Eine Alternative bietet eine passwortlose MFA
Die Anmeldung mit Benutzername und Passwort ist noch immer Standard. Doch dieses Verfahren hat viele Nachteile und Unternehmen suchen nach Alternativen. Eine Möglichkeit bietet die passwortlose MFA.
Obwohl über 80 Prozent aller Sicherheitsvorfälle in Zusammenhang mit gestohlenen, ausgespähten oder zu schwachen Passwörtern stehen, setzen die meisten Unternehmen noch immer auf das klassische Anmeldeverfahren mit Benutzername und Kennwort. Doch nicht nur die mangelhafte Sicherheit spricht gegen diese Zugangsberechtigung. Auch wegen negativer Auswirkungen auf die Produktivität der Mitarbeitenden und erheblicher Kosten für den Verwaltungsaufwand suchen Unternehmen nach Alternativen zur Passwort basierten Anmeldung. Solche Alternativen existieren bereits, denn Smartcards und Public-Key-Kryptografie ermöglichen eine sichere Authentifizierung. Inzwischen kann auch ein Smartphone als Smartcard verwendet werden, was die Einführung einer Technologie für die passwortlose MFA erheblich vereinfacht.
Authentifizierungsspezialist Hypr gibt Tipps zur Einführung einer echten passwortlosen Anmeldung und zeigt, worauf Unternehmen achten sollten:
1. Bestandsaufnahme I: Wo nerven Passwörter am meisten?
Bei der Einführung einer passwortlosen Authentifizierungslösung sollten Unternehmen zunächst analysieren, in welchen Bereichen die negativen Auswirkungen einer Passwort-basierten Anmeldung am größten sind:
– Wo sind sie für den Anwender am ärgerlichsten?
– Wo bereiten sie am meisten Stress in der IT-Abteilung?
– Wo sind sie am schlechtesten für die Produktivität und am gefährlichsten für die Sicherheit?
– Welches sind die besonders kritischen Systeme im Unternehmen?
2. Bestandsaufnahme II: Welche Lösungen sind bereits im Einsatz?
Um die Nutzung von unsicheren Passwörtern zu minimieren und die negativen Auswirkungen einer Passwort basierten Anmeldung auf die Produktivität der Mitarbeiter zu umgehen, verwenden Unternehmen bereits Tools wie Passwortmanager oder Single-Sign-on-Verfahren (SSO) – oder eine Kombination aus beiden.
Ein sehr viel höheres Sicherheitslevel bieten diese Methoden jedoch nicht. Schliesslich basieren diese Techniken auf in einer zentralen Datenbank gespeicherten Kennwörtern, die potenziell anfällig für Cyberangriffe ist. Darüber hinaus werden lediglich viele Passwörter durch eines versteckt, wodurch ein Single-Point-of-Failure entsteht, der ein beträchtliches Schadenpotenzial birgt.
3. Multi-Faktor-Authentifizierung (MFA) prüfen
Bei der Einführung einer MFA-Lösung gilt es zwischen vermeintlicher und echter Passwortlosigkeit zu unterscheiden: Um die Sicherheit Passwort basierter Anmeldeverfahren zu verbessern, verwenden viele Unternehmen mehrere Faktoren, um einen Nutzer zu authentifizieren. Die meisten Multi-Faktor-Authentifizierungslösungen basieren auf Kennwörtern und Shared Secrets – das heisst, ein zusätzliches Passwort erhöht die Sicherheit bei der Anmeldung. Da Unternehmen nun zunehmend unterschiedliche Cloud-Dienste nutzen, stehen sie vor dem Dilemma, verschiedene Identitätsplattformen verwalten zu müssen. Und die Endbenutzer sind mit zahlreichen Multi-Faktor-Anmeldemethoden konfrontiert, die immer komplexer und inkonsistenter werden und sich negativ auf ihre Produktivität auswirken.
Zwar bietet eine herkömmliche MFA ein höheres Schutzniveau als eine Anmeldung nur mit Nutzername und Passwort. Doch noch immer werden Shared Secrets genutzt, die zentral in einer Datenbank gespeichert anfällig für einen Hackerangriff sind.
