Hacker dringen nicht einfach nur ein. Manchmal müssen sie sich lediglich anmelden. Das ist angesichts des heutigen Stands der Passwortsicherheit ein Leichtes.
Der gängigste Ansatz für das Identitäts- und Zugriffsmanagement (IAM) – Benutzername und Passwort – hat sich schon seit langem nicht mehr bewährt. Hacker starten täglich durchschnittlich 50 Millionen Passwortangriffe, was etwa 580 pro Sekunde entspricht. Laut Verizon sind etwa 60 % der Datenpannen auf kompromittierte Zugangsdaten zurückzuführen.
Die durchschnittlichen Kosten eines Datenlecks werden auf 4,2 Millionen US-Dollar geschätzt, wobei kompromittierte Zugangsdaten als häufigster Angriffsvektor an erster Stelle stehen und 20 % aller Datenlecks ausmachen. Darüber hinaus sind Passwortzurücksetzungen einer der Hauptgründe, warum Mitarbeiter den IT-Helpdesk anrufen, und dies kostet Unternehmen nach Schätzungen von Forrester bis zu 70 US-Dollar pro Anruf. Große US-amerikanische Unternehmen geben jährlich mehr als 1 Million US-Dollar für die Zurücksetzung von Passwörtern aus .
Bill Gates sagte bekanntlich bereits vor 18 Jahren das Ende der Passwörter voraus. Dennoch bleiben Benutzernamen und Passwörter in den meisten IT-Organisationen der „
“-Branche weiterhin im Einsatz, obwohl die Branche bereits zahlreiche Anstrengungen unternommen hat, um bessere Alternativen zu finden.
Doch dies könnte sich nun endlich ändern, da Führungskräfte aus der Wirtschaft die Grenzen der Passwortsicherheit erkennen. Da sich die Authentifizierungstools ständig weiterentwickeln und das „Zero-Trust“-Modell zum vorherrschenden Cybersicherheitsmodell wird, führen immer mehr Unternehmen passwortlose Ansätze ein, wie beispielsweise die Multi-Faktor-Authentifizierung (MFA), biometrische Verfahren und Single-Sign-On-Lösungen (SSO).
Da davon auszugehen ist, dass sich die Cyberangriffe auf US-Unternehmen und kritische Infrastrukturen nach dem russischen Einmarsch in die Ukraine weiter verschärfen werden, fordern das „ “ (Weißes Haus) und die „Cybersecurity and Infrastructure Security Agency“ (CISA) Organisationen des öffentlichen und privaten Sektors nachdrücklich dazu auf, Authentifizierungsmethoden vorzuschreiben, die nicht auf Passwörtern beruhen.
„Der Trend hin zu passwortloser Sicherheit ist sehr, sehr real“, sagt Frank Dickson, Programm-Vizepräsident im Forschungsbereich Cybersicherheit und Vertrauenswürdigkeit bei IDC. „Unternehmen werden Passwörter nicht von heute auf morgen abschaffen, da dies mit einem hohen Aufwand verbunden ist.“ „Doch viele haben diesen Weg eingeschlagen, darunter auch einige der größten Namen der Tech-Branche.“
Eine neue strategische Priorität im Bereich der Passwortsicherheit
Der Trend bei den großen Technologieunternehmen geht in Richtung einer Zukunft ohne Passwörter. Microsoft hat gewerblichen Nutzern ermöglicht, sich ohne Passwörter in ihre Konten einzuloggen, und hat die Nutzer sogar dazu aufgefordert, Passwörter ganz abzuschaffen . Auch Google hat Schritte unternommen, um Passwörter schrittweise abzuschaffen, indem die Zwei-Faktor-Authentifizierung per Smartphone zur Standardeinstellung für Google-Konten gemacht wurde. Und Apple, dessen Computer und Smartphones mit Gesichtserkennung ausgestattet sind
, hatte sich gerade zu Beginn der Pandemie dazu verpflichtet, Passwörter im Jahr 2020 abzuschaffen.
„Wenn wir hier erst einmal richtig in Fahrt kommen, wird das wirklich eine bahnbrechende Veränderung bewirken.“Kurt John, Chief Cybersecurity Officer, Siemens USA
Es sind nicht nur diese Technologiegiganten, die hier eine Vorreiterrolle einnehmen. Tatsächlich geben laut einem Bericht der Enterprise Strategy Group (ESG) 85 % der IT- und Cybersicherheitsexperten an, dass die Einführung passwortfreier Sicherheitslösungen zu ihren wichtigsten strategischen Initiativen zählt.
Einer dieser Führungskräfte ist Kurt John, Chief Cybersecurity Officer bei Siemens USA, der für die Sicherheitsrichtlinien für 40 000 Mitarbeiter in den USA verantwortlich ist. John erklärte gegenüber „ “ (Endpoint ), dass sein Unternehmen – wie viele andere auch – mit den Kosten und der Komplexität der Verwaltung von Benutzernamen und Passwörtern zu kämpfen habe. Die Verpflichtung von Mitarbeitern und Kunden, ihre Zugangsdaten regelmäßig zu ändern, führt zudem zu einer schlechten Benutzererfahrung.
