Authentifizierungsmechanismen

Authentifizierungsmechanismen sind Verfahren zur Verifizierung der Identität eines Nutzers, Geräts oder Prozesses, bevor Zugriff auf Systeme oder Ressourcen gewährt wird. Sie dienen der Abwehr unbefugten Zugriffs und ergänzen Autorisierung sowie Auditierung. Authentifizierung kann allein oder als Teil mehrstufiger Zugriffsverfahren erfolgen.

Grundtypen der Authentifizierung richten sich nach den verwendeten Faktoren: Etwas, das der Benutzer weiß (Passwort, PIN, Sicherheitsfrage); etwas, das der Benutzer besitzt (Sicherheits-Token, Smartcard, Smartphone-App für Push-Benachrichtigungen, U2F/WebAuthn-Schlüssel); etwas, das der Benutzer ist (Biometrik wie Fingerabdruck, Gesichtserkennung oder Iris); sowie standort- oder verhaltensorientierte Kriterien (Geolokalisierung, Geräteeinstellungen, Tipp- und Nutzungsmuster). Mehrere Faktoren erhöhen die Sicherheit durch Mehrfachbestätigung der Identität.

Zu den technischen Umsetzungen gehören Passwort- oder Passphrase-basierte Anmeldungen, Einmalpasswörter (OTP) wie TOTP/HOTP, kryptografische Schlüssel und Zertifikatsbasierte Authentifizierung (z. B. TLS-Client-Zertifikate). Standards und Protokolle wie Kerberos, OAuth 2.0, OpenID Connect, SAML sowie WebAuthn/FIDO2 kommen in Web, mobilen Anwendungen und Unternehmenseinrichtungen zum Einsatz. Phishing-resistente Optionen wie passwortlose Authentifizierung und kryptografische Schlüssel gewinnen an Bedeutung.

Wichtige Sicherheitsaspekte sind sichere Speicherung von Anmeldeinformationen (starke Hashfunktionen wie Argon2, bcrypt), der Einsatz von Passwörterverwaltungen, Salting und Peppering sowie Mechanismen gegen Replay-Angriffe und Missbrauch. Organisationen setzen oft risiko- oder kontextbasierte adaptive Authentifizierung ein, um Sicherheit und Benutzerfreundlichkeit zu balancieren.

Anwendungsbereiche umfassen Webdienste, Unternehmensnetzwerke, Mobile Apps und IoT. Eine bedarfsgerechte Auswahl der Mechanismen hängt von Bedrohungen, Benutzerbasis, Compliance-Anforderungen und Kosten ab.