Quelltext der Seite Authentifizierung

[[Datei:Authentisieren-authentifizieren.png|mini|300px|Authentisierung und Authentifizierung in einer Benutzer-Server-Beziehung]]

'''Authentifizierung''' (von {{grcS|αὐθεντικός|authentikós|prefix=0|de=zuverlässig, nach einem sicheren Gewährsmann}};<ref>{{Pape-1880-1914 |Lemma=αὐθ-έντης |Band=1 |Seite=392 |zenoID=20008176779}} Dort ist nur das [[Adverb]] {{grcS|αὐθεντικῶς|authentikōs}} mit einer lateinischen Quelle ([[Marcus Tullius Cicero|Cicero]]) angegeben. Es handelt sich um ein spätgriechisches Wort, gängiger wäre daher die Herleitung von {{grcS|αὐθέντης|authéntēs}}, hier im Sinne von ‚Urheber‘.</ref> Stammform verbunden mit {{laS|facere|de=machen}}) ist der Nachweis ([[Verifizierung]]) einer behaupteten Eigenschaft (englisch ''{{lang|en|claim}}'') einer [[Entität]], die beispielsweise ein Mensch, ein Gerät, ein [[Dokumentarische Bezugseinheit|Dokument]] oder eine Information sein kann und die dabei durch ihren Beitrag ihre '''Authentisierung'''<ref name="Duden">{{Internetquelle |url=https://www.duden.de/rechtschreibung/authentisieren |titel=authentisieren |hrsg=[[Duden]] |abruf=2018-01-03}}</ref> durchführt.

Das zugehörige [[Verb]] lautet ''[[authentifizieren]]'', und dazu gehörig ''[[authentisieren]]'' ({{enS|authenticate}}), das für das Bezeugen der Echtheit von etwas steht.<ref name="Duden" /> In der Informatik wird das substantivierte Wort ''Authentisieren'' häufig sowohl für den Vorgang der Echtheitsprüfung als auch für das Ergebnis dieser Überprüfung verwendet, da dies im Englischen [[Grammatik|grammatisch]] nicht unterschieden wird. Im deutschen Sprachraum wird der Begriff '''[[Authentifikation]]'''<ref name="Duden" /> für den Sachverhalt allgemein (also Prüfung der Echtheit) verwendet und der Begriff ''Authentifizierung''<ref name="Duden" /> für den Vorgang, in dem die Echtheit bezeugt wird.<ref>So ausdrücklich nach: {{dwds.de |Stichwort=Authentifizierung |Bedeutung=1}}</ref>

Die Authentisierung einer Entität bezüglich der behaupteten Eigenschaft der Authentizität, die beispielsweise Einräumen einer „bestehenden Zugangsberechtigung“ oder „[[Echtheit]]“ sein kann, erlaubt der authentifizierten Entität weitere Aktionen. Die Entität gilt dann als [[Authentizität|authentisch]].

Die abschließende Bestätigung einer Authentisierung wird auch als [[Autorisierung]] bezeichnet, wenn sie durch bestimmte zulässige Modi und/oder in einem bestimmten [[Kontext (IT-Umfeld)|Kontext]] eingeschränkt wird. Eine Authentisierung gilt so lange, bis der betreffende Kontext verlassen oder verändert oder bis der betreffende Modus verlassen oder verändert wird.

== Der Vorgang im Kontext ==
Bei einer Authentifizierung zwischen zwei Entitäten authentisiert sich die Eine, während die Andere die Erstere authentifiziert.

Die Authentifizierung ist eine [[Verifizierung]] der Behauptung der [[Authentizität]]. Oft wird die Authentifizierung eines Gegenübers dabei als [[Identität|Identifizierung]] dessen verwendet und ist auch im Sinne einer [[Identitätsfeststellung]] denkbar. Authentifizierung ist somit im Prinzip der Nachweis, dass es sich um das Original handelt, wobei sich eine Authentifizierung nicht nur auf Menschen beziehen kann, sondern auf beliebige materielle oder immaterielle Gegenstände, z.&nbsp;B. elektronische Dokumente oder auch Kunstgegenstände.

