Authentifizierung: So schützen KMU ihr Netzwerk und ihre Daten mit 2FA und MFA

Eine Lücke im Sicherheits­dispositiv vieler KMU in der Schweiz ist der Fernzugriff von aussen. Immer mehr Mitarbeitende im Home Office, Freelancer, IT-Dienstleister oder Zulieferer greifen auf das Firmen­netzwerk, Webapplikationen, geschäfts­kritische Programme und sensible Daten zu. Ein Passwort allein genügt nicht mehr, um den Zugriff sicher zu schützen und zu regeln. Egal wie gut es ist. Mit einer Zwei-Faktor-Authentifizierung (2FA) oder Multi-Faktor-Authentifizierung (MFA) können kleine und mittlere Unternehmen die Sicherheit ihrer Daten und Systeme mit vergleichsweise wenig Aufwand stark verbessern.

 Jeder Login-Prozess lässt sich in drei Schritte unterteilen: 

1. Anmelden: Der Anwender identifiziert sich mit seinem Benutzer­namen und seinem Passwort und meldet sich an – die Authentisierung.
2. Prüfen: Das System prüft alle Angaben des Anwenders und gleicht sie mit den Einträgen in der Datenbank ab – die Authentifizierung.
3. Berechtigen: Das System gibt den Zugang frei, wenn die Angaben stimmen, und räumt dem Anwender seine rollen­basierten Rechte – die Autorisierung.

Bei der Zwei-Faktor-Authentifizierung muss sich der Anwender mit zwei Faktoren authentifizieren. In der Regel mit seinem Passwort und einem weiteren Faktor. Dies kann zum Beispiel ein Code sein, den das System nach der korrekten Eingabe des Passworts mit einer SMS an das registrierte Smart­phone sendet. Weitere Faktoren können beispiels­weise eine Authenticator App, sein Fingerabdruck, ein USB-Token, eine Smartcard oder ein Client-Zertifikat auf seinem Laptop sein.

Bei der Multi-Faktor-Authentifizierung muss sich der Anwender nach diesem Prinzip mit mindestens zwei Faktoren authentifizieren:

• Etwas, das nur der Benutzer kennt, zum Beispiel sein persönliches Passwort
• Etwas, das nur der Benutzer besitzt, beispielsweise sein Smartphone oder sein USB-Token
• Etwas, das nur der Benutzer hat oder ist, zum Beispiel sein Finger­abdruck (Touch ID) oder sein Gesicht (Face ID)

Unabhängig davon, ob der Zugang mit 2FA oder MFA geschützt ist: Das System gibt den Zugang erst frei, wenn alle Faktoren korrekt authentifiziert wurden.

• Sicherheit: 2FA und MFA senken das Risiko unberechtigter Zugriffe und Datenschutz­verletzungen deutlich, da Cyberkriminelle mindestens zwei Schlösser knacken müssen. Selbst wenn sie das Passwort durch Phishing herausfinden, können sie weder auf das System noch auf die Daten zugreifen, weil ihnen zum Beispiel das Smartphone oder der Finger­abdruck fehlen.
• Compliance: Immer mehr Branchen müssen strenge Sicherheits­standards wie starke Authentifizierungs­massnahmen einhalten. Unternehmen, die diese Anforderungen erfüllen, vermeiden rechtliche Konsequenzen und stärken gleichzeitig das Vertrauen der Kunden und Partner.
• Kosten: Mit der 2FA- oder MFA-Einführung für alle Benutzer­konten vermeiden KMU Verluste, kostspielige Betriebs­unterbrechungen, teure System- und Datenwieder­herstellungs­massnahmen sowie nicht bezifferbare Reputations­schäden, die sogar ihre Existenz gefährden können.

Die MFA- oder 2FA-Einführung muss sorgfältig geplant und ausgeführt werden, um die Authentifizierung nahtlos zu integrieren und das Firmen­netzwerk wirksam zu schützen. KMU, die über keine oder zu wenig IT-Ressourcen verfügen, beauftragen am besten Fachleute. Zum Beispiel ihren IT-Dienstleister für Fernzugriffe auf das Firmen­netzwerk oder ihren Webhoster oder einen Programmierer für Zugriffe auf den Onlineshop. Sinnvollerweise werden diese Zugriffspunkte mit MFA oder 2FA geschützt:

• Fernzugriffe auf sensible und geschäftskritische Unter­nehmensdaten, zum Beispiel E-Mails
• Zugriffe auf das Intranet über das Virtual Private Network (VPN)
• Zugriffe auf Web- oder Cloud-Lösungen beziehungsweise -Anwendungen
• Zugriffe auf  Infrastructure-as-a-Service- (Iaas) und Software-as-a-Service-Komponenten (SaaS) 
• Netzwerk­komponenten und Steuerungs­systeme, die mit dem Internet verbunden sind

MFA oder 2FA sollte für das gesamte Unternehmen implementiert werden, nicht nur für die Mitarbeitenden. Das heisst durch­gängig für alle Benutzerinnen und Benutzer: von den Mitarbeitenden über das Management, die IT-Mitarbeitenden und Administratoren bis hin zu externen Mit­arbeitenden und Dienst­leistern. Nur dann sind die IT-Infra­struktur und die geschäfts­kritischen Daten wirklich sicher und geschützt. Grundsätzlich sollte es keine Ausnahmen geben und die Multi-Faktor-Authentifizierung müsste für alle Benutzerinnen und Benutzer und Fernzugriffe durchgesetzt werden. Begründete Ausnahmen von dieser Regel sollten dokumentiert und zeitlich begrenzt werden. Alle Mit­arbeitenden sollten während der 2FA/MFA-Einführung entsprechend geschult werden und wissen, wie die Eingabe des zweiten und vielleicht dritten Faktors funktioniert und in welchen Situationen diese Faktoren abgefragt werden.

Für KMU bieten wir unter anderem Security Checks und Security Assessments an, die Schwachstellen wie fehlende 2FA oder MFA aufzeigen. Solche Sicherheits­lücken müssen umgehend geschlossen werden. Durch den Sicherheits­verantwortlichen des KMU, durch die IT-Abteilung oder durch einen externen IT-Dienstleister, wenn der Support ausgelagert ist. Zurich Resilience Solutions führt jährlich 60’000 kostenpflichtige Risiko­beurteilungen durch. Unter anderem für KMU, die wissen wollen, wie sicher ihre IT-Infrastruktur, ihre geschäfts­kritischen Applikationen und ihre sensiblen Daten sind.

• Cyberversicherung für KMU in der Schweiz
• Ein Hackerangriff ist existenz­bedrohend
• IT-Notfallplan: So schützen sich KMU
• Plan B: Business Continuity Plan für KMU
• Bundesamt für Cybersicherheit BACS: Startseite
• Bundesamt für Cybersicherheit BACS: S-U-P-E-R.ch – Sichern Sie Ihre Zugänge doppelt
• Microsoft: Einrichten der mehrstufigen Authentifizierung für Microsoft 365