{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Was passiert mit der Authentifizierung und den Passw\u00f6rtern? \u00dcbersetzung des Javelin-Berichts \u201eZustand der strengen Authentifizierung\u201c mit Kommentaren","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Was
\n
\nDer Spoiler aus dem Titel des Berichts \"Die Zahl der F\u00e4lle strenger Authentifizierung ist aufgrund neuer Risiken und regulatorischer Anforderungen gestiegen\".
\nDas Forschungsunternehmen \u201eJavelin Strategy & Research\u201c hat den Bericht \u201eThe State of Strong Authentication 2019\" ver\u00f6ffentlicht ( das Original im PDF-Format finden Sie hier<\/a><\/noindex>). In diesem Bericht wird erl\u00e4utert, welcher Anteil der amerikanischen und europ\u00e4ischen Unternehmen Passw\u00f6rter verwendet (und warum Passw\u00f6rter heutzutage kaum noch genutzt werden); warum der Anteil der Nutzung von Zwei-Faktor-Authentifizierung basierend auf kryptografischen Tokens so schnell w\u00e4chst; warum Einmalcodes, die per SMS gesendet werden, unsicher sind.<\/p>\n

Alle, die sich f\u00fcr die Themen der aktuellen, vergangenen und zuk\u00fcnftigen Authentifizierung in Unternehmen und Benutzeranwendungen interessieren \u2013 herzlich willkommen.
\n<\/a><\/noindex>
\nVom \u00dcbersetzer<\/b><\/p>\n

Leider ist die Sprache, in der dieser Bericht verfasst wurde, ziemlich \"trocken\" und formell. Und die f\u00fcnfmalige Verwendung des Wortes \"Authentifizierung\" in einem kurzen Satz ist nicht das Ergebnis ungeschickter H\u00e4nde (oder K\u00f6pfe) des \u00dcbersetzers, sondern eine Marotte der Autoren. Bei der \u00dcbersetzung habe ich manchmal die Wahl zwischen einer n\u00e4her am Original orientierten und einer interessanteren Textversion getroffen. Aber haben Sie Geduld, liebe Leser, der Inhalt des Berichts ist es wert.<\/p>\n

Einige unwesentliche und f\u00fcr die Erz\u00e4hlung nicht notwendige Teile wurden entfernt, sonst h\u00e4tte die Mehrheit den gesamten Text nicht bew\u00e4ltigt. Wer den Bericht ohne K\u00fcrzungen einsehen m\u00f6chte, kann dies in der Originalsprache \u00fcber den Link tun.<\/p>\n

Leider sind die Autoren nicht immer pr\u00e4zise mit der Terminologie. Gelegentlich bezeichnen sie Einmalpassw\u00f6rter (One Time Password \u2013 OTP) mal als \u201ePassw\u00f6rter\u201c und mal als \u201eCodes\u201c. Bei den Authentifizierungsmethoden sieht es noch schlimmer aus. F\u00fcr einen ungeschulten Leser ist es oft schwer zu erraten, dass \u201eAuthentifizierung mit kryptographischen Schl\u00fcsseln\u201c und \u201estrenge Authentifizierung\u201c dasselbe bedeuten. Ich habe versucht, die Begriffe so einheitlich wie m\u00f6glich zu gestalten; zudem enth\u00e4lt der Bericht ein Segment mit deren Beschreibung.<\/p>\n

Dennoch ist der Bericht \u00e4u\u00dferst empfehlenswert, da er einzigartige Forschungsergebnisse und korrekte Schlussfolgerungen enth\u00e4lt. <\/b><\/p>\n

Alle Zahlen und Fakten sind unver\u00e4ndert, und wenn Sie nicht einverstanden sind, sollten Sie nicht mit dem \u00dcbersetzer, sondern mit den Autoren des Berichts diskutieren. Meine Kommentare (in Form von Zitaten formatiert und im Text als kursiv<\/i>) gekennzeichnet, sind meine subjektiven Einsch\u00e4tzungen, \u00fcber die ich jederzeit gerne diskutieren w\u00fcrde (ebenso wie \u00fcber die Qualit\u00e4t der \u00dcbersetzung). <\/p><\/blockquote>\n

