Das Passwort ist wohl die beliebteste und häufigste verfügbare Sicherheitsmaßnahme, und oft ist es auch die verwundbarste. 2016 wurde bekannt, dass Hacker und Cyberkriminelle, die auf Identitätsdiebstahl aus sind, die größte Quelle für Datenschutzverletzungen sind. Und wie reagieren die meisten Unternehmen im Fall und bei Gefahr von Datenschutzverletzungen? Sie lassen die Benutzer die Passwörter ändern.

Aber das Passwort hat viele Mängel. Zum einen bieten Passwörter keine ausreichend starke Identitätsprüfung. Jeder, der das Passwort in die Hände bekommt, kann einfach in einen Account einsteigen und sich nehmen, was er braucht. Darüber hinaus basiert die Sicherheit des Accounts ausschließlich auf der Stärke des Passworts, das, wie wir alle wissen, normalerweise nicht stark genug ist. Niemand erinnert sich gerne an Zeichenfolgen, die Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Benutzer wollen etwas Einfaches, leicht zu merkendes und unwissentlich, einfach zu hackendes.

Dies ist der Grund, warum Unternehmen die Multi-Faktor-Authentifizierung oder MFA verwenden, um das Passwort als Mittel zur Zugriffskontrolle zu ergänzen oder in einigen Fällen als echte Alternative zu Passwörtern. Aber erst einmal: Was ist MFA?

Was versteht man unter Multi-Faktor-Authentifizierung?

In einem Blog Post von 2016 hat Petteri Ihalainen einen ausführlicheren Artikel geschrieben, in dem definiert wird, was MFA ist. Zusammenfassend kann man sagen, Multi-Faktor-Authentifizierung ist das Verfahren, einen Online-Benutzer durch Validierung von zwei oder mehr, vom Benutzer präsentierten Anforderungen, zu identifizieren. Dabei stammt jede aus einer anderen Kategorie von Faktoren. Vielleicht haben Sie von ihr auch schon unter dem Namen ihrer Varianten wie Step-up-Authentifizierung, erweiterte Authentifizierung, 2-stufige Verifizierung und 2-Faktor-Authentifizierung gehört.

Die drei grundlegenden Elemente, die in MFA verwendet werden können, sind:

• a) etwas, das der Benutzer kennt, wie ein Passwort oder eine PIN-Nummer;
• b) etwas, das der Benutzer hat, wie ein mobiles Gerät; und
• c) etwas, das der Benutzer ist, wie ein Fingerabdruck, optische Merkmale oder Stimme.

Das Prinzip von MFA beruht darauf, dass es keinen perfekten Authentifizierungsfaktor gibt. Jeder implementierte Faktor hat seine Stärken und Schwächen. Beim Konzept der Multi-Faktor-Authentifizierung gleicht ein zweiter oder dritter Faktor die Schwäche des/der anderen Faktors/en aus und umgekehrt.

Nachdem wir die Grundlagen von MFA durchgegangen sind, wollen wir uns nun einmal ihre Vorteile näher anschauen.

Vorteile von Authentifizierung mit mehreren Faktoren

Stärkt die Sicherheit

Wie oben besprochen, besteht das Prinzip der MFA darin, dass jeder Faktor die Schwäche der anderen Faktoren kompensiert. Authentifizierungsfaktoren können beispielsweise über "etwas, das der Benutzer kennt", wie Passwörter und Pins, für Brute-Force (Hacker, die Logins erzwingen) oder Social-Engineering-Angriffe anfällig sein. Sie können sie durch Hinzufügen eines Authentifizierungsfaktors ergänzen, der nicht so leicht zu erraten ist, wie "etwas, das Sie haben", bei dem Benutzer über ihr mobiles Gerät authentifiziert werden oder durch "etwas, das Sie sind", wie ein biometrischer Faktor in Form von Fingerabdruck oder Stimme. Wenn der Hacker nicht über alle vom System benötigten Faktoren verfügt, kann er nicht auf den Account zugreifen.

Ein Schritt in Richtung Compliance

Abgesehen von der Verschlüsselung von Daten geben viele Compliance-Standards - national, bundeslandweit oder anderweitig - normalerweise vor, dass Unternehmen MFA für bestimmte Situationen implementieren müssen. Dies gilt insbesondere, wenn es um den Schutz sensibler Daten wie personenbezogene Daten (PII) oder Finanzdaten geht. Dies bedeutet, dass die Implementierung von MFA tatsächlich ein Schritt in Richtung Compliance ist.

