{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Was passiert mit der Authentifizierung und Passw\u00f6rtern? \u00dcbersetzung des Javelin-Berichts \"Zustand der strengen Authentifizierung\" mit Kommentaren.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Was
\n
\nDer Spoiler aus dem Titel des Berichts \"Die Anzahl der F\u00e4lle strenger Authentifizierung ist aufgrund neuer Risiken und regulatorischer Anforderungen gestiegen\".
\nDas Forschungsunternehmen \"Javelin Strategy & Research\" hat den Bericht \"The State of Strong Authentication 2019\" ver\u00f6ffentlicht ( Das Original im PDF-Format kann hier heruntergeladen werden<\/a><\/noindex>). In diesem Bericht wird er\u00f6rtert, welcher Anteil amerikanischer und europ\u00e4ischer Unternehmen Passw\u00f6rter verwendet (und warum Passw\u00f6rter heutzutage kaum noch genutzt werden); warum der Anteil der Nutzung von Zwei-Faktor-Authentifizierung mit kryptografischen Tokens so schnell w\u00e4chst; und warum Einmalcodes, die per SMS gesendet werden, unsicher sind.<\/p>\n

Alle, die sich f\u00fcr das Thema der gegenw\u00e4rtigen, vergangenen und zuk\u00fcnftigen Authentifizierung in Unternehmen und Benutzeranwendungen interessieren \u2013 herzlich willkommen.
\n<\/a><\/noindex>
\nVom \u00dcbersetzer<\/b><\/p>\n

Leider ist die Sprache, in der dieser Bericht verfasst ist, ziemlich \"trocken\" und formal. Und die f\u00fcnfmalige Verwendung des Wortes \"Authentifizierung\" in einem kurzen Satz ist nicht das Werk unf\u00e4higer \u00dcbersetzer, sondern der Wunsch der Autoren. Bei der \u00dcbersetzung zwischen zwei Optionen \u2013 den Lesern einen originalgetreuen oder einen interessanteren Text zu bieten \u2013 habe ich manchmal die erste und manchmal die zweite gew\u00e4hlt. Aber habt Geduld, liebe Leser, der Inhalt des Berichts ist es wert.<\/p>\n

Einige unwichtige und f\u00fcr die Erz\u00e4hlung nicht notwendige Abschnitte wurden entfernt, andernfalls w\u00fcrde die Mehrheit den gesamten Text nicht bew\u00e4ltigen. Wer den Bericht \"unzensiert\" lesen m\u00f6chte, kann dies in der Originalsprache \u00fcber den Link tun.<\/p>\n

Leider sind die Autoren nicht immer pr\u00e4zise mit der Terminologie. So nennen sie Einmalpassw\u00f6rter (One Time Password - OTP) manchmal \"Passw\u00f6rter\", manchmal \"Codes\". Mit den Authentifizierungsmethoden sieht es sogar noch schlechter aus. F\u00fcr den unge\u00fcbten Leser ist es nicht immer einfach zu erraten, dass \"Authentifizierung unter Verwendung kryptografischer Schl\u00fcssel\" und \"strenge Authentifizierung\" dasselbe sind. Ich habe versucht, die Begriffe m\u00f6glichst zu vereinheitlichen; zudem enth\u00e4lt der Bericht einen Abschnitt mit deren Beschreibung.<\/p>\n

Dennoch wird der Bericht dringend zur Lekt\u00fcre empfohlen, da er einzigartige Forschungsergebnisse und korrekte Schl\u00fcsse enth\u00e4lt. <\/b><\/p>\n

Alle Zahlen und Fakten werden ohne die geringsten \u00c4nderungen dargestellt, und wenn Sie damit nicht einverstanden sind, diskutieren Sie besser nicht mit dem \u00dcbersetzer, sondern mit den Autoren des Berichts. Meine Kommentare (als Zitate gesetzt und im Text markiert kursiv<\/i>) sind meine eigene Einsch\u00e4tzung, und ich bin gerne bereit, zu jedem einzelnen davon eine Diskussion zu f\u00fchren (wie auch \u00fcber die Qualit\u00e4t der \u00dcbersetzung). <\/p><\/blockquote>\n