<\/p>\n

\u00dcbersicht<\/h2>\n

\nIn der heutigen Zeit sind digitale Kommunikationskan\u00e4le f\u00fcr Unternehmen wichtiger denn je. Auch innerhalb der Unternehmen richten sich die Kommunikationswege zwischen Mitarbeiter*innen mehr auf die digitale Umgebung als je zuvor. Die Sicherheit dieser Interaktionen h\u00e4ngt dabei stark von der gew\u00e4hlten Authentifizierungsmethode ab. Cyberkriminelle nutzen schwache Authentifizierungen, um massenhaft Benutzerkonten zu hacken. In Reaktion darauf versch\u00e4rfen die Aufsichtsbeh\u00f6rden die Standards, um Unternehmen dazu zu bringen, die Konten und Daten der Nutzer besser zu sch\u00fctzen.<\/p>\n

Bedrohungen im Zusammenhang mit Authentifizierung betreffen nicht nur Verbraucheranwendungen; Angreifer k\u00f6nnen auch auf Anwendungen zugreifen, die innerhalb von Unternehmen betrieben werden. Solche Vorg\u00e4nge erlauben es ihnen, sich als Unternehmensbenutzer auszugeben. Angreifer, die Zugangspunkte mit schwacher Authentifizierung nutzen, k\u00f6nnen Daten stehlen und andere betr\u00fcgerische Aktivit\u00e4ten durchf\u00fchren. Gl\u00fccklicherweise gibt es Ma\u00dfnahmen zur Bek\u00e4mpfung dessen. Strenge Authentifizierung kann das Risiko von Angriffen durch Angreifer sowohl auf Verbraucheranwendungen als auch auf Unternehmenssysteme erheblich reduzieren.<\/p>\n

Diese Studie behandelt: wie Unternehmen Authentifizierung implementieren, um Benutzeranwendungen und Gesch\u00e4ftssysteme zu sch\u00fctzen; Faktoren, die sie bei der Auswahl einer Authentifizierungsl\u00f6sung ber\u00fccksichtigen; die Rolle, die strenge Authentifizierung in ihren Organisationen spielt; die Vorteile, die diese Organisationen daraus ziehen.<\/p>\n

Zusammenfassung<\/h2>\n

<\/p>\n

Wesentliche Erkenntnisse<\/h3>\n

\nSeit 2017 ist der Anteil der Nutzung strenger Authentifizierung stark angestiegen. <\/b> Mit der Zunahme von Schwachstellen, die traditionelle Authentifizierungsl\u00f6sungen betreffen, verst\u00e4rken Organisationen ihre Authentifizierungsmethoden durch strenge Authentifizierungsmethoden. Die Anzahl der Organisationen, die mehrstufige Authentifizierung mit Kryptografie (MFA) verwenden, hat sich seit 2017 f\u00fcr Verbraucher verdreifacht und ist f\u00fcr Unternehmensanwendungen um fast 50 % gestiegen. Das schnellste Wachstum ist im Bereich der mobilen Authentifizierung zu verzeichnen, bedingt durch die steigende Verf\u00fcgbarkeit biometrischer Authentifizierung.<\/p>\n

Hier sehen wir eine Illustration des Sprichworts \u201eBis der Donner donnert, kreuzigt sich der Mann nicht\u201c. Als Experten vor der Unzuverl\u00e4ssigkeit von Passw\u00f6rtern warnten, z\u00f6gerten viele, die Zwei-Faktor-Authentifizierung einzuf\u00fchren. Sobald Hacker damit begannen, Passw\u00f6rter zu stehlen, fingen die Leute an, die Zwei-Faktor-Authentifizierung zu implementieren.<\/p>\n

Tats\u00e4chlich setzen private Personen viel aktiver auf die Zwei-Faktor-Authentifizierung. Erstens erleichtert es ihnen, ihre \u00c4ngste zu bes\u00e4nftigen, da sie auf die in Smartphones integrierte biometrische Authentifizierung vertrauen, die in der Praxis jedoch ziemlich unzuverl\u00e4ssig ist. Unternehmen hingegen m\u00fcssen in den Erwerb von Tokens investieren und einfache Implementierungsarbeiten durchf\u00fchren. Zweitens hat nur der Faulenzer nichts \u00fcber die Passwortlecks bei Diensten wie Facebook und Dropbox gesagt. Dar\u00fcber, wie in Unternehmen Passw\u00f6rter gestohlen wurden (und was dann geschah), werden IT-Leiter unter keinen Umst\u00e4nden sprechen. <\/p><\/blockquote>\n

\nWer keine strengen Authentifizierungsverfahren nutzt, untersch\u00e4tzt das Risiko f\u00fcr sein Gesch\u00e4ft und seine Kunden. <\/b> Einige Organisationen, die derzeit keine starke Authentifizierung einsetzen, betrachten Benutzernamen und Passw\u00f6rter als eine der effektivsten und benutzerfreundlichsten Methoden zur Authentifizierung von Nutzern. Andere sehen keinen Wert in den digitalen Verm\u00f6genswerten, die sie besitzen. Dabei sollte bedacht werden, dass Cyberkriminelle an allen Arten von Verbraucher- und Gesch\u00e4ftsinformationen interessiert sind. Zwei Drittel der Unternehmen, die nur Passw\u00f6rter zur Authentifizierung ihrer Mitarbeiter verwenden, tun dies, weil sie glauben, dass Passw\u00f6rter f\u00fcr die Art von Informationen, die sie sch\u00fctzen, ausreichend sind.<\/p>\n

Dennoch stehen Passw\u00f6rter vor ihrem \u201eAbschied\u201c. <\/b> Im vergangenen Jahr ist die Abh\u00e4ngigkeit von Passw\u00f6rtern sowohl bei Verbraucher- als auch bei Unternehmensanwendungen erheblich gesunken (von 44 % auf 31 % bzw. von 56 % auf 47 %), da Organisationen die Anwendung traditioneller MFA und strenger Authentifizierung ausgeweitet haben.
\nWenn man die Situation insgesamt betrachtet, dominieren weiterhin anf\u00e4llige Authentifizierungsmethoden. F\u00fcr die Benutzer-Authentifizierung verwenden etwa ein Viertel der Organisationen SMS-OTPs (Einmalpassw\u00f6rter) zusammen mit Sicherheitsfragen. Infolgedessen m\u00fcssen zus\u00e4tzliche Schutzma\u00dfnahmen implementiert werden, um Verletzungen vorzubeugen, was die Kosten erh\u00f6ht. Die Verwendung von wesentlich zuverl\u00e4ssigeren Authentifizierungsmethoden, wie beispielsweise Hardware-verschl\u00fcsselten Schl\u00fcsseln, ist viel seltener, nur etwa 5 % der Organisationen setzen sie ein.<\/p>\n

Die sich entwickelnde regulatorische Umwelt verspricht eine schnellere Einf\u00fchrung strenger Authentifizierung f\u00fcr Verbraucheranwendungen. <\/b> Mit der Einf\u00fchrung der PSD2 sowie neuer Datenschutzbestimmungen in der EU und in mehreren US-Bundesstaaten, wie Kalifornien, sp\u00fcren die Unternehmen den Druck. Fast 70 % der Unternehmen sind sich einig, dass sie einem starken regulatorischen Druck zur Gew\u00e4hrleistung einer strengen Authentifizierung f\u00fcr ihre Kunden ausgesetzt sind. Mehr als die H\u00e4lfte der Unternehmen glaubt, dass ihre Authentifizierungsmethoden in einigen Jahren nicht mehr ausreichen werden, um den regulatorischen Standards gerecht zu werden.<\/p>\n

