Authentifizierung
Eine sichere Authentifizierung ist ein Muss für Büro oder Home-Office
Wie sich Unternehmen am besten schützen können und was es zu beachten gibt
Von Alexander Koch, VP Sales DACH and CEE bei Yubico
Während die Corona-Krise die Welt noch fest im Griff hat, stehen Unternehmen gleichzeitig vor dem Problem, dass die Zahl aggressiver Cyber-Attacken, insbesondere in Form von Phishing oder Ransomware, innerhalb der letzten Monate stark gestiegen ist. Die aktuelle Pandemie wird von Cyber-Kriminellen ausgenutzt und macht die digitale Sicherheit zu einem der drängendsten Themen für Betriebe – und die Folgen dieser Angriffe sind nicht zu unterschätzen.
Ein Grund dafür, dass Cyber-Kriminelle in der Lage sind, Zugangs- und Identitätsdaten oder andere personenbezogene Daten zu stehlen, sind schwache Passwörter. Tools, die dabei helfen, unzureichende Passwörter zu verhindern, wie etwa Passwort-Manager, verfügen üblicherweise über ein Feature zur Kennwortgenerierung, das dabei hilft, starke Log-In-Daten zu erstellen. Idealerweise sollten Nutzer Lösungen verwenden, die über Passwörter hinausgehen, um die Sicherheit ihres Kontos zu erhöhen, zum Beispiel durch Zwei-Faktor-Authentifizierung. Hier gibt es viele verschiedene Optionen und jede verfügt über unterschiedliche Vorteile und Nachteile. Es gilt also für Unternehmen, die passendste Option für die eigenen Geschäftsprozesse zu wählen.
Schutz vor Ransomware und anderen Angriffsvektoren
In den letzten Monaten haben viele Unternehmen auf der ganzen Welt erkannt, dass neben der Sensibilisierung und konsequenten Schulung aller Mitarbeiter in Bezug auf Cyberangriffe und Datenverlust auch technische Maßnahmen wichtig sind, und einer der einfachsten nächsten Schritte, die ein Unternehmen oder eine Einzelperson tun kann, ist der Einsatz von 2FA.
Schließlich reicht das Passwort allein nicht mehr aus, um kritische Konten zu sichern. Die meisten Online-Anbieter empfehlen ihren Nutzern, ihre Konten mit einem "zweiten Faktor" zu sichern, wobei OTP (One-Time-Password) besonders beliebt ist: OTP ist ein zusätzliches Einmal-Passwort, das bei jeder Anmeldung eingegeben werden muss. Es wird vom Benutzer über eine App generiert oder dieser erhält es direkt vom Dienst selbst. Weitere mögliche Optionen sind der Erhalt eines Einmal-Codes per SMS oder E-Mail, die Verwendung einer Authentifizierungs-App auf dem mobilen Gerät oder eines Hardware-Schlüssels (Sicherheitsschlüssel).
2FA: Unterschiedliche Methoden für unterschiedliche Bedürfnisse
Eine der gängigeren 2FA-Methoden ist, dass ein Benutzer einen Sicherheitscode per SMS oder E-Mail erhält. Während diese Methode bequem erscheint, gibt es hier auch ein paar Nachteile zu beachten, wenn es um die Sicherheit geht. Wenn sich Nutzer beispielsweise in einer Umgebung mit eingeschränktem Mobilfunknetz befinden oder keinen Mobilfunkempfang haben, können sie nicht auf die Sicherheitscodes zugreifen. Ganz zu schweigen davon, dass diese Codes immer noch anfällig für Phishing- und Man-in-the-Middle-Angriffe sind.