<\/p>\n

\u00dcberblick<\/h2>\n

\nIn der heutigen Zeit sind digitale Kommunikationskan\u00e4le mit Kunden f\u00fcr Unternehmen wichtiger denn je. Auch innerhalb des Unternehmens sind die Kommunikationswege zwischen den Mitarbeitern mehr auf die digitale Umgebung ausgerichtet als je zuvor. Die Sicherheit dieser Interaktionen h\u00e4ngt davon ab, welche Art von Benutzerauthentifizierung gew\u00e4hlt wird. Angreifer nutzen schwache Authentifizierungsmethoden, um Nutzerkonten massenhaft zu hacken. Als Reaktion versch\u00e4rfen die Regulierungsbeh\u00f6rden die Standards, um Unternehmen zu zwingen, Nutzerkonten und Daten besser zu sch\u00fctzen.<\/p>\n

Die Bedrohungen, die mit der Authentifizierung verbunden sind, beschr\u00e4nken sich nicht nur auf Verbraucheranwendungen; Angreifer k\u00f6nnen auch auf Anwendungen innerhalb des Unternehmens zugreifen. Diese Art von Operation erm\u00f6glicht es ihnen, sich als Unternehmensbenutzer auszugeben. Angreifer k\u00f6nnen Daten stehlen und andere betr\u00fcgerische Aktivit\u00e4ten durchf\u00fchren, indem sie Zugangspunkte mit schwacher Authentifizierung nutzen. Gl\u00fccklicherweise gibt es Ma\u00dfnahmen, um dem entgegenzuwirken. Strenge Authentifizierung wird helfen, das Risiko von Angriffen auf Verbraucheranwendungen sowie auf die Gesch\u00e4ftssysteme der Unternehmen erheblich zu reduzieren.<\/p>\n

Diese Studie untersucht, wie Unternehmen die Authentifizierung implementieren, um Benutzeranwendungen und Gesch\u00e4ftssysteme zu sch\u00fctzen; welche Faktoren sie bei der Wahl der Authentifizierungsl\u00f6sung ber\u00fccksichtigen; die Rolle, die strenge Authentifizierung in ihren Organisationen spielt; und die Vorteile, die diese Organisationen daraus ziehen.<\/p>\n

Zusammenfassung<\/h2>\n

<\/p>\n

Wichtigste Ergebnisse<\/h3>\n

\nSeit 2017 ist der Anteil der Nutzung strenger Authentifizierung stark angestiegen. <\/b> Angesichts der zunehmenden Anzahl von Schwachstellen, die traditionelle Authentifizierungsl\u00f6sungen betreffen, verst\u00e4rken Organisationen ihre Authentifizierungsma\u00dfnahmen durch strenge Authentifizierung. Die Anzahl der Organisationen, die Mehrfaktorauthentifizierung mit Kryptografie (MFA) verwenden, hat sich seit 2017 f\u00fcr Verbraucheranwendungen verdreifacht und ist f\u00fcr Unternehmensanwendungen um fast 50 % gestiegen. Das schnellste Wachstum ist im Bereich der mobilen Authentifizierung zu beobachten, haupts\u00e4chlich aufgrund der wachsenden Verf\u00fcgbarkeit biometrischer Authentifizierung.<\/p>\n

Hier sehen wir eine Illustration des Sprichworts \u201ebis der Donner schl\u00e4gt, macht der Mann kein Kreuzzeichen\u201c. Als die Experten vor der Unsicherheit von Passw\u00f6rtern warnten, beeilte sich niemand, die Zwei-Faktor-Authentifizierung einzuf\u00fchren. Sobald Hacker begannen, Passw\u00f6rter zu stehlen, begann man, die Zwei-Faktor-Authentifizierung einzuf\u00fchren.<\/p>\n

