Authentifizierung & Zugriffsschutz

Authentifizierung und Zugriffskontrolle sind wichtige Maßnahmen, um IT-Systeme, Daten und Ressourcen vor unberechtigtem Zugriff zu schützen. Dabei geht es darum, wer Zugriff bekommt und was er oder sie damit tun darf.

Sichere Passwörter

Ein Passwort ist oft die erste Sicherheitsbarriere. Damit es wirksam ist, sollte es bestimmten Komplexitätsanforderungen genügen:

Warum erhöhen Komplexitätsanforderungen die Passwortsicherheit?

• Längere Passwörter mit vielen Zeichen erhöhen die Anzahl möglicher Kombinationen → erschwert Brute-Force-Angriffe
• Groß-/Kleinschreibung, Zahlen und Sonderzeichen verhindern einfache Wörterbuchangriffe
• Keine persönlichen Daten wie Namen oder Geburtsdaten → reduziert Erratbarkeit

Single Sign-On (SSO)

Mit SSO meldet sich ein Benutzer einmalig an und erhält danach Zugriff auf mehrere Systeme oder Dienste.

Vorteile:

1. Nur ein Login – höherer Komfort für Benutzer
2. Weniger Passwortvergessen, da nur ein Passwort nötig ist
3. Zentralisierte Benutzerverwaltung – z. B. schneller Entzug bei Ausscheiden

Nachteile:

1. Single Point of Failure – wenn SSO kompromittiert wird, sind alle Dienste betroffen
2. Komplexere Umsetzung – technische Integration erforderlich
3. Anbieterabhängigkeit bei externen SSO-Diensten (z. B. Google Login)

OAuth 2.0

OAuth2 ist ein Autorisierungsprotokoll, das es Drittanbietern erlaubt, auf geschützte Ressourcen zuzugreifen – ohne das Passwort des Benutzers zu kennen.

Schritte des OAuth2-Prozesses:

1. Benutzer klickt auf „Mit Anbieter anmelden“ (z. B. Google)
2. Benutzer wird zum Autorisierungsserver des Anbieters umgeleitet
3. Nach dem Login erteilt der Benutzer die Zustimmung zur Datenfreigabe
4. Die Anwendung erhält einen Autorisierungscode
5. Mit diesem Code fordert die Anwendung beim Autorisierungsserver ein Access Token an
6. Mit dem Access Token kann die App auf geschützte Ressourcen beim Resource Server zugreifen

Kontrollarten

Zutrittskontrolle

Verhindert physischen Zugang zu sensiblen Bereichen.

Beispiele:

• Alarmanlagen am Serverraum
• Videoüberwachung
• Besucherausweise mit Protokollierung

Zugangskontrolle

Regelt, wer sich an einem System anmelden darf.

Beispiele:

• Passwortgeschützter Bildschirmschoner
• Biometrische Authentifizierung (Fingerabdruck, Gesichtserkennung)
• Zugang via Magnetkarte oder Chipkarte

Zugriffskontrolle

Regelt, welche Aktionen ein authentifizierter Benutzer ausführen darf.

Beispiele:

• Verschlüsselung von Datenträgern (z. B. USB-Sticks)
• Sichere Löschung von Datenträgern vor Entsorgung
• Benutzer- und Rollenkonzepte: z. B. „Mitarbeiter“ dürfen nur lesen, „Admins“ dürfen schreiben/löschen

Identity & Access Management (IAM)

IAM bezeichnet Systeme zur Verwaltung von Benutzeridentitäten und Zugriffsrechten in Unternehmen.

Ziele von IAM:

• Zentrale Benutzerverwaltung
• Zuweisung von Rollen und Rechten
• Automatische Sperrung inaktiver Konten
• Lifecycle-Management: Ein- und Austritt von Mitarbeitenden

Beispielsysteme: Microsoft Azure AD, Keycloak, Okta

Log Management

Logfiles sind Protokolle über Aktionen in IT-Systemen. Sicherheitsrelevante Ereignisse müssen dokumentiert und ausgewertet werden.

Typische Inhalte:

• Login-Versuche (erfolgreich/fehlgeschlagen)
• Änderungen an Berechtigungen
• System- oder Netzwerkanomalien

Wichtig:

• Zentrale Log-Speicherung
• Manipulationssicher (z. B. durch Signierung)
• DSGVO-konforme Aufbewahrung