Sie sind hier: Home » Markt » Hinweise & Tipps

Sechs Regeln für die sichere Authentifizierung


Wer die Online-Schwelle übertritt, braucht Authentifizierungsmechanismen, die eine zweifelsfreie Überprüfung der Identifikation zulassen
Eine einzige Authentifizierungsform passt selten für die unterschiedlichen Anwendungsfälle, die in einem Unternehmen auftreten können


(17.10.11) - In Deutschland prangen viele tausend Passwörter auf gelben Klebezetteln an den Monitoren. Manche werden auch mit wasserfesten Stiften auf die Tastatur des Laptops geschrieben. Ein Alptraum für alle Chief Security Officers und Sicherheitsbeauftragte, die wertvolle Daten schützen müssen.

Netzwerkzugänge müssen vor dem Hintergrund wachsender Gefahren durch mehrschichtige Sicherheitsmaßnahmen geschützt werden. Die Experten von ActivIdentity haben sechs Gebote für einen sicheren Zugang zu Unternehmensnetzen zusammengestellt.

1. Keiner kommt rein, ohne sich zu erkennen zu geben
Für Unternehmen aller Größen gilt: Der Gegenüber muss identifiziert werden. Das ist für einen Zulieferer in der Flugzeugindustrie mit 50 Mitarbeitern genauso überlebenswichtig wie für einen Großkonzern. Die Identifizierung bildet den ersten Schritt der Sicherheitskette. Die Kommunikationspartner müssen sich kennen, unabhängig davon, ob Mitarbeiter auf Unternehmensdaten zugreifen, Kunden über das Internet das Web-Angebot des Unternehmens aufrufen oder Online-Banking-Dienste genutzt werden. Alle nachgelagerten Sicherheitsmaßnahmen können nur sinnvoll greifen, wenn die Kommunikationspartner bekannt sind.

2. Keine Identifizierung ohne Authentifizierung
Wer eine Grenze überschreitet, braucht einen Reisepass. Ist derjenige, der auf ein Netzwerk, einen Dienst oder spezifische Daten zugreift, tatsächlich der, für den er sich ausgibt? Wer die Online-Schwelle übertritt, braucht Authentifizierungsmechanismen, die eine zweifelsfreie Überprüfung der Identifikation zulassen.

3. Beuge den leisen Verbrechen vor
Die meisten Bedrohungen, gegen die sich Unternehmen heute absichern, sind unangenehm, teilweise auch gefährlich. Sie haben aber, egal ob Virus, Trojaner, DoS oder andere, eine Gemeinsamkeit: Man "spürt" den Angriff, da z.B. Daten zerstört oder Zugriffe auf Dienste verhindert werden. Gelingt einem Angreifer der Diebstahl einer Identität, agiert dieser im Namen einer autorisierten Person. Dienste können missbräuchlich genutzt werden, Daten ausgelesen oder verändert werden, ohne dass vorhandene Sicherungsmaßnahmen dies erkennen oder verhindern können. Dies verhindert die starke Authentifizierung. Identitäten müssen so gestaltet werden, dass der Diebstahl auffällt oder nicht begangen werden kann.

4. Unterstütze den Anwender so gut es geht
Alle Sicherungsmaßnahmen müssen den Zugang für den Anwender einfacher machen als vorher, sie dürfen ihn nicht behindern. Der Anwender und seine Bedürfnisse stehen im Mittelpunkt, denn schließlich geschieht die Authentifizierung bei ihm. Identifizierungs- und Authentifizierungsmethoden sollten daher so ausgewählt werden, dass sie die Nutzer in ihren Anwendungen unterstützen und der Anmeldevorgang vereinfacht wird.

5. Wähle eine Lösung, die automatisiert Regeln durchsetzt
Die wenigsten Anwender haben ein Bewusstsein für IT-Sicherheitsproblematiken. Daher sollten Authentifizierungsregeln, sei es für die Nutzung bestimmter Authentifizierungsgeräte oder für die Verwendung von Passwörtern, mit technischen Mitteln durchgesetzt werden. Auf diese Weise kann man die Auswahl der Zugangsmethoden oder das Merken der Passwörter auslagern an ein technisches Hilfsmittel. Hier hilft Single-Sign-on, mit dem Anwender nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Dienste, für die sie lokal berechtigt sind, am selben Arbeitsplatz zugreifen können, ohne sich jedes Mal neu anmelden zu müssen.

6. Jeder Authentifizierungstopf braucht seinen Deckel
Eine einzige Authentifizierungsform passt selten für die unterschiedlichen Anwendungsfälle, die in einem Unternehmen auftreten können. Abhängig vom Sicherheitsbedarf, dem Angriffsrisiko, dem Verbindungstyp und anderen Parametern sollte eine angemessene Authentifizierungsmethode gewählt werden. Dabei sollten Unternehmen den Zugriff durch einen zentralen Authentifizierungsdienst steuern. Wer für unterschiedliche Authentifizierungsmethoden unterschiedliche Lösungen wählt, lädt der IT-Abteilung einen erheblichen Administrationsaufwand auf, der leicht vermeidbar ist.
(Active Identity: ra)

ActiveIdentity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Stresstest der Europäischen Zentralbank

    Am 2. Januar 2024 hat der Stresstest der Europäischen Zentralbank für große Institute im Euroraum begonnen. Insgesamt sind mehr als 100 Banken betroffen, ein tiefer gehender Test steht im Nachgang für über 20 dieser Banken an. Mit der "Trockenübung" eines Cyberangriffs möchte die EZB Melde- und Wiederherstellungsprozesse der Banken prüfen. Welche größeren Schwachstellen wird die EZB dabei identifizieren?

  • Compliance, Regulierung und betriebliche Risiken

    Betriebsleiter jonglieren täglich mit unterschiedlichen Risiken. Es ist ihre Aufgabe, bestehende Risiken zu bewerten und abzuschwächen sowie Strategien zur Vermeidung künftiger Risiken zu entwickeln. Dabei steht viel auf dem Spiel: Risikofolgen reichen von Produktivitätsverlusten - während die Mitarbeiter mit der Behebung von Fehlern beschäftigt sind - bis hin zu Geldverschwendung, wenn Fristen und Fortschritte nicht eingehalten werden.

  • An der Quelle der Informationen beginnen

    Im Kontext steigender Cyberbedrohungen gewinnt die strikte Einhaltung bzw. Umsetzung entsprechender Compliance-Vorschriften stetig an Bedeutung. Als Bereitsteller kritischer Infrastruktur gilt insbesondere für Finanzunternehmen, IT-Ausfälle und sicherheitsrelevante Vorfälle zu verhindern, um für die Aufrechterhaltung des Betriebs zu sorgen.

  • DORA-Compliance komplex

    Bereits im Januar 2023 ist der Digital Operational Resilience Act (DORA), eine Verordnung der europäischen Union, in Kraft getreten. Umzusetzen ist das EU-Gesetz bis zum 17.01.2025. Obwohl es sich vorrangig an den Finanzsektor richtet, können auch andere Unternehmen, wie beispielsweise IT-Dienstleister davon betroffen sein.

  • Umsetzung der ESG-Verordnung

    Im Sommer 2021 wurde von der EU das "Europäische Klimagesetz" verabschiedet. Es soll helfen, den Klimaschutz spürbar voranzutreiben. Eine der beschlossenen Maßnahmen ist das sogenannte ESG-Reporting, das viele Unternehmen erst einmal vor Herausforderungen stellt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen