Starke Authentisierung: Kostenfallen vermeiden

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Evidian GmbH

Security-Insider: Alle diese Verfahren ziehen doch unterschiedlich hohe Kosten nach sich…

Schöndlinger: Es sind weniger die Kosten für die Produkte, die die Unterschiede verursachen – vom Einsatz von X.509-Zertifikaten und einer PKI im Hintergrund einmal abgesehen. Es sind vielmehr die versteckten Kosten, die sich mehr oder weniger stark auf das Unternehmensbudget niederschlagen. Das haben mehr als zehn Jahre erwiesen, in denen Evidian und seine Partner hunderte solcher Projekte in Organisationen von 500 bis 110.000 Nutzern durchgeführt haben.

Selbst wenn die Projektierer in nur einige der Kostenfallen tappen, werden die Projekt- und später die Betriebskosten für die Authentisierung weit über das Budget hinausschießen. Parallel wird der Zugriffsschutz darunter leiden.

Security-Insider: Können Sie das verdeutlichen?

Schöndlinger: Nur wenn sich die starke Authentisierung als einfach in der Handhabung erweist, werden die Nutzer sie akzeptieren, andernfalls zu umgehen versuchen oder sie sogar ablehnen und blockieren. Dann drohen Sicherheitseinbußen mit allen Kosten- und Imagefolgen bis hin zur Anschaffung neuer Authentisierungsprodukte.

Die Anforderungen spezieller Nutzerkategorien sollten besonders ernst genommen werden. Diese Nutzer haben oft einen hohen Stellenwert im Unternehmen und entscheiden über Akzeptanz oder Ablehnung von Authentisierungswerkzeugen mit.

Beispiele dafür sind leitende Personen oder Personen in wichtigen Funktionen, die einen schnellen Zugriff brauchen oder wollen, nacheinander über mehrere PCs oder Konsolen am Standort zugreifen oder Sitzungen parallel an mehreren Bildschirmen verfolgen müssen. Auch Personen unter besonderem Handlungs- und Zugriffsdruck können es sich nicht leisten, zuviel Zeit auf die Authentisierung zu verwenden. Diese speziellen Profile sollten die Projektierer genau aufnehmen, um für die einzelnen Nutzerkategorien geeignete Verfahren und angemessene Prozeduren aufsetzen zu können.

Security-Insider: Was empfehlen Sie, um spätere Nutzungsprobleme von vornherein weitgehend auszuschließen?

Schöndlinger: Weniger technisch affine Nutzer sollten frühzeitig an die Authentisierungsverfahren herangeführt werden. Auf diese Weise kann nachvollzogen werden, wie sie damit umgehen. Die Erfahrungen können zudem für Schulungen der anderen Anwender genutzt werden. Nach solchen Testläufen ist das Projektteam darüber hinaus schlauer, ob die Hersteller oder Lieferanten der Authentisierungswerkzeuge genügend und angemessenes Infomaterial bereitstellen. Geht das Unternehmen so vor, ist es später weitgehend gegen negative Überraschungen auf Nutzerseite gefeit.

Security-Insider: Dennoch ist selbst eine starke und gut akzeptierte Authentisierung nur der erste Schritt hin zu einer verlässlichen Zugriffskontrolle…

Schöndlinger: Authentisierungsverfahren zielen zwar nicht direkt auf die Zugriffskontrolle ab. Dazu müssen Techniken wie SAML, Kerberos oder besser ein SSO (Single Sign-On) oder ein komplettes IAM (Identity and Access Management) dazwischen treten. Doch eine starke Authentisierung, richtig aufgesetzt und genutzt, prägt maßgeblich die Qualität dieses Zugriffsschutzes. Um so wichtiger ist es, mit geeigneten Verfahren und angemessenen Prozeduren die richtigen Weichen für einen hohen Zugriffsschutz zu stellen, ohne in unnötige Kosten hineinzulaufen.

Das Interview führte Dr. Andreas Bergler.

(ID:40532160)