Multifaktor-Authentifizierung (MFA)
Multifaktor-Authentifizierung (MFA) ist vielen Privatanwendern aus Banking-Apps und Cloud-Anwendungen bekannt und wird angesichts der Migration zu Microsoft 365 zur Notwendigkeit, um die Identität von Mitarbeitern in der Cloud zu schützen. Im Arbeitsumfeld stellen Unternehmen, unabhängig von ihrer Größe, jedoch oft Herausforderungen fest, da nicht alle Mitarbeiter dienstliche Mobilgeräte besitzen und die Nutzung von Authenticator-Apps als umständlich empfunden wird.
Die technischen Möglichkeiten und die richtige Konfiguration für MFA sind häufig unbekannt, was die flächendeckende Einführung erschwert. Als Teil einer umfassenden IT-Sicherheitsstrategie ist MFA ein wichtiger erster Schritt, um Angriffszenarien wie Phishing-Attacken zu verhindern. Die intellecom verfolgt eine Zero-Trust-Architektur, bei der der Zugriff und die Berechtigungen durch die Bestätigung verschiedener Faktoren gewährt werden.
Conditional Access
Das Ziel besteht im Aufbau eines engmaschigen Sicherheitsnetzes, ohne dass die Benutzerauthentifizierung darunter leiden soll. Das Bindeglied, um ein ganzheitliches Konzept zu erstellen, ist der Microsoft 365-Dienst Conditional Access (bedingter Zugriff). Über diesen Service können dynamische Sicherheitsrichtlinien erstellt werden, mit denen Unternehmen bewerten können, welcher Anwender, von welchem Standort und von welchem Endgerät aus auf welche Daten und Applikationen zugreifen darf.
Durch die Verknüpfung unterschiedlicher Faktoren, beispielsweise des Standorts oder des Endgeräts, erlebt der Nutzer einen flüssigen Anmeldeprozess, da die Kriterien, die eine MFA erzwingen würden, im Vorfeld durch die Cloud geprüft werden und die Freigabe erfolgt, ohne dass der Nutzer aktiv werden muss.
Gängige Szenarien sehen vor, dass durch das Hinterlegen einer statischen IP-Adresse im Microsoft Tenant kein aktiver MFA-Prozess durchlaufen werden muss, wenn der Anwender aus dem Unternehmensnetzwerk heraus auf Cloud-Dienste wie Outlook oder Teams zugreifen möchte.
Der von intellecom präferierte Weg sieht vor, dass das Endgerät den zweiten physischen Faktor darstellt. Durch das Hinterlegen von Geschäftsgeräten in Entra ID ist der Zugriff auf verwaltete Geräte limitiert. Sollte also der Benutzername und das Passwort eines Anwenders verloren gehen, ist dennoch der Zugriff von einem unbekannten Gerät aus nicht möglich.
Durch diese einfache Verkettung können viele der inzwischen pauschalen Angriffe abgeblockt werden, und selbst bei Verlust von Mitarbeiterdaten kann ein Schaden für das Unternehmen unterbunden werden.
Möglichkeiten eines zweiten Faktors
s gibt unterschiedliche Arten, wie MFA abgebildet werden kann. Im Kontext von Microsoft 365 bietet es sich immer an, das Tool Conditional Access mit einzubinden, da daraus mehr Möglichkeiten der Richtliniengestaltung resultieren und auch mehr Faktoren zur Authentifizierung eingebunden werden können. Die gängigste Art des zweiten Faktors ist die angesprochene Authenticator-App.
Unter dem Begriff Man-in-the-Middle-Attack wird ein Angriffszenario beschrieben, in dem der Angreifer den auf der Authenticator-App angezeigten Code über einen gefälschten Zugriffslink abfängt, um so Zugriff auf das Microsoft-Konto des Nutzers zu erhalten. Um dieses Szenario vorbeugen zu können, wird empfohlen, einen zweiten physischen Faktor einzubinden. Wie beschrieben, können Endgeräte im Kontext der Zero-Trust-Architektur eingebunden werden.
Als Alternative kann auch ein FIDO2-Token dienen. Der kleine Stick, wahlweise mit USB-C oder USB-A, kann, wenn die Aufforderung zur Authentifizierung erfolgt, in den Rechner eingesteckt oder über die NFC-Kompatibilität mit dem Smartphone verbunden werden. Somit hat nur der Besitzer des Sticks die Möglichkeit, durch das Betätigen eines Druckknopfes auf dem Stick die Authentifizierung erfolgreich durchzuführen. Empfohlen werden seitens der intellecom GmbH die FIDO2-Tokens der Firma Yubico, der YubiKey, der eine kostengünstige und sichere Option für ein sicheres Authentifizierungsverfahren darstellt.
Über uns
