Was ist Authentifizierung
Authentifizierungsmethoden und Best Practices
Seit Anbeginn der Zivilisation hat die Menschheit nach sicheren und zugleich bequemen Wegen gesucht, Identitäten zu authentifizieren, um nur befugten Personen Zugang zu gewähren und Bedrohungsakteuren immer einen Schritt voraus zu sein. Gesichtsmerkmale, Tokens, Kryptografie, Unterschriften, Fingerabdrücke und Passwörter waren einige der Authentifizierungsmethoden, die schon vor dem digitalen Zeitalter eingesetzt wurden. Eine Weiterentwicklung dieser Techniken treibt die Authentifizierung heute an.
Zum Beispiel verlassen wir uns nicht mehr auf das menschliche Auge, um Gesichtsmerkmale zu erkennen, sondern auf biometrische Werkzeuge, um eine Person anhand ihrer Iris, Retina, ihres Fingerabdrucks, ihrer Stimme oder anderer eindeutiger biologischer Merkmale zu authentifizieren. Ebenso geben Sicherheitssysteme anstelle physischer Tokens digitale Tokens an Benutzer aus, die ihre Identität erfolgreich nachgewiesen haben.
Dennoch finden Bedrohungsakteure weiterhin Wege, die Authentifizierung zu umgehen. In früheren Zeiten hätten Kriminelle vielleicht Siegel gefälscht, um die Sicherheit zu umgehen. Heute stehlen mehr Cyberkriminelle Authentifizierungstokens, um die MFA (Multi-Faktor-Authentifizierung) zu umgehen, manchmal mit verheerenden Folgen. Zum Beispiel übernahmen Hacker spektakulär drei YouTube-Kanäle der Linus Media Group durch das Kapern von Sitzungstokens.
Cybersicherheitsteams von Technologie-Giganten wie Google, Microsoft und Apple suchen ständig nach Wegen, ihre Authentifizierungssysteme zu verbessern, um sowohl Benutzer als auch Organisationen vor zunehmend cleveren und häufigen Cyberangriffen zu schützen.
Viele Benutzer ziehen jedoch Bequemlichkeit der Sicherheit vor, was die langsame Adaptation der MFA bei Microsoft-Benutzern erklärt, trotz 25,6 Milliarden Versuchen der Kontoübernahme 2021 durch brute-force gestohlene Passwörter. Es erklärt auch, warum Microsoft die Basisauthentifizierung für Exchange Online zugunsten der Modernen Authentifizierung, die Optionen wie MFA, Smartcards, zertifikatsbasierte Authentifizierung (CBA) und Drittanbieter Security Assertion Markup Language (SAML) Identitätsanbieter umfasst, deaktiviert hat.
Lesen Sie unseren ausführlichen Leitfaden für mehr Informationen zu:
- Bedeutung der Authentifizierung.
- Zwei-Faktor-Authentifizierung vs. Multi-Faktor-Authentifizierung.
- Authentifizierung vs. Autorisierung.
- Authentifizierungsmethoden.
- Passwortlose Authentifizierung.
Bedeutung der Authentifizierung
Authentifizierung ist eine Methode der Cybersicherheit, die hilft, die Identität eines Systems oder eines Benutzers zu überprüfen. Die häufigste Authentifizierungsmethode erfolgt über Benutzernamen und Passwörter. Andere Authentifizierungsmethoden, wie die biometrische Verifizierung, sind komplexer und gründlicher. Ein Beispiel für Authentifizierung wäre, wenn Sie versuchen, auf Ihre E-Mails zuzugreifen, benötigen Sie Ihren Benutzernamen und Ihr Passwort, um in Ihr Postfach zu gelangen.
Warum ist Authentifizierung wichtig?
