen den Unternehmensdaten und dem kriminellen Zugriff darauf nur noch dieses eine Passwort. Die Gefahr lässt sich mit Mehrfaktor-Authentifizierung senken. Dabei unterstützt Microsoft nicht nur SMS-Codes, sondern auch Codes per Mail oder Anruf und die Erzeugung von Sicherheitscodes in einer mobilen App.

In der Konsequenz reicht dann eine einmalige zentrale Anmeldung mit Mehrfaktor-Authentifizierung, um alle IT-Ressourcen nutzen zu können – sofern der jeweilige Benutzer die Zugriffsrechte darauf hat. Dabei unterstützen Azure und Windows 8.x auch wie gewohnt die Anmeldung mit einer Smartcard.

Windows 8: Virtuelle Smartcards

Eine weniger bekannte Neuerung in Windows 8.x sind virtuelle Smartcards, die den Einsatz eines Cardreaders nicht mehr nötig machen. Damit entfallen auch die lästige Verwaltung der Karten und das umständliche Sperren bei Verlust der Karte oder Ausscheiden eines Mitarbeiters.

Virtuelle SmartCards nutzen den TPM-Chip (Trusted Platform Module), der sich in zahlreichen Desktoprechnern und Notebooks für den Business-Einsatz befindet. Auf diesem Chip werden die verschlüsselten Anmeldezertifikate gespeichert, die sonst auf dem Chip der Smartcard sind.

Die Zertifikate sind rechnerabhängig und können nicht mehr aus dem TPM-Chip ausgelesen werden. Dadurch ist eine Anmeldung nur möglich, wenn sich jemand im Besitz des Gerätes befindet und die notwendige PIN kennt. Für Desktoprechner ist das Verfahren auf jeden Fall einfacher als mit einer echten Karte.

Doch die Smartcard verliert an Boden gegenüber der Authentifizierung mit Hauptkennwort und zeitbasiertem Einmalpasswort. Auch Heimanwender sollten das Verfahren nutzen. Es wird inzwischen zumindest von den großen Anbietern wie Google, Facebook, Twitter, Evernote oder Dropbox unterstützt. Auch ein Microsoft-Konto kann auf diese Weise geschützt werden.

Das Verfahren erschwert die berüchtigten Man-In-The-Middle-Angriffe, aber macht sie nicht unmöglich. Das mTAN-Verfahren im Onlinebanking wurde von Betrügern in einem Einzelfall mit einem geschickten Trick geknackt: Sie kannten die Banking-PIN und die Handynummer. Also haben sie sich einfach eine zweite SIM-Karte zuschicken lassen.

Das zeigt, das auch in der IT-Sicherheit das Prinzip "Viele Köche verderben den Brei" gilt: Natürlich hätte der Telefonanbieter nicht einfach eine SIM-Karte an irgendeine Adresse schicken dürfen, aber bei der Gestaltung des Bestellprozesses hat niemand an einen solchen Sicherheitsbruch gedacht.

Links:
Die mehrstufige Authentifizierung von Azure
Das neue Azure Active Directory Premium

Bildquelle: Thinkstock/ iStock