Und selbst wenn diese MFA nicht ausdrücklich fordert, ist es evtl. immer noch der beste Schritt. Der Health Insurance Portability and Accountability Act (HIPAA) verlangt beispielsweise nicht ausdrücklich MFA. Aber es gibt zahlreiche Bestimmungen innerhalb der Unterabschnitte zu Sicherheitsregeln, die die Notwendigkeit eines starken Authentifizierungsverfahrens betonen. Und welches starke Authentifizierungsverfahren kennen wir? Es läuft immer noch auf MFA hinaus.

Die Auswahl der richtigen Authentifikatoren sollte ebenfalls ganz oben auf der Prioritätenliste stehen. Letztes Jahr hat das National Institut of Standards and Technology (NIST) gerade seine Richtlinien zur Verwendung von Multi-Faktor-Authentifizierung aktualisiert. Sie besagen nun, dass Out-of-Band-Verifizierungsmethoden, die PSTN, SMS oder Sprachanrufe nutzen, aufgrund der Gefahr, dass SMS oder Sprachanrufe anfällig für Abfangen sind, verworfen werden.

Das bedeutet, dass Sie Ihre MFA-Implementierung nicht allein durch Compliance steuern lassen können. Tappen Sie nicht in die Falle der "Checkbox-Compliance" und denken, nur weil Sie die behördlichen Anforderungen erfüllen, dass Sie tatsächlich die Sicherheit erhöht haben. Stellen Sie sicher, dass die von Ihnen verwendete MFA-Methode derzeit empfohlen wird, und behalten Sie immer das Ziel der System- und Datensicherheit im Auge, nicht nur die Compliance.

Vereinfacht den Login-Prozess

Sie denken eventuell, dass durch Verwendung von mehreren Authentifizierungsfaktoren das Einloggen in Accounts komplizierter werden würde. Aber die von MFA gebotene zusätzliche Sicherheit ermöglicht es Unternehmen, erweiterte Anmeldeoptionen, wie Single Sign-On, zu verwenden.

Single Sign-On funktioniert so, dass der Benutzer während des Login-Prozesses über MFA validiert wird. Wenn der Benutzer authentifiziert ist, wird er bei seiner Single Sign-On-Software angemeldet. Von dort aus hat er Zugriff auf die Apps, die durch die Single-Sign-On-Software abgedeckt sind, ohne sich für jede App einzeln anmelden zu müssen.

Dieses Szenario verleiht der MFA-Implementierung Praktikabilität, da ein Problem bei der Implementierung die Login-Müdigkeit ist. Dies bezieht sich auf Benutzer, die es leid sind, sich in verschiedene Accounts einzuloggen, und MFA würde die Benutzer nur mehr stressen. Aber in Kombination mit Single Sign-On würde eine einzige MFA-Instanz alle Apps abdecken, die der Benutzer benötigt.

MFA ist eine wesentliche Komponente der Cybersicherheit

Angesichts der zunehmenden Anzahl und des Umfangs von Datenschutzverletzungen erkennen viele Unternehmen deren Gefahr. Es ist gut, dass dieses Jahr Cybersicherheit für viele Unternehmen zu einer obersten Priorität geworden ist, insbesondere mit dem Anstieg der Cloud-Kommunikation. Um diese Bedenken auszuräumen, implementieren die meisten Unternehmen MFA. In der Tat wird der Markt für Multi-Faktor-Authentifizierung (MFA) bis 2022 voraussichtlich 12,51 Milliarden US-Dollar erreichen, mit einem durchschnittlichen jährlichen Wachstum von 15,52%. Dies zeigt, dass viele Unternehmen der Meinung sind, dass MFA derzeit eine der besten Sicherheitsmaßnahmen ist, die man implementieren kann, um Unternehmen, Benutzer und sensible Daten zu schützen.

Hinweis: Dieser Blog Artikel wurde von einem Gastautor geschrieben, um unseren Lesern eine breitere Vielfalt an Inhalten anzubieten. Die in diesem Gastautorenartikel ausgedrückten Meinungen sind nur die des Autors und geben nicht unbedingt die von GlobalSign wieder.