Authentifizierung ist entscheidend für den Schutz unserer Sicherheit und Privatsphäre. Wir führen viele verschiedene Arten von Aktivitäten online durch, von Arbeiten und Kommunizieren bis hin zu Einkäufen oder dem Speichern privater Daten, typischerweise aus der Ferne. Authentifizierung hilft, die Integrität jedes digitalen Raums, wie Banken, Cloud-Computing-Plattformen, sozialen Medien und anderen, zu wahren, indem sie das Risiko des unbefugten Zugriffs verringert. Dank der Authentifizierung können wir physischen nicht sichtbaren Systemen und Identitäten vertrauen.
Einige Authentifizierungstools können einen Cyberangriff auch verlangsamen oder stoppen. Beispielsweise könnte ein Cyberkrimineller mit einem gestohlenen Benutzernamen und Passwort ein Konto verletzen, um Daten zu stehlen, Malware einzuschleusen oder einen Man-in-the-Middle (MitM)-Angriff auszulösen. Dennoch könnten ihre seitlichen Bewegungen in einem System mit tiefer gehenden Authentifizierungsprotokollen gestoppt werden.
Authentifizierung ist auch wichtig, weil sie die Benutzerverantwortung erhöht. Ein authentifizierter Benutzer ist weniger geneigt, sich auf böswillige Aktivitäten einzulassen, da er weiß, dass er verfolgt wird. Authentifizierung kann Organisationen aus einigen Branchen helfen, Sicherheits- und Datenschutzgesetze einzuhalten, indem die Datensicherheit verbessert wird.
Wofür wird Authentifizierung verwendet?
Authentifizierung kann für verschiedene Zwecke verwendet werden:
- Gerätesicherheit: Alle Arten von Geräten mit Betriebssystemen implementieren Authentifizierung zur Sicherheit, einschließlich Desktops, Laptops, Smartphones, Tablets und sogar eine Vielzahl von Internet-of-Things (IoT)-Geräten.
- Kontosicherheit: Mehrere Plattformen nutzen Authentifizierung, um die Kontosicherheit zu erhöhen. Beispielsweise verwenden E-Mail- und soziale Medienkonten Authentifizierung, um unbefugte Benutzer vom Zugriff auf Konten abzuhalten. Finanzplattformen schützen Online-Banking, digitale Zahlungen und E-Commerce vor Betrug mit Authentifizierung.
- Cloud-Computing: Da mehr Organisationen auf Cloud-Computing-Plattformen wie Microsoft Azure umsteigen, wird Authentifizierung zur Sicherheit von Vermögenswerten, Daten und Operationen verwendet. Authentifizierung wird auch für die Sicherheit von Organisationen mit Lagerbeständen vor Ort verwendet, wie Netzwerke und Systeme, die Remote-Arbeit übernehmen.
- Zugangskontrolle: Authentifizierung wird nicht nur für die externe Sicherheit, sondern auch für die interne Sicherheit verwendet. Organisationen können Authentifizierung nutzen, um sicherzustellen, dass Mitarbeiter Netzwerke, Anwendungen und Daten nur in erforderlichem Umfang zugreifen können.
Authentifizierung vs. Autorisierung
Obwohl Authentifizierung und Autorisierung ähnlich erscheinen und die beiden Begriffe manchmal fälschlicherweise synonym verwendet werden, sind sie zwei unterschiedliche Konzepte in der Cybersicherheit. Die lange Erklärung ist, dass Autorisierung der Prozess der Identitätsprüfung durch Anmeldeinformationen, Gesichtserkennung, Sprache oder ein Authentifizierungstoken ist. Autorisierung geschieht nach der Authentifizierung. Sobald das System die Identität eines Systems oder einer Person authentifiziert hat, erlaubt es der Entität, basierend auf ihren Berechtigungen, auf Ressourcen zuzugreifen oder Aktionen durchzuführen.
Die kurze Erklärung von Authentifizierung vs. Autorisierung ist, dass ersteres bestimmt, ob einer Entität Zugang gewährt wird, und letzteres, auf welche Ressourcen sie nach der Autorisierung zugreifen können.
