Zugriffsschutz für Applikationen, Apps und Daten Starke Authentisierung: Kostenfallen vermeiden

Starke Authentisierungsverfahren tragen maßgeblich zu einem hohen Zugriffsschutz bei. Der Einsatz an den Endgeräten muss sich für das Unternehmen aber in verträglichen finanziellen Grenzen halten. Im Gespräch erklärt Erwin Schöndlinger, Geschäftsführer von Evidian Deutschland, worauf die Unternehmen bei der Umsetzung starker Authentisierungsverfahren an den Endgeräten achten sollten.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Security-Insider

Evidian GmbH

Security-Insider: Worauf kommt es beim Einsatz starker Authentisierungsverfahren generell an?

Schöndlinger: Starke Authentisierungsverfahren unterscheiden sich nicht nur technisch, in der Funktionsweise, sondern auch hinsichtlich der Einsatzbereiche und Kosten. Außerdem ist nicht jedes starke Authentisierungsverfahren auf jeder Hardware, also jedem Endgerät, einsetzbar.

Bevor die Unterschiede in Betracht gezogen werden, sollte analysiert werden, welche Applikationen, Apps und Daten für das Unternehmen geschäftskritisch sind und wer darauf zugreift. Nur diese kritischen IT-Ressourcen müssen mittels starker Authentisierung an den Endgeräten abgesichert werden. Für alle anderen Ressourcen reicht eine einfache Authentisierung mittels User-ID und Passwort aus.

Damit kann sich das Unternehmen an den meisten Clients auch die Kartenlesegeräte sparen. Diese Analyse am Anfang des Projekts erspart dem Unternehmen unnötige Anschaffungskosten und Aufwendungen.

Security-Insider: Welche Methoden zur starken Authentisierung sehen Sie am Markt?

Schöndlinger: Die wichtigsten Verfahren sind OTP, also One Time Passwort, X.509-Zertifikate mittels Smartcard oder USB-Stick, Login and Password auf Smartcard oder USB-Stick, OTP für mobile Smartphones, der Einsatz biometrischer Merkmale wie Fingerabdruck und berührungslos arbeitende RFID-Chips. Darauf ist der Code zur Identifizierung des Nutzers gespeichert, der von ihm durch PIN-Eingabe bestätigt wird.

Security-Insider: Für welche Einsatzbereiche empfehlen sich die einzelnen Verfahren?

Schöndlinger: OTP am PC sollte vor allem zur Absicherung von Remote-Zugriffen über VPN herangezogen werden. Auf dem PC sind keinerlei Anpassungen für das OTP-Verfahren notwendig.

X.509-Zertifikate werden meist dazu genutzt, um unzulässige Zugriffe auf sensible E-Mail-Bestände und Web-Applikationen abzuwehren. Sie setzen allerdings – gleich ob über Smartcard oder USB-Stick – eine PKI (Public-Key-Infrastruktur) voraus. Anders bei Login & Password auf Smartcard oder USB-Schlüssel. Dafür ist keine PKI erforderlich. Das Passwort, weil automatisch generiert, kann hier sehr komplex ausfallen, was den Zugriffsschutz für sensible Applikationen, Apps und Daten verstärkt.

Security-Insider: Und bei den übrigen Varianten?

Schöndlinger: Beim OTP-Verfahren für Smartphones sind zwei Methoden möglich: das OTP wird per SMS an das Endgerät übermittelt oder von einer Software generiert. Bevorzugt wird dieses Verfahren, wenn mobile Mitarbeiter ihr Passwort oder ihre Smartcard vergessen haben und via Internet mittels OTP auf Unternehmens-Ressourcen zugreifen.

Das biometrische Verfahren, meist auf Basis des Fingerabdrucks, ist bestens dazu geeignet, besonders geschäftskritische Applikationen, Apps und Daten jeder Art hermetisch vor unberechtigten Zugriffen abzuschirmen. Die biometrischen Vergleichsinformationen werden auf einem zentralen Server oder auf dem PC respektive Smartphone geführt. Verfügt das Smartphone über keine Lesefunktion, muss eine multiple oder multifunktionale Authentisierung in Erwägung gezogen werden. Berührungslos arbeitende RFID-Karten zur starken Authentisierung empfehlen sich überall dort, wo besonderer Wert auf eine einfache und schnelle Handhabung gelegt wird. Der User muss nur seine Funkkarte mit dem Code zu seiner Identifikation zücken und seine PIN eingeben.