Im Beispiel eines Computerprogrammes, welches Zugang zu einem gesicherten Bereich gewähren kann, behauptet der Benutzer zuerst seine Zugangsberechtigung, indem er einen Benutzernamen eingibt. Zusätzlich authentisiert er sich, indem er sein Passwort angibt. Das Programm identifiziert dann den Benutzer anhand dieser Angaben und führt anschließend die Authentifizierung durch, also die Verifizierung der erbrachten Behauptung über die Authentizität. Erst wenn diese Verifizierung erfolgreich ist, werden dem Benutzer die festgelegten Zugangsberechtigungen im Rahmen der Autorisierung üblicherweise für die Dauer einer Sitzung zugewiesen. Damit steht für das Programm die Identität des Kommunikationspartners fest, obwohl die sich im Laufe der Zeit ändern kann (zum Beispiel während eines [[Man-in-the-middle-Angriff|MITM-Angriffs]]) oder auch von Anfang an nicht bestanden haben kann (zum Beispiel nach [[Phishing]]). Ob dem authentifizierten Benutzer der Zugang gewährt werden darf, entscheidet das Programm im Rahmen der [[Autorisierung]]. Wenn auch dies erfolgreich ist, gewährt das Programm dem Benutzer Zugang zum gesicherten Bereich.

== Methoden ==
Die Authentisierung (Nachweisen der eigenen Identität) kann ein Benutzer auf drei verschiedenen Wegen erreichen:
* Nachweis der Kenntnis einer [[Information]]: Er weiß etwas, zum Beispiel ein Passwort
* Verwendung eines [[Besitz]]tums: Er hat etwas, zum Beispiel einen Schlüssel
* Gegenwart des Benutzers selbst: Er ist etwas, zum Beispiel in Form eines [[Biometrie|biometrischen]] Merkmals

Die Wahl der Authentisierungsmethoden führt je nach Anwendungsgebiet zu verschiedenen Vor- und Nachteilen bei der Praktikabilität für den Benutzer im Alltag und [[Sicherheit]]sbedarf des zu schützenden Guts. Eine sorgfältige Abwägung vor der Umsetzung und Inbetriebnahme gewährleistet hierbei das tatsächlich erreichte Sicherheitsniveau.

=== Wissen ===
Charakteristika:
* kann [[vergessen]] werden
* kann dupliziert, verteilt, weitergegeben und [[verrat]]en werden
* kann eventuell erraten werden
* die Preisgabe von Wissen kann [[Technische Kompromittierung|kompromittiert]] werden
* die Mitführung von Wissen erfordert keine praktischen Hilfsmittel

Beispiele für Authentifikation anhand von Wissen:
* [[Kennwort|Passwort]]
* [[Persönliche Identifikationsnummer|PIN]]
* Antwort auf eine bestimmte Frage ([[Sicherheitsfrage]])
* [[Zero-Knowledge-Beweis]]

=== Besitz ===
Charakteristika:
* Erstellung des Merkmals (ggf. auch der Kontrollstellen) unterliegt vergleichsweise hohen Kosten (benötigt oft einen speziellen Fertigungsvorgang und einen physischen Verteilungsprozess)
* Verwaltung des Besitzes ist unsicher und mit Aufwand verbunden (muss mitgeführt werden)
* kann verlorengehen
* kann gestohlen werden
* kann übergeben, weitergereicht oder (in manchen Fällen) dupliziert werden
* kann ersetzt werden
* kann benutzerindividuelle Daten speichern
* kann sich selbst schützen und aktiv verändern (Smartcard, [[SecurID]])