Häufig verwendete Authentifizierungsfaktoren
Jeder, der ein modernes Betriebssystem genutzt oder auf einer Cloud-Computing-Plattform gearbeitet hat, weiß, dass es viele verschiedene Arten von Authentifizierungsmethoden und -tools gibt, wie PINs (persönliche Identifikationsnummern), Fingerabdrücke, Tokens und IP-Adressen. Diese Methoden oder Werkzeuge fallen in verschiedene Kategorien, die als Authentifizierungsfaktoren bezeichnet werden.
Wissensfaktoren
Ein Wissensfaktor gilt als alles, was ein Benutzer weiß, wie ein Passwort oder die Antwort auf eine Sicherheitsfrage. Wissensfaktoren sind typischerweise schnell, aber anfällig für Hacking. Beispielsweise können Passwörter gestohlen werden. Schwache Passwörter sind anfällig für brute-force Angriffe wie Wörterbuchangriffe.
Wir empfehlen Ihnen dringend, zu lernen, wie Sie ein starkes Passwort erstellen, um Ihre Konten zu schützen. Sie könnten auch in Erwägung ziehen, einen erstklassigen Passwort-Manager zur Verwaltung Ihrer Liste komplexer Anmeldeinformationen zu verwenden.
Besitzfaktoren
Ein Besitzfaktor kann sicherer sein als ein Wissensfaktor, da er erfordert, dass ein Benutzer einen bestimmten Gegenstand, wie ein Token oder ein Smartphone, besitzt, um seine Identität nachzuweisen. Zum Beispiel kann ein System ein Einmalkennwort an das intelligente Gerät eines Benutzers senden, wenn er versucht, Zugang zu erhalten. Besitzfaktoren sind jedoch auch nicht perfekt, da Besitztümer entführt oder gestohlen werden können.
Erbfaktoren
Einer der sichersten Authentifizierungsfaktoren ist der Erbfaktor, da er sich auf die einzigartigen körperlichen Merkmale eines Benutzers wie Fingerabdruck oder Iris stützt.
Der größte Nachteil, auf Erbfaktoren zu setzen, ist, dass die Hardware des Systems in der Lage sein muss, biometrische Daten aufzunehmen und zu verarbeiten, obwohl die meisten modernen Geräte solche Funktionen besitzen.
Ein Erbfaktor kann sich auch in seltenen Fällen als zu effektiv erweisen. Beispielsweise gab es mehrere Fälle, in denen die nächsten Angehörigen nicht in der Lage waren, auf die Kryptowährung ihres verstorbenen Kindes zuzugreifen, da ihr Gerät durch einen Erbfaktor geschützt ist.
Standortfaktoren
Eine Organisation, wie ein Streaming-Dienst, kann einen Standortfaktor wie Geo-Blocking verwenden, um den Zugang für Benutzer aus bestimmten Standorten zu beschränken. Zum Beispiel kann ein Streaming-Dienst wie Netflix USA Benutzern aus Kanada den Zugang zu einigen Inhalten blockieren. Standortfaktoren haben jedoch in der Regel Umgehungen. Beispielsweise könnte jemand in Kanada theoretisch ein privates VPN nutzen, um seinen Standort zu verschleiern und auf Netflix USA zuzugreifen.
Verhaltensfaktoren
Ein auf Verhalten basierender Authentifizierungsfaktor erfordert, dass ein Benutzer bestimmte Aktionen ausführt, um seine Identität nachzuweisen. Zum Beispiel könnten sie dazu aufgefordert werden, bestimmte Muster zu zeichnen oder ein einfaches Rätsel zu lösen, um zu beweisen, dass sie ein Mensch und kein Bot sind. Googles reCAPTCHA verwendet eine Risikoanalyse-Engine und verfolgt Mausbewegungen, um menschliches Verhalten zu überprüfen.
