Authentifizierung bezeichnet das Verfahren, mit dem die Echtheit einer Tatsache oder eines Dokuments nachgewiesen wird. Im IT-Bereich wird dieser Begriff normalerweise mit dem Nachweis der Identität eines Nutzers verbunden. In der Regel weist ein Nutzer seine Identität über seine Anmeldedaten nach, d. h. vorab festgelegte Informationen, die zwischen dem Nutzer und dem System ausgetauscht werden.

Die Kombination aus Benutzernamen und Passwort ist der beliebteste Authentifizierungsmechanismus, der auch als Passwortauthentifizierung bezeichnet wird.

Mit dieser Methode meldet man sich beispielsweise bei seinem Benutzerkonto auf einer Website oder bei einem Serviceprovider wie Facebook oder Gmail an. Um auf sein Konto zugreifen zu können, muss man die korrekten Anmeldedaten eingeben. Solche Dienste zeigen dazu normalerweise ein Fenster an, in dem der Nutzer zur Eingabe seines Benutzernamens und seines Passworts aufgefordert wird. Anschließend vergleichen sie die vom Nutzer eingegebenen Daten mit den zuvor in einem internen Speicher hinterlegten Informationen.

Gibt man eine gültige Kombination aus Benutzernamen und Passwort ein, kann man fortfahren und auf sein Konto zugreifen.

Während der Benutzername dabei öffentlich sein kann, z. B. eine E-Mail-Adresse, ist das Passwort geheim. Aufgrund ihrer Vertraulichkeit müssen Passwörter dagegen geschützt werden, von Cyberkriminellen gestohlen zu werden. Und obwohl Benutzernamen und Passwörter überall im Internet genutzt werden, sind sie eine bekannte Schwachstelle, die Hacker regelmäßig ausnutzen.

Die erste Möglichkeit, die Sicherheit zu erhöhen, ist die Erzwingung starker Passwörter. Ein Passwort ist nur dann stark, wenn es so komplex ist, dass es nicht ohne Weiteres von Angreifern erraten werden kann. Als Faustregel sollte ein Passwort eine Kombination aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen enthalten. Leicht zu erratende Zeichenkombinationen führen zu schwachen Passwörtern.

Leider wählen Endnutzer häufig schwache Passwörter. In ihrem Jahresbericht identifizierte SplashData, eine Gesellschaft für Internetsicherheit, die 25 beliebtesten Passwörter. Auf der Liste, die auf Millionen von Passwörtern basiert, die Gegenstand von Datenschutzverletzungen wurden, rangieren Passwörter wie „123456“ und „password“ ganz oben.

Das hat natürlich damit zu tun, dass man sich schwache Passwörter leichter merken kann. Außerdem neigen Benutzer dazu, auf unterschiedlichen Websites und bei unterschiedlichen Diensten ein- und dasselbe Passwort zu verwenden.

Kombiniert führen diese Umstände zu verschärften Sicherheitsproblemen, da schwache Passwörter einfach zu erraten sind und ein einmal geknacktes Passwort für den Zugriff auf mehrere Dienste missbraucht werden kann.

Andererseits können starke Passwörter zwar Brute-Force-Angriffen standhalten, sind aber wirkungslos gegen Angriffe wie Phishing und Keylogger-Software oder Passwort-Stuffing. Bei dieser Art von Angriffen wird nicht versucht, das Passwort zu erraten, vielmehr wird es direkt vom Nutzer gestohlen.

Passwörter werden auch dann zum Problem, wenn sie nicht sicher aufbewahrt werden. Wie jüngst in den Nachrichten verlautete, hat Facebook offensichtlich Millionen von Instagram-Passwörtern als Klartext gespeichert. Im Umgang mit Passwörtern müssen unbedingt Best Practices wie beispielsweise Hashing angewendet werden.

Eine spezifische Anmeldedatenkategorie wie Benutzername und Passwort wird normalerweise als Authentifizierungsfaktor bezeichnet. Auch wenn die Authentifizierung mittels Passwort die bekannteste Art der Authentifizierung ist, gibt es noch weitere Authentifizierungsfaktoren. Es gibt drei Arten von Authentifizierungsfaktoren, die typischerweise wie folgt klassifiziert werden:

Etwas, das Sie kennen, z. B. ein Passwort

Etwas, das Sie besitzen, z. B. ein Smartphone

Etwas, das Sie sind, z. B. Authentifizierung per Biometrie

Etwas, das Sie kennen

Bei diesem Authentifizierungsfaktor muss der Nutzer nachweisen, dass er etwas kennt. In der Regel handelt es sich um ein Passwort oder eine PIN, die nur der Nutzer und das Identitäts- und Zugriffsmanagementsystem (IAM-System) kennen.

Das System fordert den Nutzer auf, die beidseitig bekannten Daten anzugeben.

