Identitätsprüfung muss bequem sein Komplizierter Check-In? – Schneller Check-Out!

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Hornetsecurity GmbH

Fujitsu Technology Solutions GmbH

Digitale Identitäten sind das Nadelöhr zu einer wachsenden Zahl von Anwendungen und Diensten. Daher kommt es besonders auf die Art der Authentifizierung an, wenn es um den Aufbau von Kundenvertrauen geht. Und das wird immer wieder auf eine harte Probe gestellt.

Denn die Meldungen über Milliarden gestohlener Passwort-Nutzer-Kombinationen reißen nicht ab. Das Schlimme dabei: Je mehr Transaktionen online abgewickelt werden, desto stärker die Bedrohung für das digitale Ich. Waren Passwörter lange Zeit das Mittel der Wahl, ist es Zeit, ernsthaft über Alternativen mit erhöhter Sicherheit nachzudenken. Zumindest seitens der Unternehmen.

Denn der Verbraucher wählt trotz des Wissens um die Gefahren des Logins per Passwort gerne den Weg des geringsten Widerstandes. Er diskontiert die Risiken und entscheidet sich für die Bequemlichkeit. Unternehmen hingegen stehen vor der Herausforderung, über ihre Logins einerseits ein hohes Maß an Sicherheit zu gewährleisten, andererseits darf das nicht auf Kosten des Komforts für den Verbraucher gehen.

Die Gefahren für Passwörter

Eine der größten Bedrohungen für Identitätssysteme von Unternehmen stellt das sogenannte Credential Stuffing dar. Bei dieser Methode versuchen Angreifer sich über gestohlene Daten Zugang zu Nutzerkonten zu verschaffen. Möglich wird das nur, wenn der Verbraucher zu lax mit seinen Passwörtern umgeht und das Unternehmen den Schutz der personenbezogenen Daten nicht im Griff hat.

Cyberkriminelle können im Dark Net bereits für ein- bis zweistellige Summen auf Anmeldedaten für soziale Medien zugreifen, die mitunter für das Online-Banking erforderliche persönliche Daten enthalten. Eine Auth0-Analyse zeigt, dass in den ersten 90 Tagen des Jahres 2021 durchschnittlich mehr als 26.600 kompromittierte Passwörter pro Tag entdeckt wurden. Credential Stuffing machte im gleichen Zeitraum 16,5 Prozent des Login-Verkehrs aus, während die täglichen Spitzenwerte mehr als 40 Prozent erreichten.

Auch das sogenannte Password Spraying wird häufig eingesetzt, um sich Zugang zu Computersystemen und potenziell sensiblen Daten zu verschaffen. In diesem Fall erstellen oder kaufen die Cyberkriminellen Listen gängiger Passwörter aus dem Dark Net und kompromittieren Kundenkonten mit „roher Gewalt“, daher auch der Name Brute-Force-Attacken. Laut dem Data Breach Report 2021 von Verizon sind 89 Prozent der kompromittierten Webanwendungen mit missbräuchlich verwendeten Zugangsdaten verbunden, sei es durch den Gebrauch gestohlener Logindaten oder durch Brute-Force-Angriffe.

Das zeigt: Passwörter allein bieten keinen Schutz gegen Credential Stuffing oder Password Spraying. Bei der Multi-Faktor-Authentifizierung (MFA) hingegen werden Passwörter durch eine zweite Authentifizierungsmethode ergänzt. Der zweite Faktor weist nach, dass der Benutzer derjenige ist, für den er sich ausgibt; sei es durch biometrische Daten oder einen Code, der beispielsweise an ein mobiles Gerät gesendet wird. Diese Schutzmechanismen sind von Hackern schwer auszuhebeln.

Langwierige Logins sind schlecht fürs Geschäft

Doch treue Kunden sollten sich nicht bei jedem Kauf neu ausweisen müssen. Stattdessen können adaptive MFA-Tools eingesetzt werden, die lediglich bei verdächtigem Verhalten zusätzliche Anmeldedaten anfordern. Sie überprüfen beispielsweise die Identität nur, wenn die Anmeldung mit einem neuen Gerät erfolgt oder eine Bestellung einen bestimmten Wert überschreitet. Es also zu Anomalien bei der Anmeldung kommt.

