Multi Factor Authentication (MFA) wird als Schutz vor Phishing-Angriffen und Account-Übernahmen immer wichtiger.

Verschiedene neue MFA-Technologien (Biometrie, Messaging, etc.) bieten zusätzliche Möglichkeiten zu bereits etablierten MFA-Technologien (OTP, Hardware-Token, Smart Cards, etc.). Während die neuen „softwarebasierten“ MFA-Angebote flexibel und einfach zu implementieren sind, ist der Nachteil, dass die meisten von ihnen vertrauliche Zugangsdaten und private Schlüssel auf mobilen Geräten speichern und sich letztlich auf die Sicherheit des Geräts selbst verlassen. Messaging-basierte MFA hat sich bereits als nicht sicher herausgestellt, das jüngste prominente Opfer ist REDDIT. Beide MFA-Konzepte, Software und Messaging, sind möglicherweise keine langfristige, zuverlässige Strategie für schnell wechselnde mobile Geräte und BYOD-Strategien in Unternehmen und Regierungsorganisationen. Google hat kürzlich öffentlich bestätigt, dass für die 89.000 Mitarbeiter nur ein separater, vom Unternehmen kontrollierter Hardware-Token 100% igen Schutz vor Phishing und Account-Übernahmen bietet.

Das Rad nicht zweimal erfinden

Trennen Sie einfach die privaten Schlüssel vom (mobilen) Gerät. Es ist es nicht notwendig, das Rad zweimal zu erfinden – es genügt ein „Upgrade“ von Standard-Hardware-Token (d.h. der Chipkarten), um benutzerfreundlicher und weniger störend für den mobilen Endbenutzer zu sein. Gleichzeitig bietet es zusätzliche Vorteile für den Anwender, wie z.B. automatisches Abmelden, wenn er sich von seinen Geräten entfernt. Die weltweit bewährte Technologie der Smartcards bietet einen einzigartigen, starken Schutz, ist fast überall zertifiziert und bietet so die beste Sicherheit für jedes Unternehmen – jetzt müssen wir es nur noch benutzerfreundlich machen.

Dieser risikoarme Ansatz, eine bewährte, zertifizierte Technologie mit hoher Benutzerfreundlichkeit zu kombinieren, erhält das bereits vorhandene 100%ige Schutzpotenzial, sichert gleichzeitig die Unabhängigkeit von der unkalkulierbaren Sicherheit mobilen Geräte und ermöglicht so einfach BYOD-Strategien umzusetzen.

Anwender wollen nicht ständig komplexe Zugangsdaten eingeben, QR-Codes oder Gesichter fotografieren und Online-Genehmigungen von Servern oder anderen Geräten anfordern. Sie wollen arbeiten, während „irgendetwas“ im Hintergrund, bei minimaler Auswirkung auf den Workflow, für Sicherheit sorgen soll.

Viele professionelle Organisationen setzen bei der Authentifizierung, Verschlüsselung und Signierung auf digitale Zertifikate. Die Speicherung von individuellen, organisatorischen Zertifikaten und deren privaten Schlüsseln auf Consumer orientierte, jährlich wechselnden Geräten legt die Sicherheit der Endgeräte eines Unternehmens in die Hände der Hersteller von mobilen Geräten. In Kombination mit BYOD-Strategien muss sich das Unternehmen dann auch noch auf die Disziplin des Endbenutzers verlassen, keine Malware auf sein Gerät zu laden. Das klingt nicht wirklich nach voller Kontrolle für die Organisation.

Organisationen benötigen volle und alleinige Kontrolle.

Jede professionelle Organisation sollte, besser gesagt muss, die volle und alleinige Kontrolle über ihre eigenen und die privaten Schlüssel ihrer Mitarbeiter haben und so den Zugriff auf ihre eigenen wertvollen Daten effektiv kontrollieren. Effektiver Datenschutz und Authentifizierung ist gesetzlich vorgeschrieben in der DSGVO (GDPR) und vielen branchenspezifischen Vorschriften, wie z.B. PSD2 (Payment Service Directive 2). Wirtschaftsprüfer fragen danach – und sie werden auch weiterhin fragen, ob die Zugangskontrollen und -authentifizierung effektiv implementiert wurden und einen Schutz nach dem Stand der Technik bieten.

