FIDOs passwortlose Anmeldungen

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden

Anfang Mai 2022 kündigten Google, Apple und Microsoft Pläne zur Unterstützung eines gemeinsamen passwortlosen Anmeldestandards an, der von der Fast Identity Online (FIDO)-Allianz und die Welt Wide Web ConsortiumAuch CyberHoot setzt auf die Abkehr von Passwörtern. Wir verzichten auf die Anmeldung per Passwort und verwenden stattdessen einen speziellen Link, der an Ihre E-Mail-Adresse gesendet wird (an einer Stelle, an der Sie sich täglich anmelden).

Warum diese Änderung?

Durch den Verzicht auf Passwörter können Unternehmen ihren Verbrauchern geräte- und plattformübergreifend konsistente, sichere und einfache passwortlose Anmeldungen anbieten. FIDO sagt:

Die erweiterten standardbasierten Funktionen ermöglichen Websites und Apps eine durchgängig passwortlose Lösung. Nutzer melden sich mit derselben Aktion an, die sie täglich mehrmals zum Entsperren ihrer Geräte verwenden, beispielsweise durch eine einfache Verifizierung ihres Fingerabdrucks, Gesichtserkennung oder eine Geräte-PIN. Dieser neue Ansatz schützt vor Phishing und die Anmeldung ist deutlich sicherer als mit Passwörtern und herkömmlichen Multi-Faktor-Technologien wie Einmal-Passwörtern per SMS.

In der Cybersicherheitsbranche ist bekannt, dass die reine Passwortauthentifizierung ein großes Sicherheitsrisiko für Einzelpersonen und Unternehmen darstellt. Für Endbenutzer ist die Verwaltung so vieler Passwörter für so viele verschiedene Websites nahezu unmöglich. Dies führt häufig zur Wiederverwendung desselben Passworts für mehrere Konten (deshalb empfiehlt CyberHoot die Verwendung von Passwortmanager).

FIDO stellte fest, dass Passwortmanager und Zwei-Faktor-Authentifizierung (2FA) funktionieren gut, aber es gibt branchenweite Zusammenarbeit, um eine komfortablere und sicherere Anmeldetechnologie zu entwickeln. CyberHoot beobachtet häufig, dass viele keine sicheren Passwörter für ihre Passwortmanager einrichten oder Benutzer die 2FA für kritische Konten vergessen oder nicht aktivieren, weil sie dies als umständlich empfinden. Daher könnte diese FIDO-Initiative die Cybersicherheit kleiner und mittlerer Unternehmen insgesamt verbessern. 

Wie wird es funktionieren?

FIDO gab bekannt, dass dieses neue passwortlose Tool in Zukunft die folgenden Funktionen bieten wird: 

1. Ermöglichen Sie Benutzern den automatischen Zugriff auf ihre FIDO-Anmeldeinformationen (von manchen als „Passkey“ bezeichnet) auf vielen ihrer Geräte, auch auf neuen, ohne jedes Konto erneut registrieren zu müssen.
2. Ermöglichen Sie Benutzern die Verwendung der FIDO-Authentifizierung auf ihrem Mobilgerät, um sich bei einer App oder Website auf einem Gerät in der Nähe anzumelden, unabhängig von der Betriebssystemplattform oder dem Browser, den sie ausführen.

Obwohl ein einheitlicher „Passkey“ wie oben beschrieben großartig wäre, dürfte es noch Jahre dauern, bis er sich durchsetzt. Craig Lurey, CTO und Mitgründer von Keeper Security, erläutert die Herausforderungen bei der Einführung:

Die langsame Einführung der Multi-Faktor-Authentifizierung durch Unternehmen und Verbraucher – obwohl MFA eine praktische und äußerst effektive Möglichkeit ist, Endbenutzer vor Sicherheitsverletzungen durch Diebstahl von Anmeldeinformationen zu schützen – ist ein guter Indikator für den möglichen Zeitrahmen für die Einführung passwortloser Technologien.

Zunächst müssen Anbieter die Technologie in ihre Websites und Anwendungen integrieren. Anschließend müssen Endnutzer über die Technologie informiert werden und Vertrauen in sie gewinnen. Dies setzt voraus, dass sich Nutzer an die Nutzung ihrer mobilen Geräte gewöhnen. 

Zwischen der Akzeptanz in Unternehmen und bei Verbrauchern kann es noch viele Jahre dauern, bis sich passwortlose Technologien weit verbreitet haben. Fazit: Wir werden noch mindestens ein weiteres Jahrzehnt lang Passwörter verwenden. Die passwortlose Anmeldung mit nur einem Faktor birgt zu viele funktionale, logistische und sicherheitstechnische Probleme, um über Nacht zur Norm zu werden.

Was bedeutet das für Ihr KMU oder Ihren MSP?

Das bedeutet, dass Sie die Empfehlungen von CyberHoot zu Cybersicherheit und Authentifizierungsprozessen weiterhin befolgen sollten, bis die passwortlose Option verfügbar und gut getestet ist. Bis dahin benötigen Sie 14-stellige, einfache und zeitlich unbegrenzte Passwörter, die in einem Passwort-Manager gespeichert werden. Dazu sollten Sie Folgendes hinzufügen: Multi-Faktor-Authentifizierung (MFA) auf alle kritischen Konten. Schulen Sie Ihre Mitarbeiter in den Vorteilen einer sicheren Passworthygiene und ihres Passwort-Managers. So einfach ist das. Neben Passwörtern empfiehlt CyberHoot die folgenden grundlegenden Empfehlungen zur Cybersicherheit. 

CyberHoots Mindestempfehlungen zur Cybersicherheit

Die folgenden Empfehlungen helfen Ihnen und Ihrem Unternehmen dabei, vor den verschiedenen Bedrohungen, denen Sie täglich ausgesetzt sein können, geschützt zu bleiben. Alle unten aufgeführten Vorschläge können durch die Beauftragung der vCISO-Programmentwicklungsdienste von CyberHoot umgesetzt werden.

1. Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
2. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
3. Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
4. Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups und implementieren Sie DNS-Schutz. Antivirusund Anti-Malware auf allen Ihren Endpunkten.
5. Stellen Sie im modernen Zeitalter der Heimarbeit sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz) validieren oder ihre Verwendung vollständig verbieten.
6. Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
7. Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen, mit Ausnahme der Cyber-Versicherung, sind in CyberHoots Produkt und den virtuellen Chief Information Security Officer-Services integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, bewerten und testen. Besuchen Sie CyberHoot.com und melden Sie sich noch heute für unsere Dienste an. Lernen Sie zumindest weiter, indem Sie sich für unseren monatlichen Newsletter zur Cybersicherheit um über aktuelle Updates zur Cybersicherheit auf dem Laufenden zu bleiben.

Quelle: 

SecureWorld

Weitere Leseempfehlungen: 

Apple, Google und Microsoft werden bald die passwortlose Anmeldung auf allen wichtigen Plattformen implementieren

Apple, Google und Microsoft arbeiten gemeinsam an passwortlosen Anmeldungen