Identitätsmanagement und Risiko-Authentifizierung als Kernelemente von Zero-Trust-Strategien

Die zunehmende Mobilität in der Arbeitswelt wirft nicht zuletzt ganz neue Sicherheitsfragen auf. Im Zuge dessen ist Multifaktor-Authentifizierung zum wichtigen Eckpfeiler von IT-Security-Konzepten geworden. Aber warum gilt dieser technologische Baustein – insbesondere vor dem Hintergrund eines Zero-Trust-Modells – mittlerweile als unverzichtbar?

Hier sind unterschiedlichste Gründe anzuführen: Mitarbeiter arbeiten nicht erst seit Corona immer häufiger dezentral. Und egal ob Homeoffice oder Geschäftsreise: Wenn Anwender aus der Ferne auf Unternehmensressourcen zugreifen, befinden Sie sich oft in einem ungesicherten Netzwerk, das vielfältigster Natur sein kann – vom WLAN im Zug bis hin zum heimischen Internet. Gerade in Zeiten von Homeschooling & Co. kommt es zudem immer häufiger vor, dass Endgeräte auch mit Familienmitgliedern geteilt werden. Die sich daraus ergebenden Chancen werden sich Hacker nicht entgehen lassen.

Grundsätzlich gilt: Organisationen jeder Art können sich nicht mehr nur auf den Schutz des klassischen Netzwerkperimeters verlassen. Die zunehmende Verbreitung von Cloud- und Fernzugriff bedeutet, dass Unternehmen ihren Benutzern (Mitarbeitern, Auftragnehmern, Partnern) unabhängig von Standort, Netzwerk oder Endgerät einen sicheren Zugang ermöglichen müssen.

Multifaktor-Authentifizierung (MFA) ist nicht die einzige Technologie, die benötigt wird, um eine Zero-Trust-Sicherheitsstruktur zu etablieren. Nichtsdestotrotz sollten Unternehmen dem Identitäts- und Zugriffsmanagement hohe Bedeutung zumessen. Denn auf diese Weise wird einem modernen "Never trust, always verify"-Ansatz der Weg entscheidend geebnet.

MFA + Risiko-Authentifizierung = optimierte Benutzerverwaltung

Bei der MFA-Umsetzung gibt es jedoch durchaus unterschiedliche Herangehensweisen. So geht eine risikobasierte Authentifizierung beispielsweise deutlich über statische Varianten hinaus, da sich zusätzliche Faktoren bei der Authentifizierungsentscheidung ins Kalkül ziehen lassen. Administratoren haben die Möglichkeit, individuelle Regeln zu erstellen, die das Authentifizierungsverhalten beeinflussen. Bei geringem Risiko kann beispielsweise die Authentifizierung vereinfacht werden, während bei hohem Risiko zusätzliche Schritte durchlaufen werden müssen, um sicherzustellen, dass es sich um einen legitimierten Anwender handelt. Zudem kann bei zu hohem Risiko der Zugriff auch gesperrt werden, selbst wenn der Benutzer ein korrektes Einmalpasswort (OTP) angegeben hat.

Ohne granulare Risikorichtlinien müssten Unternehmen im Sinne des bestmöglichen Schutzes immer und für alle Benutzer die sicherste Authentifizierungsmethode aktivieren, was in einigen Bereichen durchaus zu Reibungsverlusten führen könnte. Mithilfe von risikobasierter Authentifizierung lässt sich das Sicherheitslevel dagegen spezifisch an das zugrundeliegende Risiko anpassen. Bedrohungen werden entsprechend erkannt und Authentifizierungsläufe darauf abgestimmt.

Vier Gründe für risikobasierte Authentifizierungsrichtlinien

1. Besserer Schutz der Ressourcen

Mithilfe risikobasierter Authentifizierung können Unternehmen die besonders zu schützenden Ressourcen gezielt priorisieren und Authentifizierungsregeln nach Risikostufe sowie Art des darauf zugreifenden Anwenders gestalten. Solche benutzerdefinierten Regeln, die speziell auf die Bedürfnisse der Organisation zugeschnitten sind, erhöhen nicht nur die Sicherheit im Ganzen, sondern wirken sich nicht zuletzt auch auf die Akzeptanz von Authentifizierungsvorgaben auf Anwenderseite aus.

2. Verankerung einer Zero-Trust-Strategie

Wer ein Zero-Trust-Modell umsetzen möchte, sollte stets im Bilde sein, welche Benutzer mit welchen Endgeräten auf Unternehmensanwendungen und Daten zugreifen. Die Verbindung zur Multifaktor-Authentifizierung liegt auf der Hand: Schließlich liefert diese die sicherheitsspezifische Grundlage für das Benutzer- und Identitätsmanagement und gewährleistet die kontinuierliche Authentifizierung für jeden Anwender an jeder Ressource.

3. Erweiterte Sicherheit für den Fernzugriff

Authentifizierungsrichtlinien gewährleisten zusätzliche Sicherheit – insbesondere im Hinblick auf Remote-Mitarbeiter, die von unterschiedlichsten Standorten aus auf Unternehmensdaten und -netzwerke zugreifen. Gerade vor dem Hintergrund des Lockdowns und der massiven Zunahme von Homeoffice-Strukturen ist die Nutzung von Cloud-Diensten und Plattform-as-a-Service-Angeboten enorm nach oben geschnellt. Für solche Schlüsselszenarien kann die Aktivierung von Risikorichtlinien sicherstellen, dass nur autorisierte Benutzer Zugriff erhalten und alle nicht autorisierten Versuche erkannt werden.

4. Sicherheit und Anwendungskomfort im Einklang

Eine risikobasierte Authentifizierung trägt der Benutzerfreundlichkeit effektiv Rechnung, da Anwender schneller und ohne zusätzliche Authentifizierungsschritte ans Ziel gelangen – Voraussetzung dafür ist immer, dass genügend Sicherheit gewährleistet ist. Wenn ein Benutzer beispielsweise von einem bekannt sicheren Ort auf eine Ressource zugreift, erübrigt sich der Umweg über eine weitere Authentifizierungsabfrage.

Egal aus welchem Blickwinkel man es betrachtet: Multifaktor-Authentifizierung ist ein wichtiger Baustein zum Schutz von Benutzeridentitäten, Cloud-Anwendungen, Netzwerken und Unternehmensdaten. Gerade im Rahmen von Zero-Trust-Strategien bringt ein risikobasiertes Vorgehen zusätzliche Vorteile.

Wenn Sie mehr darüber erfahren möchten, wie sich Geschäftsrisiken bewerten lassen und eine risikobasierte Multifaktor-Authentifizierung im Einklang mit den spezifischen Unternehmensanforderungen im Sinne von Zero-Trust umgesetzt werden kann, finden Sie im E-Book „Risikoauthentifizierung und Zero-Trust-Sicherheit“ viele weitere Details zum Thema.