Arten der Authentifizierung
Passwortbasierte Authentifizierung
Die häufigste Form der Authentifizierung, die passwortbasierte Authentifizierung, ist der Prozess der Überprüfung der Identität eines Benutzers, indem von ihm verlangt wird, ein Passwort anzugeben, das vollständig mit dem gespeicherten Passwort übereinstimmt. Das System lehnt ein Passwort ab, das auch nur um ein Zeichen vom gespeicherten Passwort abweicht.
Wie erwähnt, können Hacker schwache Passwörter sehr schnell anhand der neuesten Tools erraten. Deshalb sollten Benutzer Passwörter festlegen, die mindestens 10 Zeichen lang und komplex sind, und regelmäßig die Passwörter ändern.
Multi-Faktor-Authentifizierung (MFA)
MFA entstand aus der Notwendigkeit heraus. Selbst das ausgefeilteste Passwort kann gestohlen werden. Bei der Multi-Faktor-Authentifizierung müssen unbefugte Benutzer möglicherweise ihre Identität auf eine andere Weise authentifizieren, wenn sie das Sicherheitssystem des Systems auslösen. Wenn ein System beispielsweise ein neues Gerät oder eine neue IP-Adresse bei einem Anmeldeversuch identifiziert, kann es nach einer PIN oder einem Token fragen, auch wenn der Benutzer die richtigen Anmeldedaten angibt.
Zwei-Faktor-Authentifizierung (2FA)
Viele Leute fragen sich nach dem Unterschied zwischen 2FA und MFA. Die Antwort ist, dass 2FA im Wesentlichen eine Teilmenge von MFA ist. Wie erwähnt, fragt MFA nach zwei oder mehr Authentifizierungsfaktoren. 2FA fragt nur nach zweien, in der Regel einem Passwort und einem Code, der an ein E-Mail-Konto oder ein mobiles Gerät gesendet wird. Sie können die Grundlagen der Zwei-Faktor-Authentifizierung nachlesen, um mehr zu erfahren.
Während Nutzer von Social-Media-Seiten 2FA nutzen, um ihre Accounts zu schützen, monetarisieren einige Plattformen leider die Kontosicherheit. Zum Beispiel haben Sie vielleicht von Twitter und Zwei-Faktor-Authentifizierung gehört, wo die Plattform die Sicherheitseinstellungen drastisch umgestaltet. Seit dem 19. März können Nutzer SMS-basierte 2FA nicht ohne ein Abonnement verwenden.
Allerdings haben Nutzer (vorerst) andere Optionen. Beispielsweise können sie auf Twitter Zwei-Faktor-Authentifizierung mit einem Hardware-Schlüssel einrichten, um erweiterte Sicherheit zu gewährleisten. Ein Hardware-Schlüssel ist ein besseres Sicherheitswerkzeug als SMS, die für Angriffe wie SIM-Swapping anfällig ist.
Ein-Faktor-Authentifizierung (SFA)
Wie der Name schon sagt, erfordert SFA nur ein Authentifizierungsmerkmal vom Nutzer. In der Regel ist ein Passwort die häufigste Art der SFA. Obwohl SFA bequemer sein kann als MFA, ist es oft wesentlich weniger sicher, besonders wenn die Art der Authentifizierung schwach ist. SFA ist auch anfällig gegen Social-Engineering-Angriffe wie Phishing.
Zertifikatbasierte Authentifizierung
Bei dieser Art der Authentifizierung verwendet ein System ein digitales Zertifikat. Zertifikatbasierte Authentifizierung ist sicherer als Passwörter, weil die Zertifikate komplex sind, Schlüssel verwenden und von der ausstellenden Behörde widerrufen werden können. Hochrangige Organisationen, wie Regierungen, nutzen diese kryptographische Technik für erhöhte Sicherheit.
Biometrische Authentifizierung
Wie bereits erwähnt, setzt biometrische Authentifizierung auf einzigartige physische Merkmale wie Fingerabdrücke, Stimmen und Iris, um Systeme zu sichern. Biometrie ist die sicherste und bequemste Form der Authentifizierung.