Siemens prüft derzeit die passwortlose Authentifizierung als Teil eines Zero-Trust-Programms für die Informationstechnologie, die Betriebstechnologie und die Produkte. Das Zero-Trust-Prinzip geht davon aus, dass jede Person und jede Maschine eine potenzielle Bedrohung darstellt, solange nicht das Gegenteil bewiesen ist.
[Lesen Sie auch: Es ist an der Zeit, das VPN zugunsten von Zero Trust aufzugeben]
John plant, eine Kombination aus biometrischen Technologien (wie Windows Hello), Analysemethoden und künstlicher Intelligenz einzusetzen, um Mitarbeiter zu authentifizieren, bevor ihnen Netzwerkzugang gewährt wird.
„Wir sind noch ein gutes Stück davon entfernt, aber wenn wir erst einmal richtig in Fahrt kommen, wird dies wirklich eine bahnbrechende Entwicklung sein“, sagt er.
Single Sign-On und weitere Tipps aus der Praxis
Sich Zeit zu nehmen, ist ein häufiges Thema bei Unternehmen, die über eine Umstellung auf passwortlose Sicherheit nachdenken.
Die meisten Experten warnen davor, bei der Strategie „
“ – einer passwortfreien Strategie – zu schnell zu viel auf einmal umsetzen zu wollen. Vielmehr schlagen sie vor, mit kleinen Pilotprojekten
zu beginnen und zu prüfen, was bei Altsystemen –
– sowie bei Mitarbeitern, Kunden und Partnern funktioniert, deren Rückmeldungen zur Neugestaltung der Programme beitragen können.
„Das Problem ist, dass jeder versuchen wird, Sie an sein Ökosystem zu binden.“Doug Cavit, CISO bei Containn
„Man möchte sich ein Bild davon machen, wie die Technologie funktioniert, und ein Gespür für die Benutzererfahrung entwickeln – sowohl bei der Registrierung als auch im täglichen Gebrauch“, sagt Schaufenbuel. „Erweitern Sie das Pilotprojekt dann schrittweise, bis Sie sich sicher genug fühlen, um eine umfassende Einführung in Angriff zu nehmen.“
Wie sich herausstellt, gibt es sinnvolle Möglichkeiten, die Verwendung von Passwörtern während dieser Übergangsphase zu verbessern. Dickson von IDC erläutert, wie Projekte zur Einführung passwortloser Verfahren schrittweise angegangen werden sollten. Zunächst schlägt er vor, den Benutzern ein Verwaltungstool an die Hand zu geben, mit dem sie das „Passwortchaos“ in ihren Unternehmen in den Griff bekommen können. Das mag auf den ersten Blick als das Gegenteil einer passwortlosen Lösung erscheinen. Er ist jedoch der Ansicht, dass es notwendig ist, die Zugangsdaten an einem Ort zu bündeln, um sie anschließend entfernen zu können.
Anschließend, so Dickson, sollten Unternehmen ein Single-Sign-On-Tool einführen, das Passwörter speichert und es den Mitarbeitern erspart, diese ständig zu aktualisieren und im Blick zu behalten. Ein SSO sei besonders nützlich für den Zugriff auf Software-as-a-Service-Anwendungen (SaaS) für Unternehmen und Privatkunden, fügt er hinzu.
„Wir haben uns vom Chaos über einen Passwort-Tresor hin zu einem Single-Sign-On mit Zwei-Faktor-Authentifizierung entwickelt“, sagt Dickson. „Und plötzlich werden unsere Erfahrungen immer besser.“
[Lesen Sie auch: Verbesserung der digitalen Mitarbeitererfahrung]
Der dritte Schritt umfasst die Überprüfung der Identitäts- und Zugriffsregeln. Er weist darauf hin, dass nicht jeder Mitarbeiter Zugriff auf jeden Winkel der Unternehmensnetzwerke benötigt. Manche benötigen für ihre Arbeit kaum mehr als die Möglichkeit, „Office 365 “ sowie einige Tools für das Finanz- und Personal
, herunterzuladen. Unternehmen müssen daher ihre IT-Ressourcen nach dem Prinzip „Need-to-see“ rationieren.
Als letztes geht es um das Löschen von Passwörtern, so Dickson. Letztendlich werden die IT-Systeme, Mitarbeiter und Geräte des Unternehmens größtenteils so funktionieren, dass die Eingabe eines Passworts nicht mehr erforderlich ist.
Hüten Sie sich vor einfachen Lösungen für die Passwortsicherheit
Zahlreiche Anbieter bewerben mittlerweile passwortlose Lösungen, die vermutlich MFA- oder Zero-Trust-Funktionen aus einer Hand bieten – für Unternehmen, die lieber früher als später voll auf diese Technologie setzen möchten. Tatsächlich ziehen einige vielversprechende Start-ups aufgrund dieses beschleunigten Ansatzes atemberaubende Risikokapitalinvestitionen an.
John von Siemens warnt Unternehmen jedoch davor, sich vorschnell auf solche Angebote einzulassen. „Entscheiden Sie sich nicht einfach für die erste passwortlose Lösung, die Ihnen über den Weg läuft“, sagt er. „Sie sollten Ihre Sorgfaltspflicht erfüllen und alle Ihnen zur Verfügung stehenden Optionen prüfen.“ Er empfiehlt, Ihre mittel- und langfristige Strategie sorgfältig zu durchdenken: „Einige dieser Lösungen werden Ihnen zwar kurzfristige Vorteile verschaffen, aber im Hinblick auf Ihre Ziele werden die Erträge mit der Zeit abnehmen“, sagt er.
Doug Cavit, CISO bei Containn, einem Softwareunternehmen, das Organisationen beim Aufbau und der Bereitstellung sicherer Multicloud-Infrastrukturen unterstützt, warnt ebenfalls davor, sich vorschnell auf das Ökosystem eines einzelnen Anbieters festzulegen. Ja, das Argument, dass Puzzleteile besser zusammenpassen, wenn sie aus derselben Schachtel stammen, ist nach wie vor stichhaltig. Sollten Ihre bestehenden Backend-Systeme jedoch nicht zu deren Infrastruktur passen, funktioniert eine passwortlose Plattform möglicherweise nicht besonders gut.
„Das Problem ist, dass jeder versuchen wird, Sie an sein Ökosystem zu binden“, sagt Cavit. „Sollte ich jedoch weniger homogen sein – was auf viele Unternehmen zutrifft –, würde ich mir noch einmal überlegen, diesen Weg einzuschlagen.“
Methoden der passwortlosen Authentifizierung bei „ “: Smartphones als Roaming-Schlüssel?
Viele Unternehmen sind der Ansicht, dass die Zukunft der passwortfreien Sicherheit – über Single Sign-On, Zugriffsprüfungen und andere Anpassungen hinaus – in der Nutzung von Smartphones als mobile Authentifizierungsgeräte liegt. Die FIDO Alliance, ein Branchenverband, der sich auf sichere Authentifizierung konzentriert, arbeitet seit 10 Jahren an einer solchen Technologie. Die neuesten passwortlosen Standards „ FIDO2 “ und „WebAuthn“ sowie „ “ würden kryptografische Funktionen für die sichere Anmeldung bei Websites, Unternehmensnetzwerken und Geräten integrieren.
„Es entstehen neue Technologien und Ansätze für die passwortlose Authentifizierung, die einfach besser sind.“Richard Stiennon, leitender Forschungsanalyst bei IT-Harvest
Die Nutzer würden sich mithilfe biometrischer Verfahren wie der Gesichts- oder Fingerabdruckerkennung auf ihren eigenen Geräten anmelden. Bluetooth würde unterdessen die physische Nähe des Nutzers bestätigen. Wenn ein Smartphone-Besitzer in Austin, Texas, wohnt, der Anmeldeversuch jedoch offenbar aus Biloxi, Mississippi, erfolgt, könnte das Gerät diese Diskrepanz feststellen und den Zugriff auf die Website blockieren. Theoretisch würde dies die Phishing-Bedrohungen unter minimieren, da diese häufig auf dem Diebstahl von Passwörtern beruhen – eine Angriffsmethode, die dadurch unterbunden würde.
Natürlich gibt es auch Skeptiker des FIDO-Ansatzes. Einige Sicherheitsexperten bemängeln , dass FIDO2 die Nutzer dazu zwingen würde, ihre Geräte ständig bei sich zu tragen, um sich in Netzwerke einzuloggen. Andere, wie beispielsweise Richard Stiennon, leitender Forschungsanalyst bei IT-Harvest, weisen darauf hin, dass es zu Problemen kommen kann, wenn Hunderte digitaler Zertifikate auf einem Gerät gespeichert sind und ein Nutzer dieses verliert – und Berichten zufolge gehen jedes Jahr 70 Millionen Smartphones verloren.
[Lesen Sie auch: Jeder Mitarbeiter muss nun Teil des Cybersicherheitsteams sein]
„Wenn Sie das bei der Arbeit nutzen, wie gehen Sie dann vor?“ fragt Stiennon. „Melden Sie das allen? An Ihren Arbeitgeber? Vielleicht ist das kein Problem. Doch was ist, wenn Sie die Telefongesellschaft sind? „Müssen Sie dann einer Bank melden, wenn das Handy verloren geht, auf dem deren IP-Adresse gespeichert ist?“
Experten zufolge ist es unwahrscheinlich, dass sich die passwortlose Sicherheit von heute auf morgen als vorherrschendes Authentifizierungsverfahren durchsetzen wird. Sie sind jedoch der Ansicht, dass Organisationen nach jahrzehntelangem bloßen Gerede nun endlich Taten folgen lassen.
„Ich bin bereit zu sagen, dass Passwörter der Vergangenheit angehören werden“, erklärt Stiennon. „Ich sage das nicht, weil sie unbedingt schlecht sind. Sie haben ihren Zweck erfüllt. Ich sage das, weil neue Technologien und Ansätze ohne Passwörter auf den Markt kommen, die einfach besser sind. „Und mit der Zeit werden Sie für die Anmeldung keine Passwörter mehr benötigen.“
