{"id":13732,"date":"2022-07-07T07:42:42","date_gmt":"2022-07-07T05:42:42","guid":{"rendered":"https:\/\/wpethzprd.ethz.ch\/id\/?p=13732"},"modified":"2022-07-07T07:42:44","modified_gmt":"2022-07-07T05:42:44","slug":"identitaetsklau-vorbeugen-neues-eth-projekt-mfa-sso","status":"publish","type":"post","link":"https:\/\/blogs.ethz.ch\/id\/2022\/07\/07\/identitaetsklau-vorbeugen-neues-eth-projekt-mfa-sso\/","title":{"rendered":"Identit\u00e4tsklau vorbeugen \/ neues ETH-Projekt MFA-SSO"},"content":{"rendered":"\n

Multifaktor-Authentifizierung (MFA) mag ein sperriger Begriff sein, mit der Einf\u00fchrung von MFA erh\u00f6hen aber die Informatikdienste die Sicherheit in den zentralen Web-Applikationen merklich. Die fl\u00e4chendeckende MFA-Einf\u00fchrung an der ETH Z\u00fcrich ist auf die zweite Jahresh\u00e4lfte geplant.<\/p>\n\n\n\n\n\n\n\n

\"Suchen<\/a>
Suchen Sie hier im ID-Blog das passende Bild als Aufl\u00f6sung unseres Tatorts und teilen Sie uns das hinterlegte L\u00f6sungswort per E-Mail mit. Wir verlosen unter den richtigen Einsendenden drei YubiKeys, welche Sie ebenfalls als MFA-L\u00f6sung einsetzen k\u00f6nnen.<\/em><\/figcaption><\/figure>\n\n\n\n

Passw\u00f6rter sind l\u00e4ngst zu einem festen Bestandteil unseres Alltags geworden. Brauchen doch alle im digitalen Leben unz\u00e4hlige verschiedene Passw\u00f6rter. Sie bieten Zugang zu Benutzerkonten in allen m\u00f6glichen Lebensbereichen \u2013 vom Streaming-Dienst \u00fcber das E-Mail-Konto bis zum Online-Banking.<\/p>\n\n\n\n

Ein Passwort ist der erste Schutzwall gegen Kriminelle, die sich Zugang zu einem Benutzerkonten verschaffen m\u00f6chten, und \u2013 wenn keine Multifaktor-Authentifizierung aktiviert ist \u2013 oft auch der einzige Schutz. Ist diese H\u00fcrde allerdings \u00fcberwunden, haben Kriminelle uneingeschr\u00e4nkten Zugriff auf alle Daten, die in dem jeweiligen Konto gespeichert sind. Nach dem erfolgreichen Einstieg k\u00f6nnen sie dar\u00fcber hinaus versuchen, technische Schwachstellen des betroffenen Systems auszunutzen, um sich noch weitergehende Zugriffsrechte zu verschaffen.<\/p>\n\n\n\n

Bedrohungen bestehen heute aber auch durch Phishing- und Ransomware-Angriffe. Dabei wird mithilfe von T\u00e4uschungen versucht, Anmeldedaten von Nutzenden abzugreifen. Dazu werden etwa Phishing-E-Mails verschickt, die Nutzende zur Eingabe ihres Passworts auf einer \u2013 nat\u00fcrlich gef\u00e4lschten \u2013 Website auffordern. Damit das funktioniert, sieht die Website meist t\u00e4uschend echt aus. Phishing funktioniert aber auch per Telefon. Dann fragt beispielsweise ein angeblicher Kundensupport die Anmeldedaten f\u00fcr einen bestimmten Account ab. Mit dem ergatterten Logindaten verschaffen sich die Kriminellen Zugang zu Daten, verschl\u00fcsseln diese oder sorgen daf\u00fcr, dass der regul\u00e4re Zugriff nicht mehr funktioniert, um f\u00fcr die Entschl\u00fcsselung oder Freigabe ein L\u00f6segeld zu fordern.<\/p>\n\n\n\n

Multifaktor-Authentifizierung bringt mehr Sicherheit<\/h2>\n\n\n\n

Neben dem Passwort braucht es bei einer Anmeldung mit Multifaktor-Authentifizierung auch noch eine zweite Anmeldebest\u00e4tigung. Diese wird in Form eines Einmal-Passworts (One Time Passwort OTP) generiert. Dieses OTP wird auf einer sogenannten Authenticator App erzeugt und ist immer nur 30 Sekunden g\u00fcltig. Diese Methode macht den Login-Vorgang zwar etwas umst\u00e4ndlicher, f\u00fchrt aber zu zus\u00e4tzlicher Sicherheit. Deshalb sollen k\u00fcnftig m\u00f6glichst alle zentral von den Informatikdiensten betriebenen Cloud-Services und Web-Applikationen an die MFA-L\u00f6sung angeschlossen werden.<\/p>\n\n\n\n

