Authentifizierung: Ein Leitfaden für starkes und sicheres Zugangsmanagement

Sind Sie unsicher, ob Ihr Unternehmen ausreichend vor unbefugten Zugriffen geschützt ist? Oder implementieren Sie gerade eine Zero-Trust-Architektur? Was auch Ihr aktuelles Ziel sein mag – Authentifizierung ist entscheidend für Ihren Erfolg.

Lesen Sie weiter, um zu erfahren, wie wichtig eine starke Authentifizierung ist, welche Möglichkeiten Sie haben und wie Sie Ihr Unternehmen mit Entrust auf die Zukunft vorbereiten.

Das National Institute of Standards and Technology (NIST) definiert Authentifizierung als ein Verfahren zur Überprüfung der Identität eines Benutzers oder eines Geräts als Voraussetzung für den Zugriff auf Ressourcen in einem Informationssystem.

Einfacher ausgedrückt: Es ist eine Methode, um die Identität von jemandem (oder etwas) zu bestätigen. Authentifizierung ist also eine Sicherheitsmaßnahme, die verhindern soll, dass unbefugte Benutzer oder Maschinen auf geschützte Ressourcen zugreifen.

Authentifizierung und Autorisierung im Vergleich

Der Begriff „unberechtigter Zugriff“ ist besonders wichtig, wenn es um Authentifizierungsmethoden geht. Obwohl der Begriff „Autorisierung“ ähnlich klingt, ist seine Bedeutung eine ganz andere.

Unter Autorisierung versteht man den Prozess, bei dem einem authentifizierten Benutzer die Erlaubnis erteilt wird, auf eine bestimmte Ressource oder Funktion zuzugreifen. Dies ist ein wichtiger Unterschied, da nicht alle authentifizierten Benutzer berechtigt sind, bestimmte Assets zu nutzen.

Nehmen wir an, ein Mitarbeiter möchte auf eine bestimmte Cloud-Anwendung zugreifen. Er wird aufgefordert, seine Authentifizierungsdaten einzugeben, z. B. einen Benutzernamen und ein Passwort. Gemäß den Zugriffskontrollrichtlinien des Unternehmens ist die Nutzung dieser Anwendung jedoch möglicherweise auf Mitarbeiter der oberen Führungsebene beschränkt. In diesem Fall kann der betreffende Mitarbeiter die angeforderte Ressource nicht nutzen, da er nicht die erforderlichen Berechtigungen hat.

Die Authentifizierung kann also als der Schlüssel betrachtet werden, mit dem Sie die Tür aufschließen, und die Autorisierung als der Ausweis, der Ihnen den Zugang zu bestimmten Bereichen des Gebäudes ermöglicht. Jeder, der einen Schlüssel hat, kann die Räumlichkeiten betreten, aber Unbefugte haben keinen Zutritt zur VIP-Lounge. Zusammenfassend kann man also sagen, dass es einen Unterschied gibt:

• Durch die Authentifizierung wird die Identität bestätigt.
• Mit der Autorisierung wird die Berechtigung bestätigt.

In Kombination sind beide Prozesse wesentliche Bestandteile der Cybersicherheit und der Zugangsverwaltung.

Die digitale Authentifizierung entstand in den 1960er Jahren. Damals waren Computer riesige, zimmergroße Geräte, die es nur in großen Forschungsinstituten und Universitäten gab. Aufgrund ihrer Größe wurden sie von Studenten, Mitarbeitern und Forschern gemeinsam genutzt.

Das einzige Problem? Jeder hatte ungehinderten Zugang zu den Dateien der anderen. Ein MIT-Student erkannte dieses Problem und entwickelte ein einfaches Passwortprogramm: Die digitale Authentifizierung war geboren.

Jahrzehnte später haben sich die Authentifizierungsmethoden weiterentwickelt, aber die Prämisse ist dieselbe geblieben: Nutzern einen sicheren Zugang zu den Ressourcen zu bieten, auf die sie angewiesen sind. In unserem digitalen Zeitalter ist eine starke Authentifizierung wichtiger als je zuvor.

Ohne ein geeignetes Authentifizierungssystem können sich Bedrohungsakteure unbefugten Zugang zu privaten Accounts und Firmen-Accounts verschaffen. Schlimmer noch: Schon ein einziger gehackter Berechtigungsnachweis reicht aus, um einen umfassenden Angriff auf alle damit verbundenen Konten zu starten und sensible Daten in großem Umfang zu gefährden.

Glücklicherweise gibt es neue und verbesserte Ansätze für die Cybersicherheit, die innovative Wege für den Umgang mit dieser Art von Bedrohungen aufzeigen – namentlich das Zero Trust Framework. Dieses Modell spricht sich nicht nur gegen implizites Vertrauen aus, sondern stellt auch die Authentifizierung in den Mittelpunkt seiner Architektur.

Authentifizierung und Zero Trust

Zero Trust-Sicherheit ist ein Framework, das davon ausgeht, dass alle Entitäten potenziell bösartig sind und auch so behandelt werden sollten. Anstatt die Identität nur einmal zu überprüfen, sollen die Benutzer jedes Mal, wenn sie Zugang zu einer Ressource anfordern, wie Netzwerken, Anwendungen, Dateien und mehr, kontinuierlich authentifiziert werden.

Dieser Ansatz ist aus zwei Gründen besonders wichtig:

1. Cyberkriminalität: Hacker greifen immer wieder Accounts mit besonderen Berechtigungen an, nutzen schwache Passwörter aus, verbreiten Ransomware und erbeuten dabei sensible Daten. Laut dem Verizon-Bericht 2023 wird etwa die Hälfte aller externen Sicherheitsverletzungen durch den Diebstahl von Zugangsdaten verursacht. Tatsächlich haben 90 % der befragten Unternehmen im Jahr 2020 einen Phishing-Angriff erlebt, während weitere 29 % über Credential Stuffing und Brute-Force-Angriffe berichteten, die zu zahlreichen Passwortrücksetzungen führten.
2. Maschinenidentitäten: Wussten Sie, dass die meisten Unternehmen mehr vernetzte Geräte als menschliche Nutzer haben? Diese „Maschinen“ – Server, Computer usw. – werden mit digitalen Zertifikaten und kryptografischen Schlüsseln, den so genannten „Maschinenidentitäten“, authentifiziert. Aber in den falschen Händen können diese Zugangsdaten die Sicherheit zerstören. Weltweit verursachen ungeschützte Maschinenidentitäten wirtschaftliche Verluste in Höhe von über 51 Milliarden US-Dollar. Deshalb müssen Unternehmen ständig überprüfen, ob die Identität eines Rechners mit der in ihrer Datenbank gespeicherten Identität übereinstimmt.

Glücklicherweise sind es genau diese Probleme, die eine Zero-Trust-Architektur löst. Und da die Authentifizierung ein zentraler Bestandteil des Modells ist, können Unternehmen eine solide Grundlage für ihr Framework schaffen, indem sie einen durchgängigen Authentifizierungsmechanismus in ihrer gesamten Umgebung implementieren.

Anwendungsfälle für die Authentifizierung

Immer mehr Unternehmen setzen sich mit dem wichtigen Thema Zugangskontrolle auseinander und beginnen, die digitale Authentifizierung auf neue und interessante Weise zu nutzen. Dies sind einige der häufigsten Anwendungsgebiete:

1. Anmeldung bei den Unternehmensressourcen: Tools zur kontinuierlichen Authentifizierung ermöglichen Mitarbeitern den Zugang zu wichtigen Unternehmenssystemen. Ob E-Mails und Dokumente oder Datenbanken und Cloud-Dienste – es wird sichergestellt, dass sensible Unternehmensdaten unter Verschluss bleiben.
2. Bankwesen und Finanzdienstleistungen: Eine starke Authentifizierung ist für das Kunden-Onboarding und das Online-Banking unerlässlich. Dabei wird die Identität einer Person bestätigt, wenn diese ein neues Konto eröffnet oder auf ein bestehendes zugreift, und die Qualität der Benutzererfahrung wird davon nicht beeinträchtigt.
3. Bereitstellung eines sicheren Remote-Zugangs: Die Authentifizierung ist vor allem im Zeitalter der hybriden Arbeitsformen von entscheidender Bedeutung. Mitarbeiter arbeiten weltweit mit ungeschützten Geräten und ungesicherten Netzwerken. Umso wichtiger ist es, die Identität von Benutzern und Geräten zu überprüfen.
4. Schutz von digitalen Transaktionen: E-Commerce erlebt aktuell einen Boom, aber einige Unternehmen haben Mühe, damit Schritt zu halten. Mit einem innovativen Authentifizierungsverfahren können Sie Finanzdaten und sensible Informationen schützen, Betrug bekämpfen und das Vertrauen Ihrer Kunden stärken.
5. Bessere Verwaltung von Maschinenidentitäten: Unternehmen können die Kontrolle über ihre Maschinenidentitäten zurückgewinnen, indem sie die kontinuierliche Authentifizierung nutzen. So werden kryptografische Daten während ihres gesamten Lebenszyklus geschützt und sichere Verbindungen zwischen den Rechnern gewährleistet.

Ein Benutzer oder eine Einrichtung stellt Anmeldedaten zur Verfügung, die mit dem Datensatz verglichen werden, die in einer Datenbank mit autorisierten Informationen gespeichert sind. Dieser Datensatz kann sich vor Ort auf einem lokalen Betriebssystemserver oder auf einem Cloud-basierten Authentifizierungsserver befinden.

Bei den Anmeldedaten handelt es sich nicht nur um eine einfache Kombination aus Benutzername und Passwort, sondern um eine Reihe von Identifikationsmerkmalen, die zusammenwirken, um die antragstellende Person zu überprüfen. Letztlich hängt die Kombination von der jeweiligen Authentifizierungsmethode ab. Die biometrische Authentifizierung kann beispielsweise durch Gesichtserkennung oder Fingerabdrücke erfolgen.

Wenn die bereitgestellten Informationen mit dem Datensatz übereinstimmen, der in der Datei gespeichert ist, kann das System die Entität autorisieren, die Ressource zu nutzen, was dem Endbenutzer Zugang gewährt. Dies hängt jedoch auch von anderen Bedingungen ab, z. B. von vorher festgelegten Zugriffskontrollrichtlinien, den so genannten „Berechtigungen“.

Mit anderen Worten: Selbst wenn ein Benutzer die richtigen Anmeldedaten angibt, wird er nicht autorisiert, wenn er keine Zugriffsrechte für die betreffende Ressource erhält.

Jetzt fragen Sie sich vielleicht: Wie lange dauert dieser Prozess? Auch wenn der Prozess kompliziert erscheint, dauert er in Wirklichkeit nur wenige Sekunden. Mit einem schnellen und robusten Authentifizierungsverfahren können Sie Identitäten überprüfen, ohne dass die Benutzerfreundlichkeit beeinträchtigt wird.

Was sind Authentifizierungsfaktoren?

Ein Authentifizierungsfaktor stellt im Grunde genommen eine Information oder ein Attribut dar, mit dem ein Benutzer oder eine Entität, der/die Zugang zu einer bestimmten Ressource beantragt, validiert werden kann. Traditionell handelt es sich bei Authentifizierungsfaktoren um etwas, das man weiß, etwas, das man hat, oder etwas, das man ist. Im Laufe der Jahre sind jedoch zwei weitere Variablen hinzugekommen, sodass sich die Gesamtzahl auf fünf erhöht hat.

