16.10.2019 Zero Sign-on

Mobil und sicher ohne Passwort

Von: Peter Machat

Mobilgeräte und Cloud-Speicher verändern in atemberaubender Geschwindigkeit die Geschäfts- und Arbeitswelt. Der klassische (stationäre) Arbeitsplatz verschwindet ebenso wie viele traditionelle Geschäftsmodelle. Die weitgehende Verlagerung der Wertschöpfung in den mobilen und digitalen Sektor birgt dabei nicht nur neue Möglichkeiten, sondern hat auch ihren Preis.

Passwortlose Authentifizierung auf Basis der Prüfung der Endgerätegestik und Nutzerbonität ist bereits im Einsatz.

Die mobil ausgerichteten Geschäftsmodelle mit ihrem lokal und zeitlich schwer fassbaren Arbeitsplatz passen nicht mehr in den traditionellen IT-Sicherheitsrahmen mit seinen genau definierten Grenzen (Firewall, DMZ).
Im Kontext von mobilen Endgeräten und Cloud-Technologie muss vielmehr die gesamte Gestik eines Endgeräts samt Benutzerbonität in die Prüfung einbezogen werden. Zusätzliche Prüfparameter sind beispielsweise:

Welche Einstellungen hat das Gerät?
Wie verhält sich das Gerät in welcher Situation?
Stammen die Apps aus einem vertrauenswürdigen Appstore?
Ist das Endgerät nicht manipuliert (z.B. mittels Jailbreak oder Rooting)?

Diese Auflistung legt den (richtigen) Schluss nahe, dass die traditionellen Authentifizierungssysteme durch Systeme aus dem Mobil- und Cloud-Zugangsbereich ergänzt bzw. ersetzt werden müssen, die für die Zulassung vor allem auch kontextuelle Faktoren berücksichtigen.

Dies ist ein Artikel aus unserer Print-Ausgabe 7-8/2019. Bestellen Sie ein kostenfreies Probe-Abo.

Digitale ID

Eine ehrliche Frage, die man sich stellen muss lautet: Welche Sicherheit bringt ein Verfahren, das viele Nutzer dazu veranlasst, gefühlte 1.000 Mal im Jahr das jeweils gewählte Passwort zurücksetzen zu lassen, weil sie es so „genial“ gewählt haben, dass sie es gleich wieder vergessen? Passwörter erzeugen mehr Probleme als sie lösen. Sie können leicht gehackt werden und ihre dauernde Wiederverwendung, wie bei den meisten Nutzern üblich, ist sicherheitstechnisch überaus riskant. Die Rücksetzprozesse über E-Mail oder wie auch immer stellen nicht nur ein Sicherheitsproblem dar, sondern kosten Unternehmen zudem viel Geld. Und nicht zuletzt ist die Passwortauthentifizierung oft der Grund für eine schlechte Usability, insbesondere
in mobilen Umgebungen.

Eine von Mobile Iron initiierte weltweite Umfrage der Marktanalysten von IDG unter Entscheidungsträgern im Bereich IT-Sicherheit von April 2019 ergab nicht unerwartet, dass fast neun von zehn befragten Entscheidern im Bereich IT-Sicherheit – sprich 86 Prozent – auf Passwörter verzichten würden, wenn dies möglich wäre. Dieselbe Umfrage ergab, dass fast neun von zehn Befragten (88 Prozent) der Ansicht sind, dass Mobilgeräte in naher Zukunft als digitale ID für den Zugriff auf Unternehmensdienste und -daten dienen werden.

Tatsächlich gibt es mittlerweile am Markt passwortlose Authentifizierung („Zero Sign-on“) auf der Basis der Prüfung der Endgerätegestik und der Nutzerbonität, ganz gleich, ob es sich um ein stationäres oder mobiles Endgerät handelt. „Authentikator“ ist einzig und allein ein eigens dafür registriertes Smartphone.

Bildquelle: Mobile Iron