Nutzung von MFA noch verbesserungsw\u00fcrdig<\/h2>\n\n\n\n

In einer k\u00fcrzlich ver\u00f6ffentlichen Studie zur MFA-Nutzung wurde klar, dass ein \u00abgrosser Teil der Schweizer Bev\u00f6lkerung bereits \u00fcber ein Bewusstsein f\u00fcr sichere Internetdienstnutzung verf\u00fcgt\u00bb. Gleichzeitig gebe es aber noch viel Luft nach oben, erkl\u00e4rte der Studienleiter, Thomas Uhlemann, Sicherheitsexperte bei Eset in einem Interview mit der Fachzeitschrift IT Magazine. So verwende zwar fast die H\u00e4lfte (48 Prozent) der \u00fcber 1\u2019000 Befragten einen zus\u00e4tzlichen Faktor neben dem Passwort, um die Zugangsdaten zu sch\u00fctzen: 14 Prozent bei jedem Online-Dienst und 34 Prozent teilweise. Demgegen\u00fcber steht jedoch ein Drittel der Bev\u00f6lkerung, die entweder nie MFA nutzen (11 Prozent) oder gar nicht wissen, was das ist (19 Prozent).<\/p>\n\n\n\n

Zeit, die Komfortzone zu verlassen<\/h2>\n\n\n\n

\u00abWir sollten die digitale Komfortzone jetzt verlassen\u00bb, empfiehlt Urs Sp\u00e4tig, Projektleiter MFA-SSO. Die Aktivierung der Multifaktor-Authentifizierung f\u00fcr s\u00e4mtliche Mitarbeitende und Studierende ist auf die zweite Jahresh\u00e4lfte 2022 geplant. In einem ersten Schritt erfolgt dies f\u00fcr die zentralen Cloud-Anwendungen wie Microsoft 365, Google Workspace, Adobe Creative Cloud und Zoom.<\/p>\n\n\n\n

\u00abDamit erh\u00f6hen wir die Sicherheit der Web-Applikationen merklich. Wir bewegen uns aber im Spannungsfeld von Sicherheit und Benutzerfreundlichkeit.\u00bb Wenn die Benutzerfreundlichkeit zu stark beeintr\u00e4chtigt werden, suchen die Nutzenden nach Umgehungsl\u00f6sungen, es gibt Ablehnung in der Organisation und beeintr\u00e4chtigt damit die Wirksamkeit der Initiative. Deshalb werden die Informatikdienste eine L\u00f6sung implementieren, bei welcher in regelm\u00e4ssigen Abst\u00e4nden ein neues OTP verlangt wird, aber nicht bei jeder Anmeldung.<\/p>\n\n\n\n

Aufl\u00f6sung Tatort<\/h2>\n\n\n\n

Im Newsletter inside|out Nr. 28 haben wir aufgerufen das hinterlegte L\u00f6sungswort zu suchen. Bitte mailen Sie uns das L\u00f6sungswort an insideout@id.ethz.ch<\/a>.<\/p>\n\n\n\n

\"Davor<\/a>
Davor Kupresak, Andreas M\u00fcller, Urs Sp\u00e4tig und Anja Harder, von links, sind die ID-Gesichter hinter den Vermummten und verraten das L\u00f6sungswort: \u00ab4-4-Security\u00bb<\/em><\/figcaption><\/figure>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Mit der Einf\u00fchrung von MFA erh\u00f6hen die Informatikdienste die Sicherheit in den zentralen Web-Applikationen merklich.<\/p>\n","protected":false},"author":838,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[257890,25,1181,1177,898],"tags":[296657,296656,296653,296654,296651,296652,296658,2692,296655,1284],"class_list":["post-13732","post","type-post","status-publish","format-standard","hentry","category-it-sich","category-news","category-passwort-applikationen","category-software-arbeitsplatze","category-support","tag-einmal-passworts","tag-logindaten","tag-mfa","tag-mfa-einfuehrung","tag-mfa-sso","tag-multifaktor-authentifizierung","tag-otp","tag-passworter","tag-phishing-e-mails","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/posts\/13732","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/users\/838"}],"replies":[{"embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/comments?post=13732"}],"version-history":[{"count":0,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/posts\/13732\/revisions"}],"wp:attachment":[{"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/media?parent=13732"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/categories?post=13732"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogs.ethz.ch\/id\/wp-json\/wp\/v2\/tags?post=13732"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}