Beispiele für Authentifikation anhand von Besitz:
* [[Chipkarte]], auch bekannt als Smartcard oder als [[Signaturkarte]]
* Produktoberflächenanalyse (z.B. Origify)
* [[Magnetstreifen]]karte
* [[RFID]]-Karte
* physischer [[Schlüssel]]
* Schlüssel-Codes auf einer Festplatte
* [[SIM-Karte]] beim [[Transaktionsnummer#SMS-TAN (smsTAN, mTAN)|mTAN-Verfahren]]
* [[Digitales Zertifikat|Zertifikat]] z.&nbsp;B. für die Verwendung mit [[Secure Sockets Layer|SSL]]
* [[Transaktionsnummer|TAN- und iTAN-Liste]]
* [[Einmalpasswort|One Time PIN]] Token (z.&nbsp;B. [[SecurID]])
* [[USB-Stick]] mit Passworttresor
* USB-Festplatte mit integrierter PIN-Eingabetastatur

=== Körperliches Merkmal/Biometrie ===
Charakteristika:
* wird durch Personen immer mitgeführt
* kann nicht an andere Personen weitergegeben werden
* nach Erfassung des Merkmals ist eine Verteilung der erfassten Daten zum Abgleich an Kontrollpunkten notwendig
* benötigt zur Erkennung eine spezielle Vorrichtung (Technik)
* kann i.&nbsp;A. nicht sicher, sondern nur mit einer Wahrscheinlichkeit (<&nbsp;1) erfolgreich mit einem Referenzmuster verglichen werden
** fälschliche Akzeptanz ist möglich ''(false acceptance)''
** fälschliche Zurückweisung ist möglich ''(false rejection)''
* eine Lebenderkennung kann erforderlich sein (damit z.&nbsp;B. ein künstlicher Fingerabdruck oder abgeschnittener Finger zurückgewiesen wird)
* ist im Laufe der Zeit oder durch Unfälle veränderlich und damit schlechter erkennbar
* bei ungünstiger Wahl des Merkmals sind bestimmte Personengruppen, denen das Merkmal fehlt, ausgeschlossen
* kann nicht ersetzt werden
* kann Probleme beim Datenschutz aufwerfen

Beispiele für Authentifikation anhand von biometrischen Merkmalen:
* [[Fingerabdruck]]
* [[Gesichtserkennung]]
* [[Tippverhalten]]
* [[Sprecherauthentifizierung|Stimmerkennung]]
* [[Iris-Erkennung|Iriserkennung]]
* Retinamerkmale (Augenhintergrund)
* Handschrift ([[Unterschrift]])
* Handgeometrie ([[Handflächenscanner]])
* Handlinienstruktur
* Erbinformation ([[Desoxyribonukleinsäure|DNS]])

=== Sicherung der Übertragung ===
Während der Authentifikation werden Daten übertragen. Werden diese Daten abgehört, können sie von einem Angreifer verwendet werden, um eine falsche Identität vorzuspiegeln. Um die Gefahr der Preisgabe auszuschließen, werden Verfahren wie [[Challenge-Response-Authentifizierung]] und [[Zero-Knowledge-Beweis|Zero Knowledge]] verwendet, bei denen das sich authentisierende Subjekt nicht mehr die Identifizierungsdaten selbst übermittelt, sondern nur einen Beweis dafür, dass es diese Identifizierungsdaten zweifelsfrei besitzt. Ein Beispiel aus der Challenge-Response-Authentifizierung ist, dass eine Aufgabe gestellt wird, deren Lösung nur von einem Gegenüber stammen kann, welches ein bestimmtes Wissen bzw. einen bestimmten Besitz hat. Somit kann ein Gegenüber authentifiziert werden, ohne dass dieses sein Wissen bzw. seinen Besitz preisgeben musste. Es ist jedoch zu bemerken, dass auch auf solche Verfahren Angriffsmöglichkeiten bestehen.

Andere Systeme lösen das Problem, indem die Identifizierungsdaten nur einmal benutzt werden. Ein Beispiel hierfür ist das TAN-System. Allerdings können abgehörte oder ausspionierte Identifizierungsdaten später benutzt werden, wenn die Erstbenutzung und damit die Invalidierung der Daten während des Abhörvorgangs verhindert werden können. [[Einmalkennwort|Einmalpasswort]]-Systeme vermindern dieses Problem durch eine Kopplung der Identifizierungsdaten an die aktuelle Zeit.

