Cloud-Anbieter sollten MFA einführen Warum ein Sicherheitsgurt für das Internet so wichtig ist

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Die meisten von uns sind inzwischen mit einer Zwei-Faktor- oder einer Multi-Faktor-Authentifizierung vertraut. Das sind per SMS zugestellte Einmal-Passwörter, Push-Benachrichtigungen oder biometrische Daten zur Anmeldung bei Benutzerkonten.

In Europa hat die Zahlungsdiensterichtlinie PSD2 eine starke Kundenauthentifizierung mittels Zwei-Faktor-Authentifizierung beim Online-Bezahlen weitestgehend durchgesetzt. Auch die Cloud-Anbieter stehen im Hinblick auf die Einführung einer Multi-Faktor-Authentifizierung (MFA) deshalb nicht mehr vor der Frage, ob sie kommt, sondern wann.

Fortschritte bei der Multi-Faktor-Authentifizierung

Die Finanz- und Zahlungsdienstleister sind nicht die einzigen, die sich mit dem Thema Authentifizierung beschäftigen. So haben im Jahr 2021 einige der großen Anbieter von Online-Verbraucherdiensten Teile ihrer Nutzer auf MFA umgestellt. Google beispielsweise verpflichtete sich, die Multi-Faktor-Authentifizierung für alle Google-Workspace-Nutzer vorzuschreiben, und verschenkte zudem Tausende von Sicherheitsschlüsseln an Personen mit hohem Risiko. Microsoft hat sich von unsicheren Verfahren verabschiedet und passwortlose Zugriffsoptionen für Benutzerkonten eingeführt.

Umstellung bis Mai 2023

Salesforce führt Multi-Faktor-Authentifizierung ein

Beim Einsatz von Multi-Faktor-Authentifizierung ist noch Luft nach oben. Die oben angesprochenen Initiativen sind zwar ein guter Anfang, für flächendeckenden Schutz müssen jedoch mehr Dienstanbieter sehr viel mehr Kunden dazu bewegen, sichere Authentifizierungsverfahren zu verwenden.

Die oben genannten Tech-Giganten und andere Cloud-Anbieter haben daher noch einiges zu tun und sollten dabei folgende Aspekte berücksichtigen:

1. Anwender zur Nutzung von Multi-Faktor-Authentifizierung verpflichten
Eines wissen wir aus Erfahrung: Damit Nutzer ihr Verhalten ändern, muss die Multi-Faktor-Authentifizierung obligatorisch werden – vergleichbar mit dem Sicherheitsgurt im Auto. Denn abgesehen von einigen wenigen technikaffinen Menschen ist es unwahrscheinlich, dass Anwender freiwillig die Art und Weise ändern, wie sie auf ihre Accounts zugreifen – vor allem, wenn das mit einem Aufwand verbunden ist.

2. Nutzerzahlen öffentlich machen
Dienstanbieter sollten kommunizieren, wie viele Nutzer die Multi-Faktor-Authentifizierung tatsächlich verwenden. Selbst wenn die Nutzerzahlen zunächst alles andere als großartig sein werden, ist Transparenz sinnvoll. Die Zahlen zeigen einerseits den Zuwachs und führen andererseits vor Augen, dass und wo weitere Anstrengungen notwendig sind, um mehr Nutzer an Bord zu holen.

3. Der Faktor Benutzererfahrung
Die Art der Authentifizierung ist nicht nur eine Frage der Sicherheit, sondern auch der Benutzererfahrung. Sie ist bei Zwei-Faktor-Verfahren wie Einmal-Passcodes per SMS und Push-Benachrichtigungen wenig benutzerfreundlich. Herkömmliche Zwei-Faktor-Verfahren benötigen zwei Schritte. Und was ein komplizierter Ablauf bewirken kann, davon kann der Online-Handel ein Lied singen. Damit die Multi-Faktor-Authentifizierung in vollem Umfang angenommen wird, muss sie möglichst nahtlos in die Prozesse integriert sein. Insbesondere die besitzbasierte Authentifizierung hat im Hinblick auf das Benutzererlebnis Vorteile. Biometrie und Sicherheitsschlüssel sind in der Regel sehr einfache Authentifizierungsmethoden mit nur einer Geste. Mit ihnen lässt mehr Sicherheit erreichen, ohne dass das Benutzererlebnis leidet. Mit modernen Verfahren ist Multi-Faktor-Authentifizierung in einem einzigen Schritt möglich.

4. Die Multi-Faktor-Authentifizierung weiterentwickeln
Wie Microsoft dokumentiert hat, ist für den Schutz von Accounts jede Form von Multi-Faktor-Authentifizierung besser als ein Passwort allein. Allerdings sind nicht alle Zwei-Faktor-Verfahren gleichermaßen sicher. Neue Toolkits mit bösartiger Software, mit der herkömmliche Multi-Faktor-Verfahren, vor allem Verfahren mit Einmal-Passwörtern, umgangen werden können, sind zunehmend online verfügbar, und die Angriffe werden immer ausgefeilter und breiten sich immer weiter aus. Denn jedes Einmal-Passwort, ob von einer SMS oder einer Authentifizierungs-App, ist gewissermaßen ein offenes Geheimnis und deshalb anfällig für Manipulationen durch Phishing, Social Engineering sowie Replay- und andere Angriffe.

Identitätsprüfung muss bequem sein

Komplizierter Check-In? – Schneller Check-Out!

Cloud-Anbieter sollten deshalb besitzbasierte Multi-Faktor-Authentifizierung einsetzen. Darunter sind kryptografische Verfahren in Kombination mit biometrischen Daten auf dem Gerät oder Sicherheitsschlüsseln zu verstehen. Da sie durch die robuste Hardware auf dem Gerät geschützt sind und sich während der Authentifizierung in der Hand des Kunden befinden müssen, können sie nicht wie Einmal-Passwörter gefälscht oder kompromittiert werden. Die Sicherheit der besitzbasierten Multi-Faktor-Authentifizierung ist der Grund, warum das Advanced Protection Program von Google nichts anderes unterstützt.

Die Entwicklung geht weiter

Bei der Entwicklung und Implementierung der Multi-Faktor-Authentifizierung sind viele Erfolge zu verzeichnen. Mit den Erfolgen haben sich auch die Fragestellungen geändert. Anstelle von Aspekten wie der Notwendigkeit und der prinzipiellen Machbarkeit einer bequemen und Phishing-resistenten Multi-Faktor-Authentifizierung steht heute im Vordergrund, wie sie konkret eingeführt werden soll.

Cloud-Anbieter sollten wissen, dass Benutzerfreundlichkeit und Sicherheit sich nicht widersprechen müssen und gleichzeitig umsetzbar sind.

* Der Autor Rolf Lindemann ist Boardmitglied der FIDO Alliance. FIDO ist ein Standard wie Wi-Fi oder Bluetooth, nur für die sichere Authentifikation. Zu den Mitgliedern der FIDO-Allianz zählen neben Apple, Google und PayPal auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI).

(ID:48206707)