Warenkorbabbrüche sind für Online-Geschäfte ein ernstzunehmendes Problem. Dabei handelt es sich um Verbraucher, die – oft aufgrund gezielter Marketingmaßnahmen – eine Website besuchen und den Kaufvorgang nicht abschließen. Eine aktuelle Untersuchung von Auth0 und YouGov ergab, dass 78 Prozent der Verbraucher angeben, dass sie Kaufprozesse oder die Anmeldung zu Online-Inhalten abgebrochen haben oder abbrechen würden, wenn der Login-Prozess zu umständlich ist.

Die Studie verdeutlicht die Diskrepanz zwischen den Wünschen der Kunden und dem, was Unternehmen bieten. 40 Prozent der Befragten gaben zum Beispiel an, dass sie sich eher bei einer App oder einem Online-Dienst anmelden würden, wenn das Unternehmen eine Multi-Faktor-Authentifizierung (MFA) anbietet, doch nur 27 Prozent der deutschen Unternehmen bieten derzeit überhaupt MFA an. Single Sign-On (SSO), wobei eine einzige ID und ein einziges Passwort für mehrere Dienste verwendet werden, wünschen sich 32 Prozent und 45 Prozent der Unternehmen stellen diese Anmeldeform bereit. 31 Prozent der deutschen Verbraucher wären auch bereit, sich mit biometrischen Daten anzumelden – doch nur 17 Prozent der Unternehmen bieten Biometrie als Option an. 25 Prozent würden sich passwortlos anmelden und 24 Prozent der Unternehmen bieten derzeit einen passwortlosen Login an. Es zeigt sich, dass die Befragten eine größere Auswahl an Anmeldemöglichkeiten wünschen und diese auch aktiv nachfragen.

Kunden wollen selbst wählen

Unternehmen sollten sich daher nicht für die einfachste oder billigste Lösung entscheiden. Denn für eine reibungslose Benutzererfahrung muss die Kluft zwischen den Erwartungen der Verbraucher und der Unternehmen berücksichtigt und überbrückt werden. Letztendlich wollen die Verbraucher digitale Dienste nutzen, aber wenn der Anmeldeprozess zu umständlich ist, werden sie die Anbieter-Website verlassen.

Die Authentifizierung von Benutzern durch biometrische Nachweise – anstatt durch Wissensfragen – ist eine zuverlässige Form der Identifizierung, denn biometrische Daten können nicht erraten oder in Form von Merkzetteln in die falschen Hände gelangen. Der Einsatz von Biometrie ist im Bereich des Identitäts- und Zugangsmanagements für Kunden jedoch noch relativ neu und die Vorschriften entwickeln sich ständig weiter.

Der Datenschutz, der in allen Situationen oberstes Gebot ist, bleibt ein heikles Thema. Schließlich können biometrische Daten nicht wie ein Passwort geändert werden – wenn sie gehackt werden, sind sie für immer gefährdet. Doch das Risiko der Verwendung biometrischer Daten sinkt mit der Weiterentwicklung neuer Technologien. WebAuthn beispielsweise nutzt Public-Key-Kryptografie und stellt sicher, dass die biometrischen Daten auf dem Endgerät gespeichert werden. Dies mindert die Datenschutzbedenken der Anwender und beseitigt Sicherheitslücken, die auf der Wiederverwendung von Passwörtern basieren.

Es gibt zwar keine Einheitslösung für alle Bedrohungsszenarien, aber auf die Nachfrage nach einer größeren Auswahl bei der Anmeldung zu reagieren, wäre ein guter Ansatz. Dabei geht es nicht nur um einzelne Merkmale und Funktionen, sondern um den Einsatz einer übergreifenden Strategie, die die Ziele von Produktmanagement, IT Security und Marketing gemeinschaftlich unterstützen.

Entscheidend ist, dass sich die Technologie dem Menschen anpasst und nicht umgekehrt. Aufgrund ihrer hohen Akzeptanz werden Passwörter uns noch eine Zeit lang erhalten bleiben, allerdings braucht es auch sukzessive Alternativen, an die sich der Verbraucher langsam gewöhnt. Auf diesen Übergang sollten sich die Unternehmen jetzt vorbereiten. Schließlich steht nichts Geringeres als das Kundenvertrauen auf dem Spiel.

* Der Autor Vitor de Sousa ist Area Vice President DACH bei Auth0, Spezialist für cloud-basierte Identitätsverwaltung.

(ID:48078619)