Es besteht auch die Möglichkeit, eine Authenticator-App zu verwenden, die eine Zwei-Faktor-Authentifizierung ermöglicht, wie etwa Google Authenticator, die einen zeitbasierten Einmal-Sicherheitscode (time-based one-time security code, TOTP) generiert. Diese Methode erzeugt nach einem bestimmten Zeitintervall neue Sicherheitscodes, das heißt, der Benutzer hat eine bestimmte Zeitspanne, um das Passwort zu verwenden, bevor es abläuft. Der Vorteil dieser 2FA-Methode ist, dass selbst bei einem Verlust der mobilen Verbindung der Code nicht verloren geht, da er auf dem mobilen Gerät gespeichert ist. Außerdem bietet sie wichtige Vorteile, vor allem in Bezug auf die Benutzerfreundlichkeit. Wenn das Smartphone jedoch verloren geht oder gestohlen wird, kann der Benutzer nicht mehr auf sein Konto zugreifen, es sei denn, er hat eine Backup-2FA-Option eingerichtet. Eine weitere, sehr sichere Variante ist die Authentifizierung über Hardwareschlüssel, die über USB angeschlossen werden. Teilweise sind diese auch NFC-fähig und können sich durch ein schnelles Antippen des Sicherheitsschlüssels am Gerät authentifizieren.
Sicherheit durch FIDO2 und U2F
Sicherheitsschlüssel nutzen die Public-Key-Kryptografie durch Authentifizierungsprotokolle wie FIDO2 und WebAuthn, was ein hohes Maß an Sicherheit verspricht. FIDO2/WebAuthn ist eine Weiterentwicklung von FIDO U2F, das nun mehrere Benutzerszenarien unterstützt, wie zum Beispiel sichere passwortlose Authentifizierung, sichere Zwei-Faktor- und/oder Multifaktor-Authentifizierung. Mit einem Sicherheitsschlüssel können Benutzer schwache statische Anmeldedaten, bestehend aus Benutzername und Passwort, durch starke hardwarebasierte Sicherheit ersetzen.
So können sich Benutzer vor Phishing- und Man-in-the-Middle-Angriffen schützen und auch die Risiken im Zusammenhang mit Serverlecks verringern. Der Nachteil ist natürlich, dass der Schlüssel auch verloren gehen oder gestohlen werden kann. Idealerweise sollten Anwender ihn daher direkt am Schlüsselbund tragen und einen zweiten Schlüssel als Backup an einem dafür vorgesehenen und geschützten Ort aufbewahren. Da die oben genannten Authentifizierungsprotokolle dem Datenschutz Rechnung tragen und auf dem Hardwareschlüssel keine persönlichen Daten gespeichert sind, würden bei Verlust oder Diebstahl des Schlüssels keine sensiblen Daten verloren gehen. Um dem Trend zu mehr Benutzerfreundlichkeit und Geräten mit USB-C-Anschlüssen gerecht zu werden, sind auch bereits Hardware-Schlüssel auf dem Markt, die sowohl USB-C- als auch NFC-kompatibel sind und zahlreiche Protokolle unterstützen, darunter das PIV-Protokoll, das Smartcards ermöglicht. Somit bieten diese Schlüssel eine gute Authentifizierungslösung für alle modernen Geräte und führende Plattformen wie iOS, Android, Windows, macOS und Linux, während sie auch Altsysteme unterstützen, falls eine Organisation noch dabei ist, ihre Sicherheit zu modernisieren.
Fazit:
Durch die aktuelle Krisensituation und das damit verbundene Gebot des Social Distancing ist das Arbeiten an verteilten Standorten unumgänglich. Für Unternehmen ist es wichtiger denn je, sich mit dem Thema IT-Sicherheit auseinanderzusetzen und diese auch im Home Office zu gewährleisten. Neben der kontinuierlichen Schulung der Mitarbeiter sollten Unternehmen auch auf der technischen Seite dafür sorgen, dass das Risiko von Datenlecks und Cyberangriffen begrenzt wird. Jedes Unternehmen sollte 2FA einsetzen, da es verschiedene Methoden gibt und jede unterschiedliche Vorteile bietet. Es ist wichtig, die Optionen abzuwägen und eine Lösung zu wählen, die für das eigene Unternehmen am besten geeignet ist.
