Multifaktor-Authentifizierung überfordert viele Unternehmen

Sichere Authentifizierung stellt Unternehmen vor Probleme. Gerade mit dem Einsatz von Tokens, Zertifikaten oder biometrischen Merkmalen sind viele noch überfordert. Dies ist ein Ergebnis der Studie Security Bilanz Deutschland, für die das Analystenhaus techconsult zum dritten Mal in Folge 500 Mittelständler aus Industrie, Handel, Banken und Versicherungen, Dienstleistungssektor sowie öffentliche Verwaltungen und Non-Profit-Unternehmen zwischen 20 und 1.999 Mitarbeitern befragt hat.

Sichere Authentifizierung ist eine zentrale Herausforderung, die Unternehmen und Verwaltungen lösen müssen. Insbesondere durch die Vielzahl von mobilen Endgeräten, die in Unternehmen mittlerweile zum Einsatz kommen, ist der Bedarf gestiegen.

Probleme mit Passwortvorgaben

Um Authentifizierung auch sicher zu gestalten, setzen die meisten Unternehmen vor allem auf die Durchsetzung von Passwortvorgaben: Ein Passwort muss aus mindestens 12 Zeichen bestehen, Groß- und Kleinschreibung, Zahlen und Sonderzeichen enthalten usw. Auch wird empfohlen, statt einfachen Passwörtern ganze Sätze, so genannte „Passphrases“, zu verwenden, weil die Länge des Passworts die Sicherheit in stärkerem Maße beeinflusst als die Zeichenvielfalt (siehe z.B. XKCD „Password Strength“). Mit der aktuellen Umsetzung von Passwortvorgaben haben 57 Prozent der Befragten Probleme oder solche Vorgaben sind bei ihnen gar nicht vorhanden.

Ein weiterer Schritt, Authentifizierung sicherer zu gestalten, besteht darin, zusätzliche Faktoren einzubeziehen. Bekanntestes Beispiel hierfür ist die Nutzung von Chipkarte und PIN am Geldautomaten. Auch in Großunternehmen ist die Authentifizierung mittels SmartCard und Passwort gelegentlich anzutreffen. Neben einem Passwort authentifiziert sich der Nutzer mittels Chipkarte und Kartenleser am Rechner.

Solche Zwei-Faktor-Authentifizierungen (2FA) gelten als deutlich sicherer als einfaktorielle Authentifizierungsverfahren. Werden sogar drei oder mehr Wege kombiniert, spricht man von Multi-Faktor-Authentifizierung. In der Regel werden dabei drei Elemente kombiniert: Wissen, Besitz und biometrisches Merkmal.

Ein Beispiel für eine solche Multi-Faktor-Authentifizierung wäre demnach eine Kombination aus Passwort (Wissen), SmartCard (Besitz) und Fingerabdruck (biometrisches Merkmal). Zwei- bzw. mehrfaktorielle Authentifizierung bietet sich vor allem auch für die Nutzung auf mobilen Endgeräten an, weil auf die sonst geforderte große Passwortlänge weitestgehend verzichtet werden kann. Daher sind PIN-TAN-Kombinationen (z.B. mit TAN über SMS) durch die Trennung der verschiedenen Kanäle sicherer als lange Passwörter. Gleichzeitig lassen sie sich zum Beispiel am Smartphone gut eingeben.

Probleme auch mit biometrischen Verfahren

Mit der Umsetzung dieser anspruchsvolleren Verfahren haben deutlich mehr Unternehmen Probleme als mit Passwortvorgaben. Rund zwei Drittel berichten, dass zertifikatsbasierte Authentifizierungsverfahren oder Verfahren unter Nutzung eines unabhängigen Kommunikationskanals bzw. Mediums zur Authentifizierung und Autorisierung von Transaktionen (Smart-Cards, SMS-Tan, USB-Token) nicht gut umgesetzt sind. Biometrische Authentifizierungsverfahren wie Fingerabdruckscan, Iris-Scan, Gesichts- oder Spracherkennung weisen sogar bei mehr als 70 Prozent Probleme auf.

Selbst Rechenzentren sind überfordert

Die Probleme, die mittelständische Unternehmen und öffentliche Verwaltungen rund um die Authentifizierung aufweisen, finden sich im Übrigen mehr oder weniger unabhängig von Branche oder Größenklasse. Es lassen sich allenfalls leichte Unterschiede feststellen. Selbst Rechenzentren haben mit Multi-Faktor-Authentifizierung ihre Probleme, wie techconsult in einer anderen, spezifisch auf Rechenzentren zielenden Studie (Optimized Data Center) herausgefunden hat, berichtet Marco Becker. Demnach bewertet nur ein Drittel der befragten Rechenzentrums- und Serverraumbetreiber die eigene Umsetzung als gut oder sehr gut. Zwei Drittel weisen Probleme auf, jedes fünfte Rechenzentrum sogar so große, dass sie die Umsetzung selbst als mangelhaft oder gar ungenügend beschreiben würden.

Weitere Ergebnisse der Studie stehen auf der auf der Webseite des Projekts zum Download bereit. Zusätzlich finden interessierte Unternehmen dort den Security Consulter, ein kostenloses Tool, mit dem Sie sich an den Studienergebnissen messen können und dadurch eine Einschätzung ihrer IT-Sicherheit im Vergleich zum Wettbewerb erhalten: