Der Diebstahl von Login-Daten und Passwörtern ist ein Einfallstor für Industriespionage und Kriminelle. Eine Multifaktor-Authentifizierung schützt Unternehmen besser vor externen Angriffen.

Angriffe auf Firmennetzwerke und IT-Systeme von Unternehmen häufen sich. Besonders gefährdet sind verwertbare Informationen wie Kundendaten und Entwicklungsunterlagen. Eine Multifaktor-Authentifizierung (MFA) erschwert unautorisierten Personen den Zugriff auf virtuelle Ziele wie einen Computer, ein Netzwerk, eine Datenbank oder auch den Zugang zu einem Unternehmensstandort. CONTACT hat jetzt eine MFA-Lösung für seine Kunden entwickelt.

Mehrschichtige Verteidigung
Die MFA ist eine mehrschichtige Verteidigung gegen Angriffe über das Internet. Ist ein Faktor kompromittiert oder defekt, muss sich der Angreifer mit mindestens einer weiteren Barriere auseinandersetzen, um einen erfolgreichen Einbruch durchzuführen. MFA-Lösungen kombinieren dazu zwei oder mehr unabhängige Identifikationsnachweise:

• Was der Anwender kennt (Passwort)
• Was der Anwender hat (Security Token)
• Was der Anwender ist (biometrische Verifizierung)

Bei diesen Verfahren benötigt der Nutzer nicht nur ein Passwort, sondern ein weiteres Merkmal, das seine Identität belegt. Das kann ein Gegenstand sein wie ein Smartphone, eine Smartcard oder ein sogenannter Token, der die personenbezogene Identifizierung und Authentifizierung über eine Hardware- oder Softwarekomponente sicherstellt. Bei der biometrischen Verifizierung wird eine bestimmte menschliche Eigenschaft wie ein Fingerabdruck oder das Muster der Iris geprüft.

Potenzielle Sicherheitslücken
CONTACT hat verschiedene Gefährdungsszenarien analysiert, die den Zugriff auf interne Daten begünstigen. Viele große Unternehmen sichern schon die Anmeldung am Betriebssystem durch eine Multifaktor-Authentifizierung ab (beispielsweise mit Smartcard/PIN und Benutzername/Passwort). Bei kleineren mittelständischen Unternehmen dagegen sind MFA-Verfahren bislang wenig verbreitet.

Für Besucher, Lieferanten oder schlimmstenfalls auch Kollegen reicht in solchen Fällen ein Blick über die Schulter eines Mitarbeiters oder durch ein Bürofenster auf dessen Bildschirm bzw. Tastatur, um valide Anmeldedaten zu erhalten. Noch einfacher wird das Ausspähen durch einen fahrlässigen Umgang mit Passwörtern, also „Klassikern“ wie der Post-it am PC mit den persönlichen Zugangsdaten oder dem W-LAN-Schlüssel.

In vielen Kundenumgebungen kommunizieren und interagieren Anwendungsbausteine von CIM DATABASE PLM und Project Office bzw. die darunterliegende Technologieplattform CONTACT Elements mit externen Systemen. Ein Beispiel ist das Collaboration Portal, mit dem Unternehmen Ingenieurbüros, Zulieferer und Auftraggeber über das Web in die eigenen Entwicklungsprozesse einbinden. Auch hier sind MFA-Verfahren sinnvoll, um das interne Know-how besser zu schützen.

Zeitgesteuerte Einmalpasswörter
CONTACT hat seine MFA-Lösung nach den gleichen Qualitätskriterien gestaltet, die für die gesamte Produktentwicklung gelten: Sie basiert auf international bewährten, offenen Standards, ist auch für KMUs geeignet, für Anwender einfach zu bedienen und bei Bedarf zu erweitern.

Bei der Absicherung von Zugriffen werden drei Aspekte unterschieden:

• Wer tut etwas? (Authentifizierung)
• Darf der authentifizierte Nutzer das tun? (Autorisierung)
• Hat der authentifizierte Nutzer ausreichendes „Guthaben“? (Accounting)

Die Multifaktor-Authentifizierung von CONTACT setzt auf der oberen Ebene an. Sie bietet ein Authentifizierungs-Plugin, das auf dem Algorithmus TOTP (Timebased One Time) basiert. Dieser Standard wurde von der branchenübergreifenden OATH Initiative For Open Authentication [1] entwickelt und von der IETF Internet Engineering Task Force als RFC 6238 [2] veröffentlicht.

Bei diesem Verfahren wird zusätzlich zu Benutzername und Passwort ein jeweils nur 30 Sekunden gültiges Einmalpasswort abgefragt. Für die Eingabe verwendet der Nutzer einen TOTP-fähigen Passwortgenerator. Dieser Soft-Token ist eine Smartphone App [3] oder eine PC-Anwendung, die initial – z.B. durch Scannen eines QR Code – ein gemeinsames Geheimnis mit dem MFA-Baustein der Technologieplattform CONTACT Elements austauscht, von dem die Einmalpasswörter gemäß aktueller Zeit abgeleitet werden.