Multifaktor-Authentifizierung überfordert viele Unternehmen
IT- und Informationssicherheit in Mittelstand und öffentlichen Verwaltungen
Sichere Authentifizierung stellt viele Unternehmen vor Probleme. Gerade mit dem Einsatz von Tokens, Zertifikaten oder biometrischen Merkmalen sind viele noch überfordert. Dies ist ein Ergebnis der Studie Security Bilanz Deutschland, für die das Analystenhaus techconsult zum dritten Mal in Folge 500 Mittelständler aus Industrie, Handel, Banken und Versicherungen, Dienstleistungssektor sowie öffentliche Verwaltungen und Non-Profit-Unternehmen zwischen 20 und 1.999 Mitarbeitern befragt hat.
Sichere Authentifizierung ist eine zentrale Herausforderung, die Unternehmen und Verwaltungen lösen müssen. Insbesondere durch die Vielzahl von mobilen Endgeräten, die in Unternehmen mittlerweile zum Einsatz kommen, ist der Bedarf gestiegen. Um Authentifizierung auch sicher zu gestalten, setzen die meisten Unternehmen vor allem auf die Durchsetzung von Passwortvorgaben: Ein Passwort muss aus mindestens 12 Zeichen bestehen, Groß- und Kleinschreibung, Zahlen und Sonderzeichen enthalten usw. Auch wird empfohlen, statt einfachen Passwörtern ganze Sätze, so genannte „Passphrases“, zu verwenden, weil die Länge des Passworts die Sicherheit in stärkerem Maße beeinflusst als die Zeichenvielfalt (siehe z.B. XKCD „Password Strength“). Mit der aktuellen Umsetzung von Passwortvorgaben haben 57 Prozent der Befragten Probleme oder solche Vorgaben sind bei ihnen gar nicht vorhanden.
Ein weiterer Schritt, Authentifizierung sicherer zu gestalten, besteht darin, zusätzliche Faktoren einzubeziehen. Bekanntestes Beispiel hierfür ist die Nutzung von Chipkarte und PIN am Geldautomaten. Auch in Großunternehmen ist die Authentifizierung mittels SmartCard und Passwort gelegentlich anzutreffen. Neben einem Passwort authentifiziert sich der Nutzer mittels Chipkarte und Kartenleser am Rechner. Solche Zwei-Faktor-Authentifizierungen (2FA) gelten als deutlich sicherer als einfaktorielle Authentifizierungsverfahren. Werden sogar drei oder mehr Wege kombiniert, spricht man von Multi-Faktor-Authentifizierung. In der Regel werden dabei drei Elemente kombiniert: Wissen, Besitz und biometrisches Merkmal. Ein Beispiel für eine solche Multi-Faktor-Authentifizierung wäre demnach eine Kombination aus Passwort (Wissen), SmartCard (Besitz) und Fingerabdruck (biometrisches Merkmal). Zwei- bzw. mehrfaktorielle Authentifizierung bietet sich vor allem auch für die Nutzung auf mobilen Endgeräten an, weil auf die sonst geforderte große Passwortlänge weitestgehend verzichtet werden kann. Daher sind PIN-TAN-Kombinationen (z.B. mit TAN über SMS) durch die Trennung der verschiedenen Kanäle sicherer als lange Passwörter. Gleichzeitig lassen sie sich zum Beispiel am Smartphone gut eingeben. Mit der Umsetzung dieser anspruchsvolleren Verfahren haben deutlich mehr Unternehmen Probleme als mit Passwortvorgaben. Rund zwei Drittel berichten, dass zertifikatsbasierte Authentifizierungsverfahren oder Verfahren unter Nutzung eines unabhängigen Kommunikationskanals bzw. Mediums zur Authentifizierung und Autorisierung von Transaktionen (Smart-Cards, SMS-Tan, USB-Token, …) nicht gut umgesetzt sind. Biometrische Authentifizierungsverfahren wie Fingerabdruckscan, Iris-Scan, Gesichts- oder Spracherkennung weisen sogar bei mehr als 70 Prozent Probleme auf.
Die Probleme, die mittelständische Unternehmen und öffentliche Verwaltungen rund um die Authentifizierung aufweisen, finden sich im Übrigen mehr oder weniger unabhängig von Branche oder Größenklasse. Es lassen sich allenfalls leichte Unterschiede feststellen. Selbst Rechenzentren haben mit Multi-Faktor-Authentifizierung ihre Probleme, wie techconsult in einer anderen, spezifisch auf Rechenzentren zielenden Studie (Optimized Data Center) herausgefunden hat, berichtet Marco Becker. Demnach bewertet nur ein Drittel der befragten Rechenzentrums- und Serverraumbetreiber die eigene Umsetzung als gut oder sehr gut. Zwei Drittel weisen Probleme auf, jedes fünfte Rechenzentrum sogar so große, dass sie die Umsetzung selbst als mangelhaft oder gar ungenügend beschreiben würden.
Abbildung: Anspruchsvolle Authentifizierungsmaßnahmen wie der Einsatz biometrischer Verfahren bereiten 71 Prozent der befragten Mittelständler und öffentlichen Verwaltungen Probleme
Weitere Ergebnisse der Studie stehen auf der auf der Webseite des Projekts unter https://www.security-bilanz.de zum Download bereit. Zusätzlich finden interessierte Unternehmen dort den Security Consulter, ein kostenloses Tool, mit dem Sie sich an den Studienergebnissen messen können und dadurch eine Einschätzung ihrer IT-Sicherheit im Vergleich zum Wettbewerb erhalten:
Security-Check zur Studie: Der Security Consulter
Zusätzlich zur Studie bietet der individuelle Security-Check Security Consulter jedem mittelständischen Unternehmen die Möglichkeit, eigene Stärken und Schwächen im Vergleich zu ähnlichen Unternehmen zu identifizieren. Der Security-Check basiert auf der Studie und ermöglicht so, sich mit den Studienergebnissen zu vergleichen. Der Security Consulter steht ebenfalls auf dem Studienportal https://www.security-bilanz.de zur Verfügung.
Über die Studie
Die Studie Security Bilanz Deutschland ermittelt jährlich den Status Quo der IT- und Informationssicherheit im Mittelstand und öffentlichen Verwaltungen. Die Basis bildet eine repräsentative Befragung mit über 500 Interviews in Unternehmen und Verwaltungen/Non-Profits mit 20 bis 2.000 Mitarbeitern. Darüber hinaus steht mit dem Heise Security Consulter ein Self-Check-Tool bereit, mit dem Unternehmen und Verwaltungen ihre Lage bewerten und mit den Studienergebnissen vergleichen können.
Die Studie Security Bilanz Deutschland und der Security Consulter werden unterstützt von DATEV eG, Hewlett Packard Enterprise, Jakobsoftware, Net at Work und TeleTrust.
Kassel, 29.09.2016