Daher werden die folgenden Methoden zur Authentifizierung der Identität verwendet:

1. Wissensfaktor: Jeder Berechtigungsnachweis, der Informationen widerspiegelt, die der Benutzer kennt, wie z. B. eine persönliche Identifikationsnummer (PIN) oder ein Passwort.
2. Besitzfaktor: Dazu gehören alle Berechtigungsnachweise, die der Benutzer besitzt, wie z. B. ein Token oder eine Smartcard.
3. Inhärenzfaktor: Zu den Inhärenzfaktoren gehören biometrische Daten wie Daumenabdrücke oder Netzhautscans.
4. Standortfaktor: Dieser Faktor ist besonders für Geräte relevant. Nehmen wir an, jemand meldet sich normalerweise von zu Hause aus an, und plötzlich werden Aktivitäten seines Kontos im Ausland festgestellt. Mit geografischen Daten können Sie Angreifer an entfernten Standorten daran hindern, über kompromittierte Konten auf Ressourcen zuzugreifen.
5. Zeitfaktor: Der Zeitfaktor wird in Abstimmung mit anderen Faktoren genutzt. Er weist die Identität einer Person nach, indem er sie innerhalb eines festgelegten Zeitintervalls und in Bezug auf einen bestimmten Ort, beispielsweise die Wohnung oder das Büro eines Mitarbeiters, überprüft.

Obwohl man mit den ersten drei für sich genommen die Identität authentifizieren kann, müssen die letzten beiden zusammen mit einem der anderen verwendet werden, um eine Person oder Maschine ausreichend zu verifizieren.

Welche Authentifizierungsmethode ist für Ihr Unternehmen am besten geeignet? Fangfrage: Es gibt wahrscheinlich mehr als eine Lösung. Besser ist es, sich mit einem mehrschichtigen und robusten Authentifizierungssystem zu schützen, das viele verschiedene Methoden anwendet.

Sehen wir uns einige der wichtigsten Arten der Authentifizierung und ihre Funktionsweise an:

1. Ein-Faktor-Authentifizierung (1FA)

1FA ist eine der grundlegendsten Authentifizierungsarten. Einfach ausgedrückt: 1FA ist genau das, was der Name bereits erahnen lässt: ein System, das nur einen der drei wichtigsten Authentifizierungsfaktoren erfordert.

Nehmen wir zum Beispiel die Passwortauthentifizierung. Bei dieser Methode gibt eine Person einen Benutzernamen und ein Passwort (oder eine PIN) ein. Dies ist bei weitem die meist genutzte Authentifizierungsmethode, aber auch die unsicherste.

Leider neigen Menschen dazu, schwache Passwörter zu verwenden. Noch schlimmer ist, dass sie dieselben Passwörter für mehrere Konten verwenden, was diese Konten anfällig für Social-Engineering-Bedrohungen wie Phishing-Angriffe macht.

2. Multi-Faktor-Authentifizierung (MFA)

MFA erfordert mehr als einen Authentifizierungsfaktor, um die Identität einer Person zu überprüfen. Per Definition würde die Zwei-Faktor-Authentifizierung (2FA) in diese Kategorie fallen, aber MFA wird im Allgemeinen als Option mit höherer Sicherheit angesehen.

In diesem Fall müssen Personen zusätzlich zu ihrem Kennwort weitere Informationen angeben, z. B. einen einmaligen Bestätigungscode. Sie können auch aufgefordert werden, eine persönliche Sicherheitsfrage zu beantworten, deren Antwort nur sie kennen.

MFA hilft Unternehmen dabei, Phishing-Angriffe und andere bösartige Bedrohungen zu vereiteln, indem es mehr Schutzebenen als die einfache Authentifizierung schafft.

3. Single Sign-On (SSO)

Mit der SSO-Methode kann ein Benutzer einen einheitlichen Satz von Anmeldedaten auf mehrere Konten anwenden. Dieses Verfahren ist besonders beliebt, weil es den Anmeldeaufwand vereinfacht und den gesamten Prozess beschleunigt.

Aus Unternehmensperspektive ermöglicht dies den Mitarbeitern einen schnellen Zugriff auf vernetzte Anwendungen, da sie sich nur einmal anmelden müssen. Das System stellt ein digitales Zertifikat aus, das jedes Mal überprüft wird, wenn der Benutzer den Zugang zu einer SSO-integrierten Anwendung beantragt.