4. Vorsicht: Passwortlos ist nicht gleich passwortlos
Bei der Einführung einer passwortlosen Authentifizierung sollten Unternehmen darauf achten, dass die Lösung eine echte passwortlose Multi-Faktor-Authentifizierung bietet. Anders als bei Passwort basierten MFA-Techniken werden hier Kennwörter durch sichere kryptografische, asymmetrische Schlüsselpaare ersetzt, sodass Hackerangriffe nur auf einzelne Geräte denkbar sind, nicht aber auf eine Credential-Datenbank mit zahlreichen Anmeldeinformationen.
Darüber hinaus entlastet eine passwortlose MFA den IT-Help-Desk, indem sie die Kosten für die Verwaltung von Zugangsdaten, etwa bei einem Passwort-Reset, erheblich minimiert.
5. Echte passwortlose MFA bereits am Desktop erhöht die Sicherheit
Ein wichtiges Kriterium bei der Einführung einer passwortlosen MFA-Lösung ist die Einsatzmöglichkeit bereits bei der Anmeldung am Desktop. Damit wird der Schutz vor Angriffen bereits zum frühestmöglichen Zeitpunkt realisiert und nicht erst, wenn der Anwender bereits im Netzwerk ist. Von grosser Bedeutung ist, dass die Lösung auch offline funktioniert, damit Anwender zu jeder Zeit geschützt sind und zum Beispiel auch ohne Netzwerkverbindung auf ihren Laptop zugreifen können. Nur so ist sichergestellt, dass sie nicht wieder auf Benutzername und Passwort als Fallback zurückgreifen müssen und diese unsichere Anmeldevariante ausgeschlossen werden kann.
6. Integration, Kompatibilität und Zukunftsfähigkeit evaluieren
Empfehlenswert ist eine passwortlose MFA-Lösung, die flexibel ist, sich in bestehende Systeme wie Identity-Access-Management-Lösungen und Cloud-Dienste integriert und auch ältere Anwendungen unterstützt.
Sie sollte zudem mit anderen echten passwortlosen Techniken kompatibel sein, beispielsweise zu Sicherheitstokens wie Smartcards und FIDO-Sticks, und auch die in verschiedenen Laptops bereits integrierten Lösungen wie Windows Hello und Touch ID unterstützen. Die Nutzung für Mobil- und Web-Anwendungen, VDI- und VPN-Umgebungen, Remote-Desktop-Verbindungen sowie die Unterstützung von Sicherheitsstandards wie FIDO2 sollten eine Selbstverständlichkeit sein. Optimalerweise funktioniert eine solche Lösung dank der Kompatibilität zu Standards überdies bei zukünftigen Anwendungen und Diensten.
7. Mehr Benutzerkomfort dank Zugang per Smartphone
Eine optimale passwortlose MFA unterstützt darüber hinaus auch moderne Geräte wie Smartphones und bietet eine effiziente und einheitliche Benutzererfahrung. So kann der Login am Smartphone (Faktor: Besitz) initiiert und durch Biometrie (Faktor: Inhärenz) oder eine PIN (Faktor: Wissen) authentifiziert werden. Wichtig dabei ist, dass der von der FIDO-Allianz definierte offene Industriestandard für die Zwei-Faktor-Authentifizierung unterstützt wird. Nur so kann das Smartphone auch zur Smartcard werden.
„Wenn ein Unternehmen eine passwortlose Authentifizierungslösung nutzt oder einführt, sollte es genau prüfen, ob es sich um eine echte oder nur eine anwenderorientierte Passwortlosigkeit handelt“, erklärt Jochen Koehler von Hypr. „Klar ist auch, dass vor allem eine passwortlose Multi-Faktor-Authentifizierung höchstmögliche Sicherheit bietet – und dabei ganz wichtig: bereits bei der Betriebssystemanmeldung. Man lässt also den Hacker nicht erst ins Haus und verbietet ihm dann den Zugang zum Schlafzimmer, sondern wehrt ihn bereits an der Eingangstür ab.“
Quelle: Hypr
Weitere Themen:
