Sicherer Login gegen Phishing Wer remote arbeitet will Multifaktor-Authentifizierung

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Hybrides Arbeiten geht mit zunehmendem E-Mail-Verkehr und der Nutzung unterschiedliche Geräte einher. Damit steigt gleichzeitig die Sorge vieler Mitarbeitender um den Angriff auf ihre Zugangsdaten. Wie sich dadurch deren Anmeldeverhalten ändert, zeigt unser Trendreport.

Mit der richtigen Balance zwischen benutzerfreundlichen und sicheren Zugängen ist das so eine Sache, vor allem wenn die Hälfte des Unternehmens remote arbeitet und von ganz unterschiedlichen Geräten aus auf das Firmennetzwerk zugreift. Oft werden von der IT-Security Lösungen vorgegeben, die die Mitarbeitenden aus der Ferne so stark beim Online-Zugang einschränken, dass sie sich "unsichere" Workarounds zurechtlegen. Das führt zu Frustration auf beiden Seiten und ist nicht zielführend. Daher herrschte lange Zeit der Eindruck, dass Nutzerfreundlichkeit nur auf Kosten der Sicherheit funktionieren könne und umgekehrt. Diese Entweder-Oder-Haltung in Bezug auf den Anmeldeprozess scheint sich langsam aufzulösen.

Multifaktor-Authentifizierung weltweit auf dem Vormarsch

Der aktuelle Secure Sign-In Trend Report von Okta kommt zu dieser zentralen Schlussfolgerung. Hierfür haben wir über unsere Workforce Identity Plattform weltweit und anonymisiert alle Zugangsdaten angeschlossener Unternehmen und deren remote tätiger Mitarbeiter ausgewertet. Unser Ziel war es, herauszufinden, welche Authentifizierungs­methoden sie in hybriden Arbeitsumfeldern verstärkt nutzen. Während die Nutzername-Passwort-Kombination zwar immer noch die Liste der Nutzungsgewohnheiten anführt, rückt die Multifaktor-Authentifizierung langsam nach. Sie hat sich seit 2020 nahezu verdoppelt. Mitarbeiter, die von verschiedenen Geräten aus auf Online-Dienste oder Websites zugreifen möchten, empfinden MFA als ausreichend sicher und komfortabel, um sich mit gutem Gewissen anzumelden. Allein im Januar 2023 haben sich 64 Prozent aller Nutzer über eine Multifaktor-Authentifizierung angemeldet. Nicht überraschen dürfte, dass hier hauptsächlich Technologieunternehmen das Feld anführen (87 Prozent), gefolgt von Finanz- und Versicherungsunternehmen (77 Prozent), eine Branche, die sensiblen Daten hantiert.

Online-Login: Bequem und sicher muss es sein

Bei den Anwendern von MFA handelt es sich in erster Linie um IT-Administratoren erstaunlicherweise nutzen weniger als 4 Prozent der weltweit angeschlossenen Nutzer phishing-erprobte Authentifikatoren wie FastPass und FIDO2 WebAuthn. Das begründen die Studienverfasser damit, dass diese Tools noch sehr neu und damit wenig bekannt in ihren Funktionen sind. Zum anderen wird deutlich, dass Technologie-Entscheider im Zweifel immer Sicherheit vor Nutzerfreundlichkeit walten lassen. Dabei verspricht der Einsatz dieser Technologien Synchronisierungen von sicheren Authentifizierungen über mehrere Geräte hinweg.

MFA reduziert Fehleranfälligkeit

Rückblickend zeigt der Report, dass sowohl die Pandemie als auch viele öffentlichkeitswirksame Cyberangriffe durchaus Wirkung hatten. Und vermutlich zu einer schnellen Verbreitung der MFA-Methode beigetragen haben. Im Report wird ebenfalls geschlussfolgert, dass die Authentifizierung über mehrere Faktoren zwar als umständlich und zeitraubend wahrgenommen wird, es in Wahrheit aber nicht ist. Denn im Vergleich zur Anmeldung über Passwörter kamen die Autoren zu einer erheblichen Zeitersparnis und einer reduzierten Fehleranfälligkeit um ganze 80 Prozent.

Authentifizierungsabläufe ständig prüfen

Die Multifaktor-Authentifizierung ist durch eine zusätzliche Sicherheitsebene gekennzeichnet. Dabei wird der Nutzer aufgefordert, zwei oder mehrere Berechtigungsnachweise aus verschiedenen Kategorien (etwas, das man hat, etwas, das man kennt oder etwas, was man ist) zu kombinieren. Diese Authentifizierung kann kontextbezogen oder adaptiv erfolgen, wobei der Anwendungskontext zur Bestimmung des relevanten Sicherheitsniveaus herangezogen wird. Aber es gibt auch eine schlechte Nachricht: Cyberkriminelle bereits seit einiger Zeit daran, auch die Sicherheitsstufen der Multifaktor-Authentifizierung geschickt zu umgehen. Daher sollten Unternehmen ihre Authentifizierungsabläufe und -standards kontinuierlich überprüfen.

Tipps für eine sichere Authentifizierungs-Strategie

• 1. Dynamische, kontextabhängige Zugriffsrichtlinien sollten erstellt und ausgewertet werden, um zu erfahren, wie die Benutzerattribute sowie der Gerätekontext aussehen (z.B. Ist das Gerät bekannt? Wie wird es verwaltet? Ist das Netzwerk vertrauenswürdig? Stimmt die Anfrage mit dem bisherigen Benutzerverhalten überein?

• 2. Entwicklung eines langfristigen Nutzungs-Szenarios für den Fernzugriff, der die Reduktion des Einsatzes von Passwörtern zum Ziel hat: Verbindung der Risikostufen mit den entsprechenden Zugriffsentscheidungen, beispielsweise dem Gewähren oder Entziehen des Zugriffs, der Aufforderung zu MFA oder der Nutzung passwortloser Authentifizierung bei Abfragen mit geringem Risiko.

• 3. Erstellen von MFA-Anmelderichtlinien und Phishing-Schutz für den administrativen Zugriff auf sensible Anwendungen und Daten

• 4. Die Einführung neuer Authentifizierungs-Methoden braucht die Aufmerksamkeit des Top-Managements, da es hier um den Schutz der wertvollsten Ressourcen und Informationen innerhalb der Organisation geht

• 5. Integration von MFA in die Zero-Trust Strategie: Neue Lösungen und Dienste sollten sich einfach in die bestehende Cloud-Architektur integrieren lassen, ansonsten besteht die Gefahr der Implementierung von lauter zusammenhangsloser Ad-hoc Lösungen. Das führt wiederum zu fragmentierten Benutzeridentitäten.

Über den Autor: Sven Kniest ist Vice President für Zentral- und Osteuropa von Okta.

(ID:49725807)