Der Unterschied zwischen den Ans\u00e4tzen russischer und amerikanisch-europ\u00e4ischer Gesetzgeber zum Schutz personenbezogener Daten von Nutzern von Programmen und Dienstleistungen ist deutlich sichtbar. In Russland h\u00f6ren wir: \"Liebe Betreiber von Diensten, macht, was ihr wollt, aber wenn euer Administrator die Datenbank leakt, dann bestraften wir euch.\" Im Ausland hingegen sagt man: \"Ihr m\u00fcsst ein umfassendes Ma\u00dfnahmenpaket umsetzen, das\" nicht erm\u00f6glichen<\/b> die Datenbanklecks verhindert. Genau aus diesem Grund wird dort aktiv die Forderung nach strenger Zwei-Faktor-Authentifizierung umgesetzt.
\nEs ist jedoch keineswegs sicher, dass unsere Gesetzgebungsmaschine irgendwann nicht aufwacht und die westlichen Erfahrungen ber\u00fccksichtigt. Dann wird sich herausstellen, dass alle dringend die 2FA implementieren m\u00fcssen, die den russischen kryptografischen Standards entspricht.\n<\/p><\/blockquote>\n

\nDie Schaffung einer zuverl\u00e4ssigen Authentifizierungsbasis erm\u00f6glicht es Unternehmen, den Fokus von der Erf\u00fcllung gesetzlicher Anforderungen auf die Bed\u00fcrfnisse der Kunden zu verlagern. <\/b> F\u00fcr Organisationen, die noch einfache Passw\u00f6rter oder die SMS-Code-\u00dcbermittlung verwenden, ist die Einhaltung der regulatorischen Anforderungen der entscheidende Faktor bei der Auswahl einer Authentifizierungsmethode. Unternehmen, die bereits strenge Authentifizierung einsetzen, k\u00f6nnen hingegen den Fokus auf die Auswahl von Methoden legen, die die Kundentreue erh\u00f6hen.<\/p>\n

Bei der Wahl der Unternehmensauthentifizierung innerhalb des Unternehmens spielen die Anforderungen der Regulierungsbeh\u00f6rden bereits keine wesentliche Rolle mehr. <\/b> In diesem Fall sind die Integrationssimplicity (32 %) und die Kosten (26 %) viel wichtiger. <\/p>\n

In der \u00c4ra des Phishings k\u00f6nnen Angreifer Unternehmens-E-Mails f\u00fcr betr\u00fcgerische Aktivit\u00e4ten nutzen,<\/b> um auf betr\u00fcgerische Weise auf Daten und Konten (mit den entsprechenden Berechtigungen) zuzugreifen und sogar Mitarbeiter zu \u00fcberzeugen, Geld auf ihr Konto zu \u00fcberweisen. Daher sollten Unternehmens-E-Mail-Konten und Portale besonders gut gesch\u00fctzt sein.<\/p>\n

Google hat seinen Schutz durch die Einf\u00fchrung strenger Authentifizierung verst\u00e4rkt.<\/b> Vor mehr als zwei Jahren ver\u00f6ffentlichte Google einen Bericht \u00fcber die Einf\u00fchrung der Zwei-Faktor-Authentifizierung auf Basis von Sicherheits-Schl\u00fcsseltechnologie nach dem FIDO U2F-Standard und berichtete von beeindruckenden Ergebnissen. Laut dem Unternehmen gab es gegen \u00fcber 85.000 Mitarbeiter keinen einzigen Phishing-Angriff. <\/p>\n

Empfehlungen<\/h3>\n

\nImplementieren Sie strenge Authentifizierungsma\u00dfnahmen f\u00fcr mobile und Online-Anwendungen. <\/b> Die mehrfaktorielle Authentifizierung auf Basis von kryptografischen Schl\u00fcsseln bietet einen wesentlich besseren Schutz vor Hacking als traditionelle MFA-Methoden. Dar\u00fcber hinaus ist die Verwendung von kryptografischen Schl\u00fcsseln viel benutzerfreundlicher, da keine zus\u00e4tzlichen Informationen wie Passw\u00f6rter, Einmalpassw\u00f6rter oder biometrische Daten vom Benutzerger\u00e4t zum Authentifizierungsserver \u00fcbermittelt werden m\u00fcssen. Zudem erm\u00f6glicht die Standardisierung der Authentifizierungsprotokolle eine einfachere Implementierung neuer Authentifizierungsmethoden, sobald sie verf\u00fcgbar sind, wodurch die Nutzungskosten gesenkt und der Schutz vor komplizierteren Betrugsmaschen erh\u00f6ht wird.<\/p>\n

Bereiten Sie sich auf das Ende der Einmal-Passw\u00f6rter (OTP) vor. <\/b> Die Schwachstellen von OTP werden zunehmend offensichtlich, da Cyberkriminelle Social Engineering, Smartphone-Klonungen und Malware nutzen, um diese Authentifizierungsmittel zu gef\u00e4hrden. Und w\u00e4hrend OTP in bestimmten F\u00e4llen gewisse Vorteile bieten, tun sie dies vor allem durch ihre universelle Verf\u00fcgbarkeit f\u00fcr alle Nutzer, jedoch nicht im Hinblick auf die Sicherheit.<\/p>\n

Es l\u00e4sst sich nicht leugnen, dass das Empfangen von Codes per SMS oder Push-Benachrichtigungen sowie die Generierung von Codes durch Smartphone-Apps genau das ist, was die Nutzung der ber\u00fcchtigten Einmalpassw\u00f6rter (OTP) darstellt, auf deren Niedergang wir uns vorbereiten sollen. Technisch gesehen ist die L\u00f6sung sehr sinnvoll, denn nur selten versucht ein Betr\u00fcger nicht, das Einmalpasswort von einem vertrauensvollen Nutzer zu erlangen. Ich denke, die Hersteller solcher Systeme werden bis zum Schluss an dieser sterbenden Technologie festhalten. <\/p><\/blockquote>\n

Nutzen Sie strenge Authentifizierung als Marketinginstrument zur Steigerung des Kundenvertrauens. <\/b> Strikte Authentifizierung kann nicht nur die tats\u00e4chliche Sicherheit Ihres Unternehmens verbessern. Die Information der Kunden dar\u00fcber, dass Ihr Unternehmen strikte Authentifizierung nutzt, kann das \u00f6ffentliche Sicherheitsbewusstsein f\u00fcr dieses Unternehmen st\u00e4rken \u2013 ein wichtiger Faktor, wenn es einen signifikanten Kundenbedarf nach zuverl\u00e4ssigen Authentifizierungsmethoden gibt.<\/p>\n

F\u00fchren Sie eine gr\u00fcndliche Bestandsaufnahme und Bewertung der Bedeutung von Unternehmensdaten durch und sch\u00fctzen Sie diese entsprechend ihrer Wichtigkeit. <\/b> Selbst Daten mit geringem Risiko, wie beispielsweise Kontaktdaten von Kunden (nein, tats\u00e4chlich steht im Bericht \u201elow-risk\u201c, es ist sehr merkw\u00fcrdig, dass sie die Bedeutung dieser Informationen untersch\u00e4tzen<\/i>), k\u00f6nnen f\u00fcr Betr\u00fcger erheblichen Wert haben und Probleme f\u00fcr das Unternehmen verursachen. <\/p>\n

Nutzen Sie strikte Authentifizierung im Unternehmen. <\/b> Systemreihen stellen die attraktivsten Ziele f\u00fcr Cyberkriminelle dar. Dazu geh\u00f6ren sowohl interne als auch mit dem Internet verbundene Systeme, wie beispielsweise Buchhaltungssoftware oder Unternehmensdatenbanken. Strikte Authentifizierung sch\u00fctzt davor, dass Angreifer unbefugten Zugriff erlangen, und erm\u00f6glicht es au\u00dferdem, genau festzustellen, welche Mitarbeiter b\u00f6swillige Aktivit\u00e4ten ausgef\u00fchrt haben.<\/p>\n

Was ist strikte Authentifizierung? <\/h2>\n

\nBei der Verwendung von strikter Authentifizierung kommen mehrere Methoden oder Faktoren zur \u00dcberpr\u00fcfung der Benutzeridentit\u00e4t zum Einsatz:<\/p>\n