Etwas, das Sie besitzen

In diesem Fall muss der Nutzer nachweisen, dass er etwas Bestimmtes besitzt, z. B. ein Smartphone, eine Smartcard oder eine Mailbox. Das System stellt dem Nutzer eine Aufgabe, um sicherzustellen, dass er den benötigten Authentifizierungsfaktor besitzt. Beispielsweise sendet es ein zeitlich begrenzt gültiges Einmalpasswort (TOTP) in einer Textnachricht an das Smartphone des Nutzers. Oder es versendet einen Textcode per E-Mail.

Etwas, das Sie sind

Dieser Authentifizierungsfaktor basiert auf einem körperlichen Merkmal des Nutzers (Inhärenzfaktor). In der Regel handelt es sich dabei um biometrische Daten wie z. B. einen Fingerabdruck oder die Stimme. Die Gesichtserkennung ist ein weiterer Authentifizierungsfaktor aus diesem Bereich.

Basiert der Authentifizierungsprozess auf einem einzigen Faktor, spricht man von Ein-Faktor-Authentifizierung.

Das sind in der Regel der Benutzername und ein Passwort, es kann sich jedoch auch um einen beliebigen anderen Authentifizierungsfaktor handeln. Wie oben schon angesprochen, ist ein Passwortschutz möglicherweise ein schwacher Authentifizierungsmechanismus. Forschungen haben ergeben, dass rund 76 % der Unternehmen bereits einen Phishing-Angriff erlebt haben, während 81 % der Datenschutzverletzungen auf gestohlene oder schwache Passwörter zurückzuführen sind.

Mithilfe weiterer Authentifizierungsfaktoren lässt sich die Sicherheit des Authentifizierungsprozesses erhöhen. Beispielsweise können Sie in Ihrem Google-Konto eine Benachrichtigung an Ihr Smartphone einrichten, die automatisch nach der üblichen Authentifizierung mit Benutzernamen und Passwort erfolgt. In diesem Fall nutzen Sie eine Zwei-Faktor-Authentifizierung (2FA), d. h. einen Mechanismus, der auf zwei Kategorien von Anmeldedaten basiert: etwas, das Sie kennen und etwas, das Sie besitzen. Indem Sie diesen zweiten Faktor hinzufügen, machen Sie Ihr Konto sicherer. Selbst wenn ein Angreifer Ihr Passwort stiehlt, kann er sich darüber nicht authentifizieren, weil ihm der zweite Authentifizierungsfaktor fehlt.

Wenn Sie mehrere Authentifizierungsfaktoren kombinieren, erhöhen Sie die Sicherheit Ihrer Identität weiter. In diesem Fall spricht man von Multi-Faktor-Authentifizierung (MFA). 2FA ist nur eine Unterart der MFA.

Wie der Name schon sagt, handelt es sich bei der passwortlosen Authentifizierung um einen Mechanismus, bei dem kein Passwort verwendet wird. Mit dieser Art der Authentifizierung soll in erster Linie eine Passwortmüdigkeit verhindert werden, d. h., der Aufwand, den es für den Nutzer bedeutet, sich ein starkes Passwort einzuprägen und dieses sicher aufzubewahren.

Gibt es kein Passwort, laufen auch Phishing-Angriffe ins Leere.

Sie können eine passwortlose Authentifizierung mit jedem beliebigen Authentifizierungsfaktor (basierend auf etwas, das Sie besitzen, und etwas, das Sie sind) einrichten. Der Nutzerzugriff auf einen Dienst wird beispielsweise nach dem Versand eines Codes per E-Mail oder per Gesichtserkennung gewährt.

Für Auth0 als Identity-as-a-Service-Anbieter ist Authentifizierung die zentrale Dienstleistung. Auth0 wickelt monatlich rund 2,5 Milliarden Authentifizierungsprozesse ab und hilft Unternehmen aller Größenordnungen, ihre Systeme zu sichern. Jeder Mitarbeiter von Auth0 ist in irgendeiner Form daran beteiligt, Authentifizierungsprozesse sicherer und benutzerfreundlicher zu machen.

Von Compliance-Zertifizierungen wie ISO27001 und SOC 2 Type II bis hin zu Sicherheitsfunktionen wie der Erkennung von Passwortlecks sind die Mitarbeiter von Auth0 rund um die Uhr damit beschäftigt, erstklassige Authentifizierungslösungen bereitzustellen, die die Anforderungen jedes Unternehmens erfüllen. Wenn Sie mehr über Authentifizierung erfahren möchten oder wissen wollen, wie Auth0 Ihnen bei einer sicheren Implementierung helfen kann, sehen Sie sich diese Schulung an.

Lesen Sie unsere Einführung in IAM, um sich über weitere Themen rund um das Identitäts- und Zugriffsmanagement zu informieren.