Token-basierte Authentifizierung
Webanwendungen, APIs und andere Systeme nutzen oft Tokens, um Benutzer zu authentifizieren. Kurz gesagt, ein Token ist ein eindeutiger Identifikator, der einem autorisierten Benutzer zugewiesen wird. Während die Nutzung von Token durch den Anstieg hybrider Arbeitsumgebungen zunimmt, nimmt auch der Diebstahl von Token zu.
Grundlegende Authentifizierung
Ein grundlegendes Authentifizierungssystem fragt nur nach einem Benutzernamen und einem Passwort, um einen Benutzer zu authentifizieren. Systeme, die einfache Methoden verwenden, sind anfälliger für Hackerangriffe. Heutzutage verwenden nur interne Testressourcen oder öffentliche Systeme wie öffentliches WLAN grundlegende Authentifizierung. Grundlegende Authentifizierung ist hauptsächlich der Grund, warum Benutzer vorsichtiger sein müssen, wenn sie öffentliches WLAN nutzen.
Passwortlose Authentifizierung
Da Benutzer und Organisationen mehr Komfort mit Sicherheit verlangen, gewinnen passwortlose Authentifizierungsmöglichkeiten wie Biometrie, Sicherheitsschlüssel, Token und Einmalcodes an Beliebtheit in Unternehmensumgebungen und von Verbrauchern genutzten Plattformen.
Neben zusätzlichem Komfort kann passwortlose Authentifizierung mehr Sicherheit bieten, weil viele Nutzer weiterhin schwache Passwörter verwenden oder Opfer von Phishing-Angriffen werden, die auf Anmeldedaten abzielen.
Wissensbasierte Authentifizierung (KBA)
KBA ist eine Art der Authentifizierung, die das Wissen einer Person über die Informationen testet, die sie zur Authentifizierung ihrer Identität gespeichert hat. Beispiele für KBA sind das Beantworten von Fragen über die Straße, in der sie aufgewachsen sind, ihre Lieblingsfarbe oder den Geburtsnamen ihrer Mutter.
Es gibt mehrere Gründe, warum KBA eine schwache Authentifizierungsmethode ist. Da mehr Benutzerdaten öffentlich auf Message Boards und Social-Media-Plattformen wie LinkedIn und Facebook verfügbar sind, ist es für Bedrohungsakteure einfacher, die erforderlichen Daten zu erlangen, um KBA zu umgehen. Darüber hinaus sind Benutzer weniger dazu geneigt, komplexe Antworten auf Geheimfragen einzurichten als komplexe Passwörter.
Wechselseitige Authentifizierung
Wechselseitige Authentifizierung, auch bekannt als Zwei-Wege-Authentifizierung, ist eine Art der Authentifizierung, bei der beide Parteien in einer Verbindung einander verifizieren, typischerweise mit digitalen Zertifikaten. Obwohl Wechselseitige Authentifizierung am häufigsten von Kommunikationsprotokollen wie Transport Layer Security (TLS) und Secure Sockets Layer (SSL) verwendet wird, nutzen viele Internet-of-Things (IoT)-Geräte die Technik auch für Verbindungen zwischen Geräten.
SMS-Authentifizierung
SMS-Authentifizierung nutzt Textnachrichten als Komponente von MFA. SMS-Authentifizierung funktioniert am besten, wenn die Authentifizierungsmethoden unverfälscht sind. Beispielsweise hatte ein Mobilfunkanbieter die clevere Idee, SMS-Authentifizierung mit einer Werbung zu kombinieren, wodurch Bedrohungsakteure überzeugendere Smishing-Angriffe entwerfen könnten.
Netzwerk- oder Server-Authentifizierung
Netzwerk-Authentifizierung bezieht sich auf die Identifikation von Nutzern, die versuchen, auf ein Netzwerk oder einen Server zuzugreifen. Diese Art der Authentifizierung wird in Kommunikationsprotokollen, VPNs, Firewalls und Systemen verwendet, die den Zugang zu Anwendungen kontrollieren.