Es ist jedoch wahr, dass Privatpersonen viel aktiver 2FA implementieren. Erstens, weil es ihnen hilft, ihre \u00c4ngste zu beruhigen, indem sie sich auf die in Smartphones integrierte biometrische Authentifizierung verlassen, die in Wirklichkeit sehr unsicher ist. Organisationen m\u00fcssen hingegen in Token investieren und Arbeiten (die in Wirklichkeit sehr einfach sind) zur Implementierung durchf\u00fchren. Zweitens hat nur derjenige nicht \u00fcber Passwortlecks aus Diensten wie Facebook und Dropbox geschrieben, der faul ist. Von den Geschichten dar\u00fcber, wie Passw\u00f6rter gestohlen wurden (und was dann geschah), werden die IT-Leiter dieser Organisationen unter keinen Umst\u00e4nden erz\u00e4hlen. <\/p><\/blockquote>\n

\nDiejenigen, die keine strenge Authentifizierung verwenden, untersch\u00e4tzen ihr Risiko f\u00fcr das Unternehmen und die Kunden. <\/b> Einige Organisationen, die derzeit keine strenge Authentifizierung verwenden, neigen dazu, Login-Daten und Passw\u00f6rter als eine der effektivsten und benutzerfreundlichsten Methoden zur Authentifizierung von Benutzern zu betrachten. Andere sehen keinen Wert in den digitalen Verm\u00f6genswerten, die sie besitzen. Dabei sollte ber\u00fccksichtigt werden, dass Cyberkriminelle an allen Verbraucher- und Gesch\u00e4ftsinformationen interessiert sind. Zwei Drittel der Unternehmen, die nur Passw\u00f6rter zur Authentifizierung ihrer Mitarbeiter verwenden, tun dies, weil sie glauben, dass Passw\u00f6rter f\u00fcr die Art von Informationen, die sie sch\u00fctzen, ausreichend sind.<\/p>\n

Dennoch stehen Passw\u00f6rter vor dem Aussterben. <\/b> Im vergangenen Jahr hat die Abh\u00e4ngigkeit von Passw\u00f6rtern sowohl f\u00fcr Verbraucher- als auch f\u00fcr Unternehmensanwendungen erheblich abgenommen (von 44 % auf 31 % und von 56 % auf 47 %), da Organisationen den Einsatz traditioneller MFA und strenger Authentifizierung ausweiten.
\nAber wenn man die Situation insgesamt betrachtet, dominieren nach wie vor anf\u00e4llige Authentifizierungsmethoden. Etwa ein Viertel der Organisationen verwendet f\u00fcr die Benutzerautorisierung SMS-OTPs (Einmalpassw\u00f6rter) zusammen mit Sicherheitsfragen. Infolgedessen m\u00fcssen zus\u00e4tzliche Sicherheitsma\u00dfnahmen implementiert werden, um die Anf\u00e4lligkeiten zu sch\u00fctzen, was die Kosten erh\u00f6ht. Weitaus sicherere Authentifizierungsmethoden wie hardwarebasierte kryptografische Schl\u00fcssel kommen hingegen nur in etwa 5% der Organisationen zum Einsatz.<\/p>\n

Die sich entwickelnde regulatorische Umgebung verspricht, die Einf\u00fchrung einer strengen Authentifizierung f\u00fcr Verbraucheranwendungen zu beschleunigen. <\/b> Mit der Einf\u00fchrung von PSD2 sowie neuen Datenschutzbestimmungen in der EU und in mehreren Bundesstaaten der USA, wie Kalifornien, sp\u00fcren die Unternehmen den Druck. Fast 70% der Unternehmen stimmen zu, dass sie unter starkem regulatorischen Druck stehen, eine strenge Authentifizierung f\u00fcr ihre Kunden sicherzustellen. Mehr als die H\u00e4lfte der Unternehmen ist der Meinung, dass ihre Authentifizierungsmethoden in ein paar Jahren nicht mehr ausreichend sein werden, um den regulatorischen Anforderungen zu entsprechen.<\/p>\n