Die Speicherung privater Schlüssel von Mitarbeitern auf schnell wechselnden Endgeräten oder die Verwendung von nachrichtenbasierter MFA, unabhängig davon, ob die Geräte unter der Kontrolle der Organisation stehen oder eigene Geräte (BYOD) sind, hat sich oft nicht als Stand der Technik erwiesen; ist aber leider weit verbreitet. Manchmal schlägt der Komfort die Sicherheit – meist leider nur bis zum nächsten Datenverlust oder bis zur Übernahme des Accounts.

Machen Sie keine Kompromisse

Vertrauliche private Schlüssel müssen in zertifizierter, sicherer und geschützter Hardware unter 100%iger Kontrolle der Organisation gespeichert werden, um ein 100%iges Schutzpotenzial für die Organisation zu bieten.

Volle Kontrolle durch die Organisation, nahtlose Integration der Anwendungen, minimale Auswirkungen auf den Benutzer-Workflow und Schutz im Hintergrund können durch die Kombination von langjährig bewährten Smartcards mit neuen Bluetooth-Technologien erreicht werden. Diese werden auch von fast jedem mobilen Gerät (Smartphone, Tablet, Laptop) und den meisten Desktops unterstützt.

Drahtlose, sichere MFA-Freiheit für mehrere Geräte

Intelligente, sichere und drahtlose Kartenlesegeräte ermöglichen eine einfache Authentifizierung mit mehreren Geräten über Ihre Smart Card auf dem Smartphone, Tablett oder Laptop. Es funktioniert für alle praktisch gleichzeitig, offline, online und überall. Und wenn der Benutzer weggeht, sperrt der Leser das Gerät automatisch. Das Ergebnis ist ein verbesserter Bedienkomfort bei gleichzeitiger Erhöhung der organisatorischen Sicherheit.

Drahtlose Chipkartenleser, d.h. die AirID von certgate, werden heute in Weltkonzernen wie dem Volkswagen Konzern, der Raiffeisen Bankengruppe und Behörden, d.h. Bundesministerien und dem deutschen Bundestag, eingesetzt. Die drahtlose Bluetooth-Verbindung ist „doppelt verschlüsselt“, um vertrauliche Regierungsinformationen zu schützen. Der Leser AirID ist vom Bundesamt für Sicherheit in der Informationstechnik für VS-NfD (Verschlusssache – Nur für den Dienstgebrauch) zugelassen, wenn er mit bestimmten Apps verwendet wird.

Ein weiteres Beispiel ist der einzigartige ONEKEY ID, ein sehr kompakter drahtlose Chipkartenleser in Form eines Autoschlüssels. Ein hervorragendes Beispiel ist die mobile 2-Faktor Authentisierung für cgPhone Online, eine Cloud-basierte, sichere globale Kommunikationsplattform für verschlüsselte Telefonie und Textnachrichten (Chat). cgPhone Online ist online verfügbar, probieren Sie es aus.

Niemals private Schlüssel auf mobilen Geräten speichern

Unabhängig davon, ob Sie Anwendungen für mobile Geräte, einschließlich Laptops, entwickeln, kaufen oder einfach nur nutzen, speichern Sie niemals individuelle private Schlüssel des Unternehmens auf einem mobilen Gerät. Die privaten Schlüssel von Unternehmen müssen privat bleiben, geschützt durch zertifizierte Hardware und unter voller Kontrolle des Unternehmens. Bitte denken Sie daran, dass Software allein keine Software schützen kann.

 
Ihr Jan C. Wendenburg, certgate

Durch die weitere Nutzung der Seite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen

Die Cookie-Einstellungen auf dieser Website sind auf "Cookies zulassen" eingestellt, um das beste Surferlebnis zu ermöglichen. Wenn Sie diese Website ohne Änderung der Cookie-Einstellungen verwenden oder auf "Akzeptieren" klicken, erklären Sie sich damit einverstanden. Weitere Informationen finden Sie in unseren Datenschutzerklärungen.

Schließen