Der weggekürzte Faktor: Anmeldung leichter gemacht

Mit einem Mal änderte sich die Situation und trotz gut gemeinter Argumente fragten die RSA-Kunden: Ist die Lösung immer noch sicher? Was haben die Angreifer ausgespäht? Welchen Schaden können sie bei mir anrichten? Leider gab es dazu bis heute keine Antwort. Inzwischen ist bekannt, was passiert ist: In der E-Mail “2011 Recruitmentplan.xls” an einige RSA-Mitarbeiter befand sich eine Flash-Datei, die wiederum das frei verfügbare “Fernwartungstool” Poison Ivy zum Laufen brachte. Ein klassischer Weg für Malware, um in Unternehmen einzudringen. Es mag irgendwie beruhigend sein, dass es Sicherheitsanbietern nicht anders geht als dem Otto-Normal-Administrator. Die Verunsicherung bleibt jedoch.

Nun schauen sich alle um und fragen: Gibt es sichere Alternativen? Und sind diese auch praktikabel? Zunächst sollte die Frage nach dem Zweck gestellt werden. Wofür benötigt man eine Zwei-Faktor-Authentifizierung?
In den meisten Infrastrukturen wird diese Erweiterung der Anmeldesicherheit nur für den Fall genutzt, in denen sich Mitarbeiter über einen “Zugang von außen” wie ein VPN anmelden. Das kann dann von Unternehmensrechnern oder Privatgeräten passieren. In diesem Fall ist alles, was mit Zusatz-Hardware verbunden ist, schwierig zu realisieren: Weder Smartcard-Reader noch Fingerabdruck-Scanner sind für den privaten PC geeignet. Sowohl mit Hinblick auf die Kosten, als auch der Funktionalität. RFID-basierte Lösungen brauchen Hardware, sie kommen also ebenfalls nicht in Frage.

Die meisten Hardware-unabhängigen Lösungen haben sich im Einsatz nicht bewährt: Vor einiger Zeit versuchte ein Unternehmen, Mitarbeiter anhand ihres Tippverhaltens auf der Tastatur zu erkennen. Die Idee war ungewöhnlich, die Hardware hat jeder. Leider sind wir Menschen nicht kalkulierbar und tippen je nach Tagesform anders in unsere Tastatur. Der Druck lässt sich nicht messen, nur der zeitliche Abstand zwischen den Anschlägen. Bleibt somit nur noch das One-Time-Passwort.

Im internen Netz etwa zur Absicherung von Single-Sign-On-Lösungen kann ein zweiter Anmeldefaktor viel bringen. Setzen Unternehmen im Gesundheitswesen mit der Health Professional Card (HPC) auf SmartCard-Technologie, stoßen auch sie schnell an Grenzen der Alltagstauglichkeit. Hat der Arzt die Karte vergessen, kann er nicht behandeln. Also wird die HPC virtualisiert und über andere Mechanismen darauf zugegriffen – wie RFID-Lösungen oder Fingerabdruck-Scanner. Letztere haben allerdings gerade im Krankenhaus mit Blick auf die Hygiene einen unangenehmen Beigeschmack.

Bei der ganzen Diskussion bestätigt sich die alte Weisheit: Keine Rose ohne Dornen. Die perfekte Lösung gibt es noch nicht. Und das Misstrauen ist hoch: Als ich einmal auf der CeBIT Kunden einen neuartigen Fingerabdruck-Scanner präsentierte, fragte mich jeder zweite Besucher, ob der Sensor auch erkennt, wenn der Finger vorher abgehakt wurde. Ich frage mich bis heute, wie viele Finger in Deutschland pro Jahr als Straftatbestand abgetrennt werden…