Der ungeschützte Pfad: Enrollment und Recovery

In Diskussionen über Authentifizierung geht es fast immer um den Anmeldevorgang: FIDO2 statt SMS, phishing-resistent statt Push, Passwörter abschaffen. Alles richtig. Nur sichert das genau einen von drei Wegen zu einem Konto.

Die anderen beiden sind der Weg hinein, also die erstmalige Registrierung einer Authentifizierungsmethode, und der Weg zurück, wenn jemand ausgesperrt ist. Beide führen an derselben Stelle heraus: bei einem funktionierenden Zugang. Und beide sind oft deutlich schwächer abgesichert als der Anmeldevorgang, um den es in der Diskussion ging.

Warum das die interessantere Angriffsfläche ist

Wer eine eigene Authentifizierungsmethode an einem fremden Konto registrieren kann, muss keine vorhandene überwinden. Die Frage lautet dann nicht mehr „wie umgehe ich MFA“, sondern „wie werde ich eine der MFA-Methoden“. Das ist eine deutlich einfachere Frage.

Der klassische Weg dahin führt nicht über Technik. Er führt über einen Anruf beim Helpdesk, ein neues Gerät, einen glaubwürdigen Namen und etwas Zeitdruck.

Den Weg hinein absichern

Der erste Registrierungsvorgang ist der heikelste, weil es noch nichts gibt, womit man sich absichern könnte. Genau dafür ist der Temporary Access Pass gedacht: ein zeitlich begrenzter Code, der als vollwertige Anmeldeinformation gilt und mit dem sich jemand einmalig anmelden kann, um anschließend eine dauerhafte Methode zu registrieren.

Der Nutzen ist, dass am Ende dieser Kette kein Passwort steht. Neue Mitarbeitende können direkt auf einem Sicherheitsschlüssel oder in der Authenticator-App landen, ohne dass jemals ein Startpasswort existiert hat, das über einen ungesicherten Kanal wandert und dann in einem Chatverlauf stehen bleibt.

• —Gültigkeitsdauer so kurz wie organisatorisch machbar
• —Einmalige Verwendung als Standard, mehrfach nur mit Begründung
• —Ausgabe auf einem anderen Kanal als dem, über den sich die Person anschließend anmeldet
• —Ausgabe protokollieren, denn wer einen TAP ausstellen darf, kann Zugang verschaffen

Der zweite Baustein ist eine Zugriffsrichtlinie auf die Registrierung der Sicherheitsinformationen selbst. Diese Aktion lässt sich als eigenes Ziel adressieren und an eine Bedingung knüpfen, etwa an einen vertrauenswürdigen Standort oder ein verwaltetes Gerät. Damit wird aus „jeder kann von überall eine Methode hinzufügen“ eine kontrollierte Aktion.

Den Weg zurück absichern

Self-Service Password Reset nimmt dem Helpdesk Arbeit ab und ist deshalb fast überall aktiv. Er verschiebt allerdings auch die Sicherheitsfrage: Das Konto ist ab sofort genau so gut geschützt wie die Methoden, mit denen es sich zurücksetzen lässt.

Zwei Punkte sind mir dabei wichtig. Erstens die Anzahl: Zwei erforderliche Methoden sind eine andere Aussage als eine. Zweitens die Qualität: Sicherheitsfragen gehören nicht dazu. Was jemand recherchieren kann, ist kein Faktor.

Und dann bleibt der Helpdesk. Hier ist die entscheidende Frage weniger, wie zurückgesetzt wird, sondern wer wen zurücksetzen darf. Die Rolle, die alltägliche Zurücksetzungen erlaubt, sollte an Administratorkonten ausdrücklich scheitern. Sonst ist ein erfolgreicher Anruf beim Helpdesk der kürzeste Weg zu einem privilegierten Konto, und das ganze Gebäude aus starker Authentifizierung hängt an einer Telefonauskunft.

Die Regel dahinter

Es gibt eine Faustregel, die sich alle drei Wege merken lässt: Ein Konto ist so stark wie sein schwächster Weg zu einer gültigen Sitzung. Wer die Anmeldung auf phishing-resistente Verfahren hebt und daneben eine Wiederherstellung über eine Mobilnummer stehen lässt, hat die Anmeldung verbessert und das Konto nicht.

Praktisch heißt das: Jedes