Technologiebetrachtung: Sicher authentifizieren – Fünf Stufen für mehr Orientierung
Passwort, Passkey oder Smartcard – es gibt viele Möglichkeiten, den Zugang zu Systemen und Anwendungen zu schützen. Doch wie sicher sind die einzelnen Verfahren? Eine Klassifikation schafft Orientierung und hilft bei der Bestimmung, welche Sicherheitsniveaus verschiedene Authentifikationsverfahren, -mittel und -dienste überhaupt erreichen können.
Authentifikation stellt sicher, dass nur berechtigte Personen und Prozesse auf geschützte Systeme und Anwendungen zugreifen können. Dafür stehen heute zahlreiche Verfahren zur Verfügung – von klassischen Passwörtern über Passkeys bis hin zu Smartcards.
Diese Verfahren bieten allerdings nicht alle das gleiche Schutzniveau. Je nach eingesetzter Technologie und konkreter Ausgestaltung können sich ihre Sicherheitseigenschaften zum Teil erheblich unterscheiden.
Fünf Sicherheitsklassen
Um diese Unterschiede einfacher einzuordnen, werden Authentifikationsverfahren, -mittel und -dienste in die drei Sicherheitsklassen «tief», «mittel» und «hoch» eingeteilt, wobei die beiden Klassen «mittel» und «hoch» noch weiter unterteilt sind.
Für die insgesamt fünf Sicherheitsklassen sind die jeweiligen Anforderungen beschrieben, um für die Bewertung von verschiedenen Lösungen eine Grundlage zu schaffen.
Orientierung am internationalen Standard
Die Einteilung orientiert sich zwar an den «Authentication Assurance Levels» (AAL 1–3) des US-amerikanischen National Institute of Standards and Technology (NIST), ist aber in der Technologiebetrachtung «Sicherheitsklassen für Authentifikationsverfahren, -mittel und -dienste» leicht angepasst und im Hinblick auf Resistenz vor «Real-time Phishing»-Angriffen erweitert worden.
In der vorliegenden Form bietet die Klassifikation keine Grundlage zur formalen Prüfung oder Zertifizierung. Sie kann aber Organisationen und Unternehmen als praktische Grundlage dienen – zum Beispiel für die Erstellung von Sicherheitsvorgaben, Empfehlungen oder Best Practices. Damit schafft sie insbesondere eine einfache und verständliche Orientierungshilfe für die Auswahl und Bewertung von Authentifikationslösungen.