Kann Sicherheit benutzerfreundlich sein?

Die betriebliche IT entwickelt sich mit großer Dynamik. Mitarbeiter beziehen wichtige Informationen für ihre tägliche Arbeit aus dem Web, sie buchen das Hotelzimmer für ihre Dienstreise bei einem Online-Portal oder sie bestellen wichtige Vorprodukte auf einer Handelsplattform – die Zahl webgestützter Anwendungsfälle wächst schneller, als man „Passwort“ sagen kann.

Dass man betriebliche Ressourcen – etwa Konstruktions- und Personaldaten, Bankkonten oder Bestellvorgänge – gegen den Zugriff Unbefugter schützen muss, ist eine Binsenweisheit. Unbefugte: Das können Mitarbeiter der eigenen Firma sein, aber auch Angreifer aus der Tiefe des Cyberspace. Gerade letztere Kategorie nimmt ständig zu. Kriminelle dringen in die Unternehmens-IT ein und entwenden wettbewerbsrelevante Daten oder verschlüsseln die Datenbestände des Unternehmens, um Lösegeld zu erpressen. Laut Branchenverband Bitkom summiert sich der volkswirtschaftliche Schaden durch solche Aktivitäten auf mehr als 200 Mrd. Euro pro Jahr.

Gegensätzliche Anforderungen

Damit kommen wir zum Schutz der betrieblichen IT. Das Authentisierungsverfahren der Wahl in den meisten Unternehmen ist eine Kombination aus einer User ID und einem Passwort. Doch deren Einsatz ist ein zweischneidiges Schwert, denn sie muss zwei gegensätzliche Anforderungen erfüllen: Einerseits sollen Passwörter sicher sein – d.h., sie sollen aus komplexen Zeichenfolgen bestehen und zudem möglichst lang sein, damit sie nicht leicht zu erraten sind. Andererseits soll sich der Benutzer an den Arbeitsplatzrechnern diese Passwörter leicht merken können. Das ist schon deshalb wichtig, weil nach den Regeln der Cybersicherheit für jeden Account ein separates Passwort zu benutzen ist. Wer sich an diese Regel halten will, sieht sich mit einer anspruchsvollen Denksportaufgabe konfrontiert: Im Durchschnitt setzt jeder User mehr als 150 verschiedene Passwörter ein.

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Doch es gibt ja Passwort-Manager – zum Glück, oder? Der Passwort-Manager merkt sich all diese verschiedenen Passwörter und speichert sie auf einem Server oder in der Cloud. Der Mitarbeiter an seinem Arbeitsplatzrechner braucht sich dann nur noch ein Master-Passwort zu merken. Aber man sollte genau hinschauen: Diese Lösung verschiebt letztlich das Problem an eine andere Stelle. Der Server ist möglicherweise besser gesichert als der Laptop des Sachbearbeiters im Homeoffice. Aber dafür speichert er nicht nur ein Passwort, sondern gleich viele davon. Damit wird er zum bevorzugten Ziel für Hacker – und das häufig mit Erfolg, wie den Medien regelmäßig zu entnehmen ist. Aus diesen Gründen sind Passwörter als Instrument für die IT-Sicherheit etwas in Verruf geraten.

Sicherheit ohne Abstriche

Erfreulicherweise gibt es Alternativen, die ohne Abstriche an der Sicherheit komfortabel einzusetzen sind. Der Blick ist dabei vor allem auf Sicherheits-Hardware aktueller Smartphones zu richten. Unter Namen wie „Secure Enclave“ (Apple) oder „Knox Vault“ (Samsung) besitzen die Mobiltelefone Hardware-Inseln, die nach heutigem Ermessen als Hacker-resistent gelten können – niemand kommt da rein außer dem Besitzer selbst. Ein guter Platz für die Ablage von Master-Passwörtern und ähnlichen sicherheitsrelevanten Daten. Damit lassen sich die Handys der Mitarbeiter zur Authentisierung heranziehen: Einmal bestätigt und Fingerabdruck gescannt, und schon hat sich der User eingeloggt. Und ein Handy hat heute praktisch jeder. Natürlich muss das Gerät auf dem Unternehmensserver registriert sein, aber dafür gibt es geeignete Software. Es ist zu vermuten, dass dieser elegante und dennoch sichere Ansatz schnell eine Anhängerschaft in den Unternehmen finden wird.

Bildquelle: Heylogin GmbH