Eine andere Möglichkeit zur Sicherung der Übertragung ist die sogenannte „Second-Channel“-Kommunikation, bei der ein Teil der Identifizierungsdaten über einen zweiten Kanal transferiert wird. Ein Beispiel ist der Versand einer SMS beim mobile TAN (mTAN) System.

Im Rahmen von kryptographischen Protokollen werden oft zusätzliche Zufallszahlen als sogenannte „[[Nonce]]“- oder „[[Salt (Kryptologie)|Salt]]“-Werte verwendet, um die Wiederholung einer Identifizierung zu verhindern.

Mit [[U2F]] und [[UAF (FIDO)|UAF]] hat die [[FIDO-Allianz]] im Dezember 2014 zwei freie Industriestandards veröffentlicht, die zum Nachweis der Zugriffsberechtigung für beliebig viele und verschiedene Web-basierte Dienste eingesetzt werden.

=== Kombination von Methoden ===
Durch geeignete Kombination der Methoden können Defizite bei der Authentifikation vermindert werden. Andererseits sind Kombinationen mehrerer Methoden mit höheren Kosten und/oder höherem Aufwand verbunden. Dynamische Systeme, die je nach Wert und damit Risiko einer Transaktion oder der Sicherheit der verwendeten Online-Verbindung automatisch stärkere oder schwächere Authentifikationsmethoden wählen, erhöhen allerdings die Akzeptanz beim Anwender und vermeiden bei risikoarmen Transaktionen produktivitätssenkende Arbeitsschritte.<ref>{{Literatur |Autor=Eric Litowski, Bettina Weßelmann |Titel=Risikogestützte Authentifizierungstechnik: Sicherheit nach Maß |Sammelwerk=LANline |Nummer=6 |Datum=2006 |ISSN=0942-4172 |Online=http://www.lanline.de/sicherheit-nach-mas-html/}}</ref>

Bei einer Kombination von zwei Methoden spricht man von einer ''[[Zwei-Faktor-Authentifikation|Zwei-Faktor-Authentisierung]]'' oder auch ''Zwei-Stufen-Authentifikation''. Das [[Bundesamt für Sicherheit in der Informationstechnik|Bundesamt für Sicherheit in der Informationstechnik (BSI)]] definiert dies als ''starke Authentisierung''.<ref>{{Internetquelle |url=https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Elektronischer-Zahlungsverkehr/Glossar/glossar_node.html |titel=Standards und Zertifizierung: Glossar |hrsg=[[Bundesamt für Sicherheit in der Informationstechnik|BSI]] |offline=1 |archiv-url=https://web.archive.org/web/20211213005547/https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Elektronischer-Zahlungsverkehr/Glossar/glossar_node.html |archiv-datum=2021-12-13 |abruf=2021-12-13}}</ref> Ein typisches Beispiel für die Kombination von ''Wissen'' und ''Besitz'' ist ein Geldautomat: Man ''besitzt'' die Bankkarte und ''weiß'' die persönliche Identifikationsnummer (PIN). Ein ähnliches Prinzip gibt es bereits auch im Bereich von mobilen Sicherheitsfestplatten. Bei speziellen Hochsicherheitsfestplatten wird dabei der Zugriff mittels Smartcard und 8-stelliger PIN gesichert. Im Internet wird häufig auch der Zugang mittels Passwort in einem ersten Schritt gewährt. Um jedoch vollen Zugriff zu erhalten, wird noch ein einmaliger Code an das Mobiltelefon per SMS gesendet, der anschließend auf der Webseite zur Bestätigung eingegeben werden muss. Dies wird beispielsweise oft beim [[Online Banking]] verwendet, um eine [[Transaktion (Wirtschaft)|Transaktion]] zu authentifizieren<ref>{{Internetquelle |url=https://www.duden.de/suchen/dudenonline/authentifizieren |titel=authentifizieren |werk=Duden.de |sprache=de |abruf=2021-12-13}}</ref>. Der Industriestandard [[U2F|Universal Second Factor (U2F)]] dient zur geräte- und anbieterunabhängigen Zwei-Faktor-Authentifikation.

