Thought Leadership
Allzu oft wurden in den vergangenen Monaten Nutzerkonten aufgrund von zu einfachen Passwörtern gehackt. Immer mehr Anbieter setzen deshalb auf Multi-Faktor-Authentifizierung (MFA), um die Sicherheit zu erhöhen. Dr. Amir Alsbih, COO der KeyIdentity GmbH, erklärt die Vor- und Nachteile der meist genutzten Authentifizierungsfaktoren.
Immer mehr Anbieter setzen auf Multi-Faktor-Authentifizierung (MFA), um die Sicherheit zu erhöhen. Dahinter steht das Prinzip, mehrere Authentifizierungstechniken miteinander zu verknüpfen. Dabei werden zwei oder mehr der folgenden Variablen abgefragt:
- etwas, das der Nutzer weiß – zum Beispiel ein Passwort
- etwas, das der Nutzer besitzt – wie etwa ein Smartphone oder eine Zugangskarte
- etwas, das den Nutzer zweifelsfrei als Person identifiziert – beispielsweise ein Fingerabdruck oder andere biometrische Merkmale
Doch welcher Authentifizierungsfaktor ist besonders sicher und gleichzeitig benutzerfreundlich?
1. Hardware-Token
Bei Hardware Token denken viele an veraltete, unpraktische Hardware-Teile, die man am Schlüsselbund mit sich mitführen muss um sie zur Authentifizierung in ein weiteres Lesegerät zu stecken – veraltete Technologie. Hardware-Token müssen allerdings heute nicht mehr unpraktisch sein; kommen beispielsweise in Form von NFC-Chips daher, die man praktisch an seinem Smartphone anbringen kann. Hardware Token stellen eine der sicherste Token dar, da es nur eingeschränkte Möglichkeiten gibt, diese zu manipulieren bzw. zu kompromittieren, weshalb diese vor allem für Hoch-Risiko-Umgebungen eingesetzt werden.
2. Mobile Push-Token
Steigender Beliebtheit erfreuen sich mobile Push-Tokens. Durch die Verwendung von Push-Token, bei denen der Anwender eine Nachricht auf sein Smartphone erhält und lediglich per Click auf einen Button seine Authentifizierung bestätigen muss, wird die Sicherheit maßgeblich erhöht, ohne aufwändig für den Nutzer zu sein. Dieser Faktor gilt als besonders sicher, da für eine Authentifizierung der physikalische Zugriff zu dem Smartphone nötig wird –die Zugangsdaten alleine reichen nicht mehr aus. Außerdem funktioniert die Kommunikation mit dem Smartphone über ein weiteres Netzwerk, über das ein potenzieller Angreifer in der Regel keine Kontrolle hat, nämlich das Mobilfunknetzwerk des Providers. Solange man davon ausgehen kann, dass das Smartphone des Benutzers nicht kompromittiert ist, bietet diese Token Art das beste Gleichgewicht an Sicherheit und Benutzerfreundlichkeit.
3. Biometrie
Biometrie bietet als weiterer Authentifizierungsfaktor einige Vorteile: Die Verifizierung geht schneller und ist bequemer als so ziemlich alle Alternativen. Biometrische Merkmale sind vermeintlich einzigartig und untrennbar mit ihrem Träger verknüpft und können nicht vergessen, verloren oder verlegt werden. Hinzu kommt ein nicht zu unterschätzender Coolness-Faktor: Bereits seit Jahrzehnten präsentiert uns Hollywood Iris- und Fingerabdruckscanner als futuristische Methode zur Authentifizierung. Biometrie hat jedoch auch Nachteile: Zum einen lassen sich biometrische Merkmale nicht mehr ändern – sofern Sie kompromittiert wurden. Außerdem haben diese Verfahren das Problem der Falschzurückweisungsrate (FRR), bei der valide Benutzer nicht erkannt wird, bzw. der Falschakzeptanzrate (FAR) bei dem unberechtigten Benutzer autorisiert werden. Da beide Werte miteinander korrelieren, bedeutet dies, je kleiner die FAR wird, desto höher wird die FRR. Beispielsweise können Krankheiten dazu führen, dass valide Benutzer aufgrund der Veränderung des biometrischen Merkmals nicht mehr erkannt werden,
4. Tan-Listen und -Generatoren
Diese Art von Faktor kennt man vor allem aus dem privaten Online-Banking, denn Banken setzen bereits seit Jahren auf Multi-Faktor-Authentifizierung. Beim Onlinebanking fragen sie nicht nur Login-Daten ab, sondern verlangen für jede Transaktion eine Transaktionsnummer (TAN), die dem Nutzer entweder in Papierform vorliegt oder von einem Token-Generator bzw. TAN-Generator elektronisch erzeugt wird. Mittlerweile geht der Trend allerdings eher weg von TAN-Listen und -Generatoren hin zu mobilen Push-Token, da diese nutzerfreundlicher sind – Das Smartphone hat man eher immer dabei als seinen TAN-Generator fürs Online-Banking. Im Grunde stellen Tan-Listen eine Variante der Hardware-Token dar, nur das die darin enthaltenen „Tans“ endlich sind und zur Erhöhung der Sicherheit nicht chronologisch abgearbeitet werden. Da sie jedoch aus Papier sind, kann man diese anders als Hardware-Token abfotografieren und damit duplizieren, ohne das der „valide“ Benutzer etwas davon merkt.
Jeder der oben aufgeführten Faktoren hat seine Vor- und Nachteile. Eines haben sie jedoch alle gemeinsam: Sie tragen zu einer erhöhten Sicherheit bei. Deshalb werden wohl auch zukünftig weitere Unternehmen auf Zwei- bzw. Multi-Faktor-Authentifizierung zurückreifen und diese Faktoren mit der klassischen Passwortabfrage kombinieren, um ihren Nutzern ein erhöhtes Maß an Sicherheit bieten zu können.
