Anmelden mit dem Mobiltelefon

Das Passwort ist als Sicherheitsmaßnahme im Grunde gestorben. Inzwischen muss ein einigermaßen im Netz aktiver Mensch mit einem guten Dutzend Passwörtern jonglieren. Die meisten Leute machen es sich einfach und nutzen leicht zu merkende Simpelkennwörter wie "passwort" oder "geheim".

Außerdem sind die Kennwortlisten und Account-Daten bei den Anbietern nicht immer besonders sicher und können durchaus entwendet werden. Das mussten zuletzt der Notizbuch-Service  Evernote und seine Kunden erfahren. Wegen möglicherweise entwendeter Nutzerdaten entschloss sich das Evernote-Management, alle Passwörter zurückzusetzen und die Nutzer zum Eingeben eines neuen Kennworts zu zwingen.

Außerdem will der Dienst eine Zwei-Faktor-Authentifizierung einführen. Dieses System erweitert das Kennwort um ein zweites Sicherheitsmerkmal. Das Verfahren nutzt zum Beispiel einen Sicherheitscode, der bei jedem Anmeldevorgang an ein Mobiltelefon gesendet wird. Der Code muss nun zusätzlich zum Passwort eingegeben werden.

Eine andere Art von Zwei-Faktor-Authentifizierung nutzt ein so genanntes Token. Das kann ein USB-Stick oder eine Smartcard sein. Das Token muss bei Eingabe des Passworts und dem Anmeldevorgang im Computer eingesteckt sein, anderenfalls funktioniert der Login nicht.

Die dritte Variante nutzt Fingerabdruck- oder Iris-Scanner. Da es sich in beiden Fällen um ein absolut eindeutiges Körpermerkmal handelt, ist eine Zwei-Faktor-Authentifizierung mit diesen Merkmalen die beste Lösung, die allerdings teure Spezial-Hardware erfordert. Auch die Smarcard-Methode erfordert entsprechend aufgerüstete Rechner.

Für Heimanwender dürfte die Authentifizierung mit einem Code auf dem Mobiltelefon der beste Weg sein. Damit können können Dienste wie Evernote die Sicherheit der Benutzerkonten erhöhen, ohne den Anwendern Zusatzkosten aufzubürden. Doch auch in Unternehmen bietet das Mobiltelefon neue Möglichkeiten. Viele Mitarbeiter werden den als lästig empfundenen Smartcards nicht nachweinen.

Eine Lösung wie SecurAccess nutzt Zwei-Faktor-Authentifizierung ohne Token. Statt dessen nutzt der Mitarbeiter sein Mobilgerät, dass er sowieso ständig mit sich führt. Für das Anmelden erhält der Nutzer über sein Smartphone, Tablet oder Laptop einen dynamisch erzeugten, einmalig gültigen Ziffern-Passcode.

Den "Faktor Passcode" kombiniert SecurAccess mit dem "Faktor Mitarbeiter", der über einen eigenständig festgelegten Benutzernamen, ein Passwort sowie eine persönliche Zugangslizenz verfügt. Auf diese Weise kann sich jede Person eindeutig identifizieren. Da der Passcode wahlweise per SMS, E-Mail oder App versendet wird, umgehen Unternehmen die Installation von komplexer Soft- oder Hardware auf den privaten Endgeräten.

Der Anwender kann außerdem entscheiden, ob er den Code in Echtzeit erhalten möchte oder als vorab gespeicherte Version, abhängig von aktueller Signalstärke und Aufenthaltsort. Außerdem ist es möglich, die App auf einem Smartphone, einem PC oder einem Mac zu installieren. Damit bietet SecurAccess dem User verschiedene Kontrollmöglichkeiten, aus denen er die für ihn passende wählen kann.

Eine Zwei-Faktor-Authentifizierung dieser Art nutzt beispielsweise die Telekom für die Mitarbeiter von T-Mobile. Das Unternehmen hat als erster Mobilfunkbetreiber eine entsprechende Lösung für die Remote-Authentifizierung mithilfe von Mobiltelefonen implementiert.

Damit sind die Mitarbeiter in der Lage, sich ortsunabhängig mit Handy, Passworts und Passcode zu identifizieren. Insgesamt 15.000 Mitarbeiter arbeiten mittlerweile mit dem System. Die Telekom verwirklicht damit deutliche Zeit- und Kosteneinsparungen, da die teure Anschaffung zusätzlicher Hardware-Token entfällt.

Bildquelle: Gerd Altmann / Pixelio.de