Zu den versteckten Kosten, und wie sie sich vermeiden lassen, geht’s auf der nächsten Seite.

Security-Insider: Alle diese Verfahren ziehen doch unterschiedlich hohe Kosten nach sich…

Schöndlinger: Es sind weniger die Kosten für die Produkte, die die Unterschiede verursachen – vom Einsatz von X.509-Zertifikaten und einer PKI im Hintergrund einmal abgesehen. Es sind vielmehr die versteckten Kosten, die sich mehr oder weniger stark auf das Unternehmensbudget niederschlagen. Das haben mehr als zehn Jahre erwiesen, in denen Evidian und seine Partner hunderte solcher Projekte in Organisationen von 500 bis 110.000 Nutzern durchgeführt haben.

Selbst wenn die Projektierer in nur einige der Kostenfallen tappen, werden die Projekt- und später die Betriebskosten für die Authentisierung weit über das Budget hinausschießen. Parallel wird der Zugriffsschutz darunter leiden.

Security-Insider: Können Sie das verdeutlichen?

Schöndlinger: Nur wenn sich die starke Authentisierung als einfach in der Handhabung erweist, werden die Nutzer sie akzeptieren, andernfalls zu umgehen versuchen oder sie sogar ablehnen und blockieren. Dann drohen Sicherheitseinbußen mit allen Kosten- und Imagefolgen bis hin zur Anschaffung neuer Authentisierungsprodukte.

Die Anforderungen spezieller Nutzerkategorien sollten besonders ernst genommen werden. Diese Nutzer haben oft einen hohen Stellenwert im Unternehmen und entscheiden über Akzeptanz oder Ablehnung von Authentisierungswerkzeugen mit.

Beispiele dafür sind leitende Personen oder Personen in wichtigen Funktionen, die einen schnellen Zugriff brauchen oder wollen, nacheinander über mehrere PCs oder Konsolen am Standort zugreifen oder Sitzungen parallel an mehreren Bildschirmen verfolgen müssen. Auch Personen unter besonderem Handlungs- und Zugriffsdruck können es sich nicht leisten, zuviel Zeit auf die Authentisierung zu verwenden. Diese speziellen Profile sollten die Projektierer genau aufnehmen, um für die einzelnen Nutzerkategorien geeignete Verfahren und angemessene Prozeduren aufsetzen zu können.

Security-Insider: Was empfehlen Sie, um spätere Nutzungsprobleme von vornherein weitgehend auszuschließen?

Schöndlinger: Weniger technisch affine Nutzer sollten frühzeitig an die Authentisierungsverfahren herangeführt werden. Auf diese Weise kann nachvollzogen werden, wie sie damit umgehen. Die Erfahrungen können zudem für Schulungen der anderen Anwender genutzt werden. Nach solchen Testläufen ist das Projektteam darüber hinaus schlauer, ob die Hersteller oder Lieferanten der Authentisierungswerkzeuge genügend und angemessenes Infomaterial bereitstellen. Geht das Unternehmen so vor, ist es später weitgehend gegen negative Überraschungen auf Nutzerseite gefeit.

Security-Insider: Dennoch ist selbst eine starke und gut akzeptierte Authentisierung nur der erste Schritt hin zu einer verlässlichen Zugriffskontrolle…

Schöndlinger: Authentisierungsverfahren zielen zwar nicht direkt auf die Zugriffskontrolle ab. Dazu müssen Techniken wie SAML, Kerberos oder besser ein SSO (Single Sign-On) oder ein komplettes IAM (Identity and Access Management) dazwischen treten. Doch eine starke Authentisierung, richtig aufgesetzt und genutzt, prägt maßgeblich die Qualität dieses Zugriffsschutzes. Um so wichtiger ist es, mit geeigneten Verfahren und angemessenen Prozeduren die richtigen Weichen für einen hohen Zugriffsschutz zu stellen, ohne in unnötige Kosten hineinzulaufen.

Das Interview führte Dr. Andreas Bergler.

(ID:40532160)