Geheimschlüssel-Authentifizierung
In einem System, das Geheimschlüssel-Authentifizierung verwendet, teilen sich der Benutzer und das System einen kryptografischen Sitzungsschlüssel, der nur den beiden Parteien bekannt ist. Diese Schlüssel sind symmetrisch. Mit anderen Worten, sie funktionieren sowohl für die Verschlüsselung als auch für die Entschlüsselung. Kommunikationsprotokolle wie Secure Sockets Layer (SSL) verwenden Geheimschlüssel-Authentifizierung, um die Sicherheit der Datenübertragung zu gewährleisten, wie zwischen einem Webbrowser und einer Webseite.
Physischer Sicherheitsschlüssel
Ein physischer Sicherheitsschlüssel ist ein Hardwaregerät, das einem Benutzer hilft, seine Identität nachzuweisen, und ein Beispiel für einen Besitzfaktor ist. Ein physischer Sicherheitsschlüssel generiert normalerweise einen einzigartigen Code, der mit einem System für die Authentifizierung geteilt wird. Physische Sicherheitsschlüssel wurden vor über einem Jahrzehnt nur von hochrangigen Organisationen, wie Banken und Geheimdiensten, verwendet.
Heutzutage erlauben viele verschiedene Plattformen, wie Gaming, Ecommerce und soziale Medien, den Benutzern, ihre Konten mit physischen Sicherheitsschlüsseln zu schützen. Beispielsweise können Benutzer Facebooks Hardware-Key-Authentifizierung für iOS und Android aktivieren, um eine zusätzliche Sicherheitsschicht durch den Besitzfaktor zu erhalten.
Best Practices für Authentifizierung
- Seien Sie vorsichtig mit Schadsoftware, die darauf ausgelegt ist, Anmeldedaten oder sensible Daten zu stehlen, wie einige Arten von Trojanern, Spyware und Keyloggern. Lernen Sie bitte auch wie man einen Keylogger entfernt, da er Tastenanschläge, Screenshots und andere Informationen erfassen kann, um ein Authentifizierungssystem auszutricksen.
- Legen Sie Passwörter fest, die mindestens zehn Zeichen lang sind und eine Mischung aus Zahlen, Symbolen und Buchstaben enthalten.
- Vermeiden Sie die Verwendung bekannter Muster in Passwörtern, wie ein Geburtsdatum oder den Namen eines Lieblingsstars.
- Bewahren Sie Ihre Anmeldedaten nie offen auf, wie z.B. auf einem Zettel auf Ihrem Schreibtisch. Verschlüsseln Sie Passwörter in Geräten.
- Geben Sie Ihrem Passwort zusätzlichen Schutz, indem Sie MFA-Methoden wie biometrische Identifizierung oder einen Sicherheitsschlüssel verwenden.
- Seien Sie vorsichtig bei Social-Engineering-Angriffen, die darauf abzielen, Ihre Anmeldedaten zu stehlen.
- Vermeiden Sie die Wiederverwendung Ihres Passworts; andernfalls kann ein gestohlenes Passwort zu mehreren Kontoverletzungen führen.
- Ändern Sie Ihr Passwort regelmäßig. Versuchen Sie, einen renommierten Passwortmanager zu verwenden, um es bequemer zu machen.
- Ermutigen Sie den Netzwerkadministrator Ihrer Organisation, Sitzungszeiten zu begrenzen, um Session Hijacking zu verhindern.
- Administratoren müssen Authentifizierungsprotokolle und Netzwerkdaten überwachen, um schnell auf verdächtige Aktivitäten reagieren zu können, wie mehrere Zugriffsversuche von verdächtigen IP-Adressen.
- Organisationen sollten erwägen, eine Zero-Trust-Architektur für mehr Sicherheit zu übernehmen.