Unter dem [[Mehr-Augen-Prinzip|Vier-Augen-Prinzip]] wird eine getrennte Authentifizierung durch zwei Personen verstanden. Eine solche Authentifizierung wird meist für Systeme mit hohem Schutzbedarf eingesetzt: Zum Beispiel erfordert das Öffnen von Safes in Banken manchmal zwei Personen, die sich durch Besitz (zweier getrennter Schlüssel) authentisieren.

Ein [[Generalschlüssel]] ist ein durch Wissen gesicherter und hinterlegter (versteckter) Besitz, der bei einem Totalverlust aller anderen Authentisierungsmerkmale noch eine Authentisierungsmöglichkeit bietet.

== Authentifizierung als IT-Dienst ==
Sichere und praktikable Authentifizierung-Möglichkeiten für IT-Dienste anzubieten, wird heute als eine eigenständige und übergeordnete Aufgabe gesehen. Man spricht von „Authentication as a Service“ (AaaS) und von „Authentifizierungs- und Autorisierungs-Infrastruktur“ (AAI). Auf der Ebene von Unternehmen oder Universitäten werden Authentifizierungsdienste im Rahmen eines zentralen [[Identitätsmanagement]]s organisiert. Auch wird mit dem neuen [[Personalausweis (Deutschland)|Personalausweis]] von staatlicher Seite ein elektronischer Authentifizierungsdienst angeboten.

Der Authentifizierungsdienst tritt als dritte vermittelnde Instanz neben einen IT-Dienst und den Nutzer des IT-Dienstes. Man bezeichnet den Authentifizierungsdienst dabei auch als den „Identity-Provider“. Will der Nutzer den Dienst nutzen, wird er zunächst an den Identity-Provider umgelenkt. Die Authentifizierung findet zwischen Nutzer und Identity-Provider statt. Nach erfolgreicher Authentifizierung stellt der Identity-Provider eine sogenannte [[Assertion]] aus, die der Nutzer erhält und die er dem IT-Dienst vorzeigt. Der IT-Dienst muss natürlich dem Identity-Provider vertrauen, dass er Nutzer korrekt authentifiziert, und er muss eine Möglichkeit haben, die Herkunft der Assertion zu prüfen. Beispiele für solche Verfahren sind [[Shibboleth]], [[Central Authentication Service|CAS]] und [[OpenID]].

== Siehe auch ==

* [[Digitales Zertifikat]]
* [[Zertifizierung]]
* [[Zugangskontrolle (Informatik)]]
* [[Zugriffsrecht]]

== Literatur ==
* [[Sebastian Bösing]]: ''Authentifizierung und Autorisierung im elektronischen Rechtsverkehr: Qualifizierte Signaturschlüssel- und Attributszertifikate als gesetzliche Instrumente digitaler Identität'', Nomos, ISBN 3-8329-1535-4
* [[Josef von Helden]]: ''Verbesserung der Authentifizierung in IT-Systemen durch spezielle Dienste des Betriebssystems'', [[Shaker Verlag]], ISBN 3-8265-0897-1
* Sebastian Rieger: ''Einheitliche Authentifizierung in heterogenen IT-Strukturen für ein sicheres e-Science Umfeld'', Cuvillier Verlag; Auflage: 1 (2007), ISBN 3-86727-329-4

== Weblinks ==
{{Wiktionary}}
* [https://www.test.de/Online-Konten-schuetzen-mit-2FA-So-funktioniert-Zwei-Faktor-Authentifizierung-5177936-0/ So funktioniert Zwei-Faktor-Authentifizierung]

== Einzelnachweise ==
<references />

[[Kategorie:Authentifizierungstechnik]]
[[Kategorie:IT-Sicherheit]]
[[Kategorie:Wikipedia.de Artikel]]