Wenn SSO-Anmeldedaten jedoch in die Hände von Hackern geraten, erhalten sie auch Zugriff auf die damit verbundenen Anwendungen des Benutzers. Daher wird diese Methode idealerweise durch zusätzliche Authentifizierungsmethoden unterstützt.

4. Passwortlose Authentifizierung

Ein passwortloses Authentifizierungssystem erfordert, wie der Name schon sagt, keine Eingabe eines statischen Passworts. Stattdessen wird der Nutzer durch andere Mittel identifiziert. Dazu können biometrische Daten und Hardware-Token gehören, doch am häufigsten wird ein einmaliger Passcode (OTP) verwendet.

OTPs, manchmal auch als zeitbasierte Einmalpasswörter (Time-Based One-Time Passwords, TBOTPs) bezeichnet, bieten einen sichereren Authentifizierungsprozess, da sie bei Bedarf temporäre Anmeldedaten erzeugen. Wenn sich jemand beispielsweise bei einer Anwendung anmeldet, kann er einen Passcode an seine E-Mail und/oder sein mobiles Gerät senden. Die Angabe dieses Codes ermöglicht ihm den Zugriff auf die Ressource.

5. Biometrische Authentifizierung

Anstatt sich auf Anmeldedaten zu verlassen, die gestohlen werden können, sind biometrische Identifikatoren für eine Person einzigartig. Gängige Arten von biometrischen Faktoren sind:

• Fingerabdruck
• Handflächen-Scan
• Gesichtserkennung
• Iris-Erkennung

6. Zertifikat-basierte Authentifizierung

CBA verwendet digitale Zertifikate, um die Identität einer Entität zu überprüfen und ihr Zugang zu einem Computersystem zu gewähren.

Mit Hilfe von Public Key Cryptography liefern Zertifikate einen eindeutigen Code, der Informationen über den Benutzer und/oder das Gerät enthält. Sie enthalten auch kryptografische Schlüssel, die eine sichere Verbindung mit der angeforderten Ressource herstellen.

CBA wird häufig in hochsensiblen Situationen eingesetzt, in denen ein Höchstmaß an Sicherheit erforderlich ist.

7. Tokenbasierte Authentifizierung (TBA)

TBA ist ein Authentifizierungsprotokoll, das eindeutige, verschlüsselte Sicherheits-Tokens erzeugt. Während der Gültigkeitsdauer des Tokens, der widerrufen oder erneuert werden kann, können die Nutzer auf jede Website oder Anwendung zugreifen, für die der Token ausgestellt wurde, und müssen nicht bei jeder Rückkehr ihre Anmeldedaten erneut eingeben.

8. Risikobasierte adaptive Authentifizierung

Die risikobasierte Authentifizierung (RBA), auch adaptive Authentifizierung genannt, ändert sich dynamisch auf der Grundlage des Risikogrades, der mit jeder einzelnen Sitzung oder Transaktion verbunden ist. Kurz gesagt, sie weist diesen Interaktionen eine Risikobewertung zu und bestimmt auf dieser Grundlage den Umfang der Authentifizierung, der erforderlich ist, um die Identität der Entität nachzuweisen.

Für eine Aktivität mit geringem Risiko kann beispielsweise eine Zwei-Faktor-Authentifizierung ausreichend sein. Handelt es sich jedoch um eine Hochrisikosituation, kann das System den Benutzer auffordern, zusätzliche Aufgaben auszuführen.

Eine starke und kontinuierliche Authentifizierung ist der Schlüssel zu moderner Cybersicherheit. Ihre Organisation braucht die absolute Sicherheit, dass ihre Verbindungen, Identitäten und Daten vor unberechtigtem Zugriff geschützt sind – und diese Sicherheit ist genau das, was Entrust bieten kann.

Unser Portfolio für das Identitäts- und Zugriffsmanagement (IAM) umfasst alle wichtigen Tools, die Sie benötigen, um Ihr Unternehmen umfassend zu schützen. Von phishing-resistenter MFA bis hin zu adaptiver Step-up-Authentifizierung können Sie eine vielschichtige und robuste Strategie in Form einer umfassenden Suite implementieren.