Studie: Multifaktor-Authentifizierung auf dem Vormarsch

Bisher mussten diejenigen, die einen sicheren Zugang zu Online-Diensten wünschten, oft Abstriche bei der Benutzerfreundlichkeit machen. Wer sich schnell und unkompliziert anmelden wollte, nahm häufig eine unsichere Authentifizierungsmethode in Kauf. Es schien lange Zeit, als ob das eine nur auf Kosten des anderen funktionieren würde. Dank eines sich ändernden Nutzungsverhaltens von remote tätigen Mitarbeitern scheint sich dieses Dilemma allmählich aufzulösen. Datensicherheit und Benutzerfreundlichkeit müssen sich nicht mehr länger ausschließen. Dies ist ein Ergebnis des aktuellen Secure Sign-In Trend Report von Okta.

Nutzung der MFA-Methode nimmt weltweit zu

Für den Report haben wir weltweit und anonymisiert alle Daten unserer Plattform ausgewertet, um Informationen über die von den Mitarbeitern unserer Kunden genutzten Authentifizierungsmethoden für die Remote-Anmeldung bei verschiedenen Online-Diensten zu erhalten. Das Interessante dabei ist, dass die Nutzung der Multifaktor-Authentifizierung sich seit 2020 nahezu verdoppelt hat. Mitarbeiter, die von verschiedenen Geräten aus auf Online-Dienste oder Websites zugreifen möchten, empfinden MFA als ausreichend sicher und komfortabel, um sich mit gutem Gewissen zu identifizieren. Allein im Januar 2023 haben sich 64 Prozent aller Nutzer über eine Multifaktor-Authentifizierung angemeldet.

Sicherheit und Nutzerfreundlichkeit schließen sich nicht mehr aus

Darunter ganze 90 Prozent IT-Administratoren. Erstaunlicherweise nutzen weniger als 4 Prozent der weltweit angeschlossenen Nutzer phishing-resistente Authentifikatoren. Dies erklärt sich damit, dass diese Authentifikatoren zum einen noch neu sind und daher wenig bekannt zu sein scheinen. Zum anderen wird deutlich, dass Technologie-Entscheider oft die Sicherheit der Nutzerfreundlichkeit vorziehen, ohne Optionen für eine gute Balance zu berücksichtigen.

Der Trend Report zeigt rückblickend, dass sowohl die Pandemie als auch viele öffentlichkeitswirksame Cyberangriffe zur schnellen Verbreitung der MFA-Methode beigetragen haben. Darüber hinaus ist anzumerken, dass die Authentifizierung über mehrere Faktoren auf den ersten Blick kompliziert erscheinen mag, aber in der Praxis eine erhebliche Zeitersparnis ermöglicht und im Vergleich zur Anmeldung über Passwörter um ganze 80 Prozent weniger fehleranfällig ist.

Authentifizierungsabläufe kontinuierlich überprüfen

Die Multifaktor-Authentifizierung bietet eine zusätzliche Sicherheitsebene zum Schutz der digitalen Identität. Dabei wird der Nutzer aufgefordert, zwei oder mehrere Berechtigungsnachweise aus verschiedenen Kategorien (etwas, das man hat, etwas, das man kennt oder etwas, was man ist) zu kombinieren. Diese Authentifizierung kann kontextbezogen oder adaptiv erfolgen, wobei der Anwendungskontext zur Bestimmung des relevanten Sicherheitsniveaus herangezogen wird. Allerdings arbeiten Cyberkriminelle bereits seit einiger Zeit daran, die Sicherheitsstufen der Multifaktor-Authentifizierung geschickt zu umgehen. Daher sollten Unternehmen ihre Authentifizierungsabläufe und -standards kontinuierlich überprüfen.

Die Studie zeigt, dass Unternehmen mit rund 700 Mitarbeitern mit 80 Prozent die höchste Nutzungsrate für MFA aufweisen. Bei Großkonzernen liegt die Rate bei knapp der Hälfte. Unabhängig von der Unternehmensgröße ist es jedoch vor allem wichtig, das Identitätsmanagement (IAM) zentralisiert durchzuführen, da ansonsten Insellösungen entstehen können und die Anfälligkeit für Cyberattacken steigt.

Tipps für die Einführung sicherer Authentifikatoren

1. Dynamische, kontextabhängige Zugriffsrichtlinien sollten erstellt und ausgewertet werden, um zu erfahren, wie die Benutzerattribute sowie der Gerätekontext aussehen (z.B. Ist das Gerät bekannt? Wie wird es verwaltet? Ist das Netzwerk vertrauenswürdig? Stimmt die Anfrage mit dem bisherigen Benutzerverhalten überein?
2. Entwicklung eines langfristigen Nutzungs-Szenarios für den Fernzugriff, der die Reduktion des Einsatzes von Passwörtern zum Ziel hat: Verbindung der Risikostufen mit den entsprechenden Zugriffsentscheidungen, beispielsweise dem Gewähren oder Entziehen des Zugriffs, der Aufforderung zu MFA oder der Nutzung passwortloser Authentifizierung bei Abfragen mit geringem Risiko.
3. Erstellen von MFA-Anmelderichtlinien und Phishing-Schutz für den administrativen Zugriff auf sensible Anwendungen und Daten
4. Die Einführung neuer Authentifizierungs-Methoden braucht die Aufmerksamkeit des Top-Managements, da es hier um den Schutz der wertvollsten Ressourcen und Informationen innerhalb der Organisation geht
5. Integration von MFA in die Zero-Trust Strategie: Neue Lösungen und Dienste sollten sich einfach in die bestehende Cloud-Architektur integrieren lassen, ansonsten besteht die Gefahr der Implementierung von lauter zusammenhangsloser Ad-hoc Lösungen. Das führt wiederum zu fragmentierten Benutzeridentitäten.

Sven Kniest

ist bei Okta verantwortlich für den Geschäftsauf- und ausbau in der DACH-Region sowie in Zentral- und Osteuropa.