Datenschutz bei Zulieferern Einführung einer Zwei-Faktor-Authentifizierung

Wer als Zulieferer nachweisen kann, dass er seine IT-Systeme vor unautorisiertem Zugriff schützt, hat einen Wettbewerbsvorteil. Eine Zwei-Faktor-Authentifizierung verspricht das und ist verhältnismäßig schnell umgesetzt.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Peak Solution GmbH

Der Schutz geistigen Eigentums sollte in jedem Technologieunternehmen oberste Priorität haben. Wer als Zulieferer oder Entwicklungsdienstleister mit vertraulichen Daten seines Kunden umgeht, ist zu besonderer Sorgfalt angehalten. In Hightech-Branchen wie der Automobilindustrie oder der Luft- und Raumfahrt vergeben OEMs viele Aufgaben an Partner.

Häufig fordern die Auftraggeber bereits eine starke Authentisierung von ihren Zulieferern. Mit dem richtigen Vorgehen ist die Einführung eines solchen Systems ein überschaubares Projekt. Zwölf Manntage sind der Durchschnittswert. Bei einem Automobilentwicklungsdienstleisters konnte die auf Identity- und Accessmanagement (IAM) spezialisierte, herstellerunabhängige Peak Solution GmbH das Projekt in zehn Tagen abschließen.

Der weitgehend standardisierte Implementierungsprozess ließ sich in diesem Fall beschleunigen, weil das Nürnberger IT-Haus mit dem Schließsystemlieferanten des Automobilzulieferers bereits zusammengearbeitet hatte. Die schnelle Einführung der Zwei-Faktor-Authentisierung setzt nämlich an der Erweiterung bestehender Zutrittskontrollsysteme an.

In vielen Konzernen und bei großen Mittelständlern sind Multifunktionsmitarbeiterausweise Standard. Diese Ausweise dienen der Authentisierung gegenüber Schließanlagen und vereinen meist noch weitere Funktion wie Zeiterfassung oder Bezahlung in der Kantine. Es bietet sich also an, die Funktion dieser Medien zu erweitern und für die Authentisierung gegenüber IT-Systemen zu ergänzen.

Doch das ist nicht der einzige Grund. Ein Identifikationsmedium für alle relevanten Funktionen erhöht die Sicherheit, macht Passwörter überflüssig und reduziert, bei richtiger Implementierung, den Verwaltungsaufwand.

Zwei-Faktor-Authentisierung

Die Anmeldung an IT-Systemen mit Benutzername und Passwort gilt schon lange als nicht ausreichend sicher – schon gar nicht für den Schutz sensibler Daten und Anwendungen. IT-Security-Experten empfehlen hierfür die Zwei-Faktor-Authentisierung.

Was steckt dahinter? Damit ein IT-System die digitale Identität eines Benutzers verifizieren kann, gibt es drei Wege: wissensbasiert über Passwörter oder PINs, besitzbasiert über Token oder Chipkarten und merkmalbasiert anhand biometrischer Daten wie Fingerabdruck oder Stimme.

Zwei-Faktor-Authentisierung heißt nun, dass zwei dieser Verfahren kombiniert werden müssen. Beliebt ist die Verbindung zwischen Passwort und einem Gerät, das Einmalpasswörter erzeugt; oder die Kombination von Passwort und Fingerabdruckscanner an der Tastatur. Smartcard-Ausweissysteme haben aber zwei wesentliche Vorteile:

Erstens dienen sie als Sichtausweis zugleich der Authentifikation durch menschliche Sicherheitskontrollen wie Pförtner oder Werkschutz. Der zweite Vorteil liegt in der physischen Verknüpfung zweier Funktionen. Denn soll eine Workstation nicht ungesichert bleiben, wenn sich der autorisierte Mitarbeiter entfernt, ist die Multifunktionskarte ideal. Vergisst der Mitarbeiter die Karte im Leseschlitz, fällt ihm dies spätestens an der nächsten Tür auf, zu deren Öffnung er die Karte braucht.

Aufnahme Ist-Zustand

Beim Projektstart zur Einführung der Zwei-Faktor-Authentisierung klärt der IAM-Dienstleister einige grundlegende Fragen:

• Ist heute schon eine elektronische Schließanlage oder Zeiterfassung im Einsatz?

• Welcher RFID-Standard (meist Mifare oder Legic) wird dafür genutzt?

• Welche weiteren Funktionen wie etwa Kantinenbezahlung sind mit den Ausweisen verbunden?

• Wie sieht die IT-Infrastruktur aus?

Je nachdem, ob es sich um eine Microsoft- oder eine Linux-Infrastruktur handelt, dient ein Active Directory oder ein LDAP zur Benutzerverwaltung. Auf diese greift dann das Ausweisverwaltungssystem zu. Dies ist die wesentliche neu zu implementierende Komponente. Es wird zudem abgefragt, ob bereits eine Public Key Infrastructure (PKI) vorhanden ist oder ob diese gegebenenfalls im Zuge des Projektes eingerichtet werden soll.

Obwohl für die Einführung der Zwei-Faktor-Authentisierung nicht zwingend erforderlich, hat es sich als sinnvoll erwiesen, die Speicherung von privaten Schlüsseln einer PKI auf den Karten vorzusehen. Damit kann das Unternehmen jederzeit in eine komfortable E-Mail- und Datenverschlüsselung einsteigen und sein IT-Sicherheitsniveau weiter erhöhen.

(ID:43890664)