Drei-Faktor-Authentifizierung (3FA)
Die Multifaktor-Authentifizierung verbessert die Sicherheit deutlich. Es ist unwahrscheinlich, dass ein Angreifer alle drei an der 3FA beteiligten Elemente fälschen oder stehlen kann, was eine sichere Anmeldung ermöglicht.
Authentifizierungsfaktoren fallen klassischerweise in drei Kategorien:
Wissensfaktoren umfassen Informationen, die ein Benutzer wissen muss, um sich anzumelden: Benutzernamen, IDs, Passwörter und persönliche Identifikationsnummern (PIN) fallen in diese Kategorie
Besitzfaktoren umfassen alles, was ein Benutzer in seinem Besitz haben muss, um sich anzumelden: Einmalpasswort-Token (OTP-Token), Smartphones mit OTP-Apps, Mitarbeiterausweise, Schlüsselanhänger und SIM-Karten.
Inhärenzfaktoren umfassen alle biometrischen Merkmale des Benutzers, die für die Anmeldung bestätigt werden. Diese Kategorie umfasst den Bereich der Biometrie wie Retinascans, Irisscans, Fingerabdruckscans, Gesichtserkennung oder Stimmerkennung.
Die Drei-Faktor-Authentifizierung wird hauptsächlich in Unternehmen und Behörden angewendet, die ein hohes Maß an Sicherheit benötigen. Damit ein System als Drei-Faktor-Authentifizierung gilt, ist die Verwendung von mindestens einem Element aus jeder Kategorie erforderlich. Die Auswahl von drei Authentifizierungsfaktoren aus zwei Kategorien qualifiziert nur als Zwei-Faktor-Authentifizierung. Für die Vier-Faktor-Authentifizierung (4FA) wird ein zusätzlicher Faktor, der Standort, verwendet.
Es ist wichtig zu berücksichtigen, dass die Zuverlässigkeit der Authentifizierung nicht nur von der Anzahl der beteiligten Faktoren abhängt, sondern auch davon, wie diese implementiert werden. In jeder Kategorie hat die Wahl der Authentifizierungsregeln einen großen Einfluss auf die Sicherheit der einzelnen Faktoren. Unzureichende oder gar fehlende Passwortregeln können zum Beispiel zu Erstellung von sehr einfachen Kennwörtern führen, was den Wert eines Passworts völlig zunichtemacht. Zu den bewährten Verfahren gehört das Festlegen von ausreichend starken Passwörtern. Die Erkenntnisse hinsichtlich einer Wechselfrequenz von Kennwörtern, haben sich in den letzten Jahren durchaus verändert. Sofern starke Passwörter verwendet werden, ist ein regelmäßiger Wechsel nicht zwangsweise erforderlich (siehe auch Passwortregeln und DSGVO: Zugangsschutz für mehr Datenschutz). Laxe Regeln und Implementierungen führen zu einer schwächeren Sicherheit. Alternativ können bessere Regeln eine bessere Sicherheit pro Faktor und eine bessere Sicherheit für Multifaktor-Authentifizierungssysteme insgesamt ergeben.
