Multi-Faktor-Authentifizierung gegen Online- und Pishing-Angriffe

Username und Passwort eingeben – viele mittelständische Unternehmen schützen die Accounts ihrer Mitarbeiter nicht weiter. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinem IT-Grundschutzkatalog allerdings für den Schutz personenbezogener Daten deutlich mehr – nämlich den Einsatz einer sogenannten Multi-Faktor-Authentifizierung (MFA). Die Account-Sicherheit wird nicht nur in den zwei Schritten Benutzername und Passwort – sondern in einem weiteren Authentifizierungsschritt gewährleistet. Das kann beispielsweise eine Einmal-PIN oder ein Einmal-Passwort auf das Handy oder per E-Mail sein. „Je mehr Faktoren, desto geringer die Chance für Unbefugte sich Zutritt zu verschaffen“, das bestätigt auch Henning Krebel, Geschäftsführer des IT-Systemhauses Parit in Augsburg. „Auch die DSGVO verpflichtet Unternehmen Daten angemessen zu schützen. Eine dafür geeignete Maßnahme ist die MFA.“

Kunden wählen zwischen verschiedenen Möglichkeiten der Authentifizierung

Um die Sicherheit in Sachen Personendaten zu erhöhen, können über die MFA diverse Variablen abgefragt werden: zum Beispiel ein Passwort, ein Smartphone, eine Zugangskarte oder etwas, das den Nutzer als Person identifiziert wie ein Fingerabdruck.

Biometrie oder TAN oder Push-Token? Welche Faktoren sind sicher und userfreundlich?

Für die Authentifizierung stehen Privatpersonen und Unternehmen unterschiedliche Faktoren zur Auswahl. Die gängigsten wären:

• Tan-Listen und -Generatoren: Der breiten Öffentlichkeit wohlbekannt sind sogenannte TAN-Listen oder -Generatoren, die Banken für das Online-Banking nutzen. Der Nutzer muss nicht nur seine Login-Daten eingeben, sondern bei jeder Transaktion eine Nummer. Diese lagen früher in Papierform vor, heute werden sie von einem TAN/Token-Generator erzeugt. Auch mobile Push-Tokens sind häufig anzutreffen.
• Push-Tokens: Erhalten sie per Smartphone eine Nachricht und bestätigen sie per Click auf den Button die Authentifizierung, agieren sie mit sogenannten Push-Tokens. Positiv an dieser mobilen Variante ist, dass sie ein anderes Netzwerk verwendet und sehr userfreundlich ist.
• Biometrische Authentifizierung: Eine der schnellsten und unkompliziertesten Arten sich zu authentifizieren funktioniert über biometrische Merkmale – jede Person trägt seine Merkmale wie Fingerabdrücke stets bei sich.

Die Multi-Faktor-Authentifizierung einzuführen sei zudem nicht unbedingt mit immensen Kosten verbunden, so IT-Spezialist Henning Krebel. „Häufig sind die Techniken bereits in aktuelle Firewalls installiert und müssen nur aktiviert werden. Eine Prüfung der Security-Infrastruktur durch einen Experten gibt Unternehmen schnell Auskunft, welche Schritte notwendig sind und eingeleitet werden müssen.“ Viele Unternehmen scheuen diesen Schritt auch deshalb, da der zusätzliche Schutz einen Mehraufwand für den Kunden bedeuten könnte. Doch gerade Verfahren über das Handy, die ein Einmal-Passwort als zusätzlichen Sicherheitsfaktor verwenden, sind in der Regel extrem nutzerfreundlich.

Je mehr unabhängige Faktoren in einem System, desto größer die Hürden für Angreifer

„Nutzerkonten, die nur mit dem Passwort und einem Nutzernamen versehen sind und nicht mit der MF-Authentifizierung, werden oft gehackt. Was noch viel häufiger, aber unbemerkt passiert ist folgendes Szenario: Oft sitzt der Trojaner bereits im System und liest Daten im Hintergrund mit. Waren die Passwörter in einem Word-Dokument hinterlegt, kapert der Virus dieses in Sekundenschnelle und liest anschließend in aller Ruhe so viele Daten als möglich aus. Der Nutzer bemerkt von diesem ständigen Datenstrom nichts. Nutzt er einen Portblocker wie eine Fritzbox und keine Firewall, wird er niemals darüber in Kenntnis gesetzt werden. Vor dem Hintergrund der IT-Security ist eine aktuelle Firewall inklusive Mehr-Faktor-Authentifizierung also durchaus sinnvoll.“ Sollte dennoch ein Faktor ihres Systems geknackt werden, ist es unwahrscheinlich, dass das physische Gerät zusätzlich attackiert wird. Je mehr unabhängige Systeme, desto größer für Angreifer die Hürde.