Der Unterschied im Ansatz der russischen und der amerikanisch-europ\u00e4ischen Gesetzgeber zum Schutz der pers\u00f6nlichen Daten von Nutzern von Programmen und Diensten ist deutlich erkennbar. W\u00e4hrend die Russen sagen: \u201eTeure Dienstanbieter, macht was ihr wollt, wie ihr wollt, aber wenn euer Admin die Datenbank leakt, werden wir euch bestrafen.\u201c sagen die im Ausland: \u201eIhr m\u00fcsst einen Ma\u00dfnahmenkatalog einf\u00fchren, der\u201c nicht zul\u00e4sst<\/b> dass Daten banken geleakt werden. Genau deshalb werden dort die Anforderungen an das Vorhandensein einer strengen Zwei-Faktor-Authentifizierung umfassend umgesetzt.
\nAllerdings ist es keineswegs sicher, dass unsere Gesetzgebungsmachine eines Tages nicht aufwacht und die westliche Erfahrung ber\u00fccksichtigt. Dann wird sich herausstellen, dass alle dringend eine 2FA implementieren m\u00fcssen, die den russischen kryptografischen Standards entspricht.\n<\/p><\/blockquote>\n

\nDie Schaffung einer zuverl\u00e4ssigen Grundlage f\u00fcr die Authentifizierung erm\u00f6glicht es Unternehmen, den Fokus von der Erf\u00fcllung regulatorischer Anforderungen auf die Befriedigung der Kundenbed\u00fcrfnisse zu verlagern. <\/b> F\u00fcr diejenigen Organisationen, die noch einfache Passw\u00f6rter oder den Erhalt von Codes per SMS verwenden, ist die Einhaltung der regulatorischen Anforderungen der entscheidende Faktor bei der Auswahl der Authentifizierungsmethoden. Unternehmen, die bereits strenge Authentifizierung nutzen, k\u00f6nnen sich dagegen auf die Auswahl solcher Methoden konzentrieren, die die Kundenzufriedenheit erh\u00f6hen.<\/p>\n

Bei der Auswahl der Authentifizierungsmethode innerhalb des Unternehmens spielen die Anforderungen der Regulierungsbeh\u00f6rden bereits keine signifikante Rolle mehr. <\/b> In diesem Fall sind die Integrationsf\u00e4higkeit (32 %) und die Kosten (26 %) viel wichtiger. <\/p>\n

In Zeiten von Phishing k\u00f6nnen Angreifer die Unternehmens-E-Mail f\u00fcr betr\u00fcgerische Aktivit\u00e4ten nutzen,<\/b> um auf Daten und Konten (mit den entsprechenden Zugriffsrechten) zuzugreifen und sogar Mitarbeiter zu \u00fcberzeugen, \u00dcberweisungen auf ihre Konten vorzunehmen. Daher m\u00fcssen Unternehmens-E-Mail-Accounts und Portale besonders gut gesch\u00fctzt sein.<\/p>\n

Google hat seinen Schutz durch die Einf\u00fchrung strenger Authentifizierung verst\u00e4rkt.<\/b> Vor mehr als zwei Jahren ver\u00f6ffentlichte Google einen Bericht zur Implementierung der Zwei-Faktor-Authentifizierung auf Basis von Sicherheitskrypto-Schl\u00fcsseln nach dem FIDO U2F-Standard und berichtete von beeindruckenden Ergebnissen. Laut dem Unternehmen gab es gegen mehr als 85.000 Mitarbeiter keinen einzigen Phishing-Angriff. <\/p>\n

Empfehlungen<\/h3>\n

\nSetzen Sie strenge Authentifizierung f\u00fcr mobile und Online-Anwendungen um. <\/b> Mehrfaktor-Authentifizierung basierend auf kryptografischen Schl\u00fcsseln sch\u00fctzt viel zuverl\u00e4ssiger vor Hackern als traditionelle MFA-Methoden. Zudem ist die Verwendung von kryptografischen Schl\u00fcsseln wesentlich bequemer, da keine zus\u00e4tzlichen Informationen \u2014 Passw\u00f6rter, Einmal-Passw\u00f6rter oder biometrische Daten \u2014 vom Benutzerger\u00e4t zum Authentifizierungsserver \u00fcbermittelt werden m\u00fcssen. Dar\u00fcber hinaus erm\u00f6glicht die Standardisierung von Authentifizierungsprotokollen viel einfachere Implementierungen neuer Authentifizierungsmethoden, die mit ihrem Erscheinen anfallen, was die Nutzungskosten senkt und vor komplexeren Betrugs schemen sch\u00fctzt.<\/p>\n

Bereiten Sie sich auf das Ende von Einmal-Passw\u00f6rtern (OTP) vor. <\/b> Die Schwachstellen, die OTP innewohnen, werden immer offensichtlicher, insbesondere da Cyberkriminelle Social Engineering, das Klonen von Smartphones und Schadsoftware nutzen, um diese Authentifizierungsmittel zu kompromittieren. Und w\u00e4hrend OTP in bestimmten F\u00e4llen bestimmte Vorteile bieten, geschieht dies nur aus der Sicht der universellen Verf\u00fcgbarkeit f\u00fcr alle Nutzer, jedoch nicht aus Sicherheitsgr\u00fcnden.<\/p>\n

Es ist unm\u00f6glich zu \u00fcbersehen, dass das Empfangen von Codes per SMS oder Push-Benachrichtigungen sowie die Generierung von Codes mit Smartphone-Programmen genau die Verwendung jener Einmalpassw\u00f6rter (OTP) ist, auf deren Niedergang wir uns vorbereiten sollen. Technisch gesehen ist die L\u00f6sung sehr richtig, denn es versucht nur selten ein Betr\u00fcger, das Einmalpasswort von einem vertrauensvollen Nutzer zu erhalten. Aber ich denke, dass die Hersteller solcher Systeme bis zum Ende an der sterbenden Technologie festhalten werden. <\/p><\/blockquote>\n

Nutzen Sie strenge Authentifizierung als Marketinginstrument zur Steigerung des Kundenvertrauens. <\/b> Strenge Authentifizierung kann nicht nur die tats\u00e4chliche Sicherheit Ihres Unternehmens verbessern. Die Information der Kunden dar\u00fcber, dass Ihr Unternehmen strenge Authentifizierung nutzt, kann das \u00f6ffentliche Sicherheitsbild dieses Unternehmens st\u00e4rken \u2013 ein wichtiger Faktor, wenn es eine hohe Nachfrage der Kunden nach zuverl\u00e4ssigen Authentifizierungsmethoden gibt.<\/p>\n

F\u00fchren Sie eine gr\u00fcndliche Bestandsaufnahme und Bewertung der Unternehmensdaten durch und sch\u00fctzen Sie diese entsprechend ihrer Wichtigkeit. <\/b> Selbst Daten mit einem niedrigen Risikoniveau, wie z. B. Kundenkontaktinformationen (nein, tats\u00e4chlich steht im Bericht \u201elow-risk\u201c, es ist sehr seltsam, dass sie die Wichtigkeit dieser Informationen untersch\u00e4tzen.<\/i>), k\u00f6nnen Betr\u00fcgern erheblichen Wert bringen und Probleme f\u00fcr das Unternehmen verursachen. <\/p>\n

Nutzen Sie strenge Authentifizierung im Unternehmen. <\/b> Eine Reihe von Systemen stellt die attraktivsten Ziele f\u00fcr Kriminelle dar. Dazu geh\u00f6ren sowohl interne als auch mit dem Internet verbundene Systeme wie Buchhaltungsprogramme oder Speicher f\u00fcr Unternehmensdaten. Strenge Authentifizierung verhindert, dass Angreifer unberechtigten Zugang erhalten, und erm\u00f6glicht zudem eine genaue Feststellung, wer genau von den Mitarbeitern b\u00f6swillige Aktivit\u00e4ten durchgef\u00fchrt hat.<\/p>\n

Was ist strenge Authentifizierung? <\/h2>\n

\nBei der Verwendung strenger Authentifizierung zur \u00dcberpr\u00fcfung der Identit\u00e4t des Benutzers werden mehrere Methoden oder Faktoren eingesetzt:<\/p>\n