Authentifizierung: Bedeutung, Verfahren und Beispiele

Was bedeutet Authentifizierung?

Wer sich irgendwo anmeldet, behauptet: „Ich bin diese Person.“ Die Authentifizierung prüft, ob das stimmt. Erst danach erhält der Nutzer Zugriff auf Konto, Daten oder Systeme.

Im Alltag passiert das ständig: beim Entsperren des Smartphones, beim Login ins E-Mail-Postfach oder beim Bezahlen mit der Bankkarte und PIN. Auch Geräte und Programme authentifizieren sich untereinander, etwa ein Server gegenüber einem anderen.

Authentisierung, Authentifizierung und Autorisierung

Im Deutschen unterscheidet man drei Schritte, die oft verwechselt werden:

1. Authentisierung: Der Nutzer weist seine Identität nach. Er gibt etwa Benutzername und Passwort ein oder legt den Finger auf den Sensor.
2. Authentifizierung: Das System prüft diesen Nachweis. Passt das Passwort zum Konto?
3. Autorisierung: Das System legt fest, was der Nutzer darf. Darf er die Datei nur lesen oder auch ändern?

Ein Beispiel: Am Flughafen zeigen Sie Ihren Ausweis (Authentisierung). Die Beamtin prüft ihn (Authentifizierung). Ihre Bordkarte bestimmt, welches Flugzeug Sie betreten dürfen (Autorisierung). Im Englischen heißen die ersten beiden Schritte gemeinsam „authentication“, der dritte „authorization“.

Die drei Faktoren der Authentifizierung

• Wissen: etwas, das nur der Nutzer weiß, etwa ein Passwort, eine PIN oder eine Sicherheitsfrage.
• Besitz: etwas, das nur der Nutzer hat, etwa ein Smartphone, eine Smartcard oder ein Hardware-Schlüssel.
• Inhärenz: etwas, das der Nutzer ist, etwa sein Fingerabdruck oder sein Gesicht. Mehr dazu unter biometrische Authentifizierung.

Werden zwei oder mehr Faktoren aus verschiedenen Kategorien kombiniert, spricht man von Multi-Faktor-Authentifizierung (MFA), bei genau zwei Faktoren von Zwei-Faktor-Authentifizierung (2FA). Das BSI empfiehlt, die Zwei-Faktor-Authentisierung zu nutzen, wo immer ein Dienst sie anbietet.

Verfahren im Überblick

• Passwort und PIN: am weitesten verbreitet, aber allein am schwächsten. Passwörter werden erraten, gestohlen oder bei mehreren Diensten wiederverwendet.
• Einmalcodes: per App, SMS oder E-Mail. Codes aus einer Authenticator-App sind sicherer als SMS.
• Push-Bestätigung: Eine App fragt, ob die Anmeldung freigegeben werden soll. Bequem, aber anfällig, wenn Nutzer Anfragen gedankenlos bestätigen.
• Hardware-Sicherheitsschlüssel: kleine Geräte für den USB-Anschluss oder per NFC, meist nach dem FIDO2-Standard. Sie gelten als besonders sicher gegen Phishing.
• Passkeys: eine Anmeldung ohne Passwort nach dem FIDO2-Prinzip. Der geheime Schlüssel bleibt auf dem Gerät und wird mit Fingerabdruck, Gesicht oder PIN freigegeben.
• Zertifikate und Smartcards: verbreitet in Unternehmen und Behörden, etwa für die Anmeldung am Rechner oder im VPN.
• Biometrie: Fingerabdruck oder Gesicht, meist um ein Gerät oder einen Schlüssel auf dem Gerät freizugeben.

Challenge-Response-Verfahren

Viele sichere Verfahren arbeiten nach dem Challenge-Response-Prinzip. Der Server schickt eine zufällige Aufgabe, die Challenge. Das Gerät des Nutzers berechnet daraus mit einem Geheimnis eine Antwort, die Response. Der Server prüft, ob die Antwort stimmt.

Der Vorteil: Das Geheimnis selbst wird nie übertragen. Wer die Verbindung belauscht, kann mit der Antwort nichts anfangen, denn die nächste Challenge ist eine andere. Hardware-Schlüssel und Passkeys nutzen dieses Prinzip.

Authentifizierung in Unternehmen

In Firmennetzen laufen Anmeldungen meist über zentrale Dienste. Mitarbeitende melden sich einmal an und erhalten dann Zugriff auf viele Anwendungen. Das nennt man Single Sign-on (SSO). Dafür gibt es bewährte Protokolle:

• Kerberos: Standard für die Anmeldung in Windows-Domänen mit Active Directory.
• SAML: verbreitet für die Anmeldung an Web-Anwendungen in Unternehmen. Siehe SAML.
• OpenID Connect: baut auf OAuth 2.0 auf und wird für Web- und Mobil-Anwendungen genutzt. OAuth 2.0 allein regelt nur die Autorisierung.

Wer welche Rechte hat, regelt das Identity and Access Management (IAM).

Typische Angriffe auf die Authentifizierung

• Phishing: Gefälschte Login-Seiten stehlen Zugangsdaten. Siehe Phishing.
• Credential Stuffing: Angreifer probieren gestohlene Zugangsdaten bei vielen Diensten aus. Siehe Credential Stuffing.
• Password Spraying: Wenige gängige Passwörter werden bei sehr vielen Konten getestet. Siehe Password Spraying.
• MFA-Müdigkeit: Angreifer schicken so lange Push-Anfragen, bis der Nutzer genervt zustimmt.
• Diebstahl von Sitzungen: Angreifer stehlen das Sitzungs-Token nach der Anmeldung. Dann hilft auch MFA nicht mehr.

Best Practices für sichere Authentifizierung

1. MFA überall einschalten, zuerst für Administratoren, Fernzugriffe, E-Mail und Cloud-Dienste.
2. Phishing-resistente Verfahren bevorzugen: Passkeys und Hardware-Schlüssel statt SMS-Codes.
3. Lange, einzigartige Passwörter: Ein Passwort-Manager hilft dabei.
4. Anmeldungen überwachen: Ungewöhnliche Logins erkennen und Konten nach vielen Fehlversuchen sperren.
5. Rechte begrenzen: Nach dem Least-Privilege-Prinzip nur die nötigen Rechte vergeben.
6. Zugriffe laufend prüfen: Im Sinne von Zero Trust wird nicht nur einmal am Anfang geprüft. Siehe Zero Trust Identity Management.

Fazit

Authentifizierung prüft, ob jemand wirklich der ist, der er zu sein behauptet. Ein Passwort allein reicht dafür heute nicht mehr. Mehrere Faktoren und phishing-resistente Verfahren wie Passkeys machen Konten deutlich sicherer. Zusammen mit einer sauberen Autorisierung bilden sie die Grundlage jeder Zugriffskontrolle.