MFA: Multi-Faktor-Authentifizierung

Hintergrund

Unter MFA versteht man, dass ein Benutzer eines Systems seine Identität auf mehr als eine Weise belegen muss. Traditionell wurde in der Informatik nur ein einzelner Faktor – meist ein Passwort – verlangt, um zu beweisen, dass man der rechtmässige Besitzer eines Benutzernamens ist.

Da sich mit der steigenden Bedeutung und Verbreitung digitaler Technologien immer mehr Möglichkeiten für Kriminelle bieten, durch Identitätsklau Geld zu verdienen, steigen auch die Bedrohungen ständig.

Dies führt dazu, dass für viele Systeme der Schutz durch ein Passwort – welches in der Realität meist auch nicht die Komplexität aufweist, die professionellen Angriffen standhalten würde – nicht mehr ausreicht.

Hinzu kommt, dass immer wieder durch Angriffe über andere Vektoren Listen aus Benutzernamen und Passwörtern an die Öffentlichkeit gelangen.

Darum ist es heute sinnvoll alle kritischen Systeme durch einen weiteren Beweis der Identität zu sichern. Im Wesentlichen geht es dabei darum, dass zum ersten Faktor «Etwas, das nur der echte Benutzer weiss» zusätzlich noch «Etwas, das nur der echte Benutzer hat» «Etwas, das nur der echte Benutzer ist» oder «Ein Ort, wo nur der echte Benutzer ist» hinzukommt.

Identitätsbeweis durch Besitz

Die häufigste Form dieses Faktors ist das Mobiltelefon: Hier wird entweder eine SMS/Push-Nachricht mit einmalig gültigem Code versendet oder aber darauf eine App installiert, in der per einfachem Knopfdruck bestätigt werden kann, dass angemeldet werden soll.

Danach folgen entweder von Hardware (Token) oder Software (sei es auf einem Computer oder einem mobilen Gerät) generierte Codes, die alle paar Sekunden ändern und nur für kurze Zeit gültig sind.

Eine noch wenig verbreitete aber zukunftsträchtige Möglichkeit bietet der Standard Universal Second Factor, kurz U2F. Hierbei wird dieselbe kryptographische Technologie eingesetzt, wie sie auch zur Verschlüsselung von Webseiten verwendet wird. Details dazu würden den Rahmen dieses Artikels sprengen, doch nur so viel: Ich verwende diese Technologie für meine persönlichen Emailkonten.

Identitätsbeweis durch biometrische Eigenschaften

Die gängigsten Formen dieses Faktors bilden Fingerabdruck-, Iris- oder Gesichtserkennung. Weitere Möglichkeiten bieten die Erkennung der Stimme oder des Tippmusters.

Letzteres ist nicht weit verbreitet, aber durchaus interessant: Dem Benutzer wird nach Angabe von Benutzername und Passwort ein Text angezeigt, welcher vom Benutzer abgetippt werden muss. Da die Zeitabstände zwischen den einzelnen Buchstaben beim Tippen auf einer Computertastatur so einzigartig sind wie die Handschrift, lässt sich daraus bestimmen, ob dieser Text vom echten Benutzer oder jemand anderem eingetippt wurde.

Identitätsbeweis durch Örtlichkeit

Die einzige verbreitete Nutzung dieses Faktors besteht darin, Zugänge auf ein bestimmtes und geschütztes Computernetzwerk zu beschränken. Nur Anfragen aus diesem Netz werden durchgelassen. Doch wie bei den biometrischen Eigenschaften, gibt es auch hier interessante und theoretisch sichere Möglichkeiten: Beispielsweise die Ortung eines Geräts über GPS, wobei die Anmeldung nur dann erlaubt wird, wenn sich das Gerät auf dem Areal der Firma befindet.

Weitere Möglichkeiten werden derzeit im Bereich der Umgebungsgeräusche ausgelotet. So gibt es Spielereien, die eine Anmeldung an einem Computer nur erlauben, wenn der Rechner dieselben Umgebungsgeräusche aufzeichnet wie das Mobiltelefon. Damit werden also gleich drei Faktoren verbunden, da eine Anmeldung nur möglich ist, wenn sich der Zielrechner im selben Raum befindet, wie das mit dem Benutzerkonto verbundene Handy.

Derzeit grösste Probleme mit MFA

Nachdem hier das Risiko von Anmeldungen mit nur einem Faktor sowie die Möglichkeiten eines zweiten (oder gar dritten) Faktors dargelegt wurden, muss auch auf die Nachteile hingewiesen werden: Die derzeit grössten Sicherheitslücken in MFA sind einerseits schwache Passwörter und andererseits Sicherheitslücken bei SMS.

Werden – wie leider viel zu häufig – schwache Passwörter gewählt, reduziert sich eine Zwei-Faktor Authentifizierung effektiv wieder nur auf einen Faktor. Doch dies ist natürlich noch immer um Welten sicherer, als wenn sich dadurch eine Ein-Faktor Authentifizierung effektiv auf keine reduziert! Doch auch alle MFA, die auf SMS setzen, sind aus aktueller Sicht nicht als wirklich sicher einzustufen. Das Abfangen von SMS ist nicht nur im Labor, sondern auch unter realen Umständen mit dem richtigen Material und den nötigen Kenntnissen einfach. Auch haben Kriminelle bereits Ersatz-SIM-Karten mit gefälschten Papieren erschlichen. Trotz dieser Schwäche verhindern MFA-Lösungen mit SMS bei einfacher Handhabung die allermeisten Identitätsdiebstähle und bieten gegen nicht-staatliche Angreifer meist genügenden Schutz.

Doch nebst der Sicherheit hat MFA auch andere Hürden, die berücksichtigt werden müssen: Hauptsächlich sind dies die Kosten sowohl der Einführung als auch des Betriebs. Wobei bei Betriebskosten nicht nur die Kosten für die eigentliche Anmeldung (SMS-Versand, App-Entwicklung etc.) sondern auch die Administration berücksichtigt werden müssen. Geht der Gegenstand, durch dessen Besitz eine Identität nachgewiesen wird, verloren, muss das System – nach ausreichender anderer Identitätsprüfung - das alte Gerät durch ein neues ersetzen können. Dies ist mit administrativem (und bei Hardware-Tokens auch materiellem) Aufwand verbunden.

Fazit

Die Verwendung von MFA ist heute nicht mehr nur etwas für Online-Banking. Alle kritischen Applikationen sollten heute mit MFA gesichert werden. Wenn ein Dienst im Web die Option für MFA anbietet, sollte sie in jedem Fall verwendet werden.

Besonderes Augenmerk möchte ich zum Schluss noch auf E-Mail-Konten legen: Da sehr viele Onlineangebote zum Zurücksetzen eines Passworts als 2. Faktor den Zugang zur hinterlegten E-Mail-Adresse verwenden, ist ein schlechter Schutz des E-Mails gleichbedeutend mit einem schlechten Schutz aller damit verknüpfter Angebote. Das E-Mail-Konto bildet quasi die Basis unserer digitalen Identität im Netz: Der Schutz mindestens dieses Zugangs mit MFA ist daher unbedingt zu empfehlen.

Verwandte Themen

Weiterführende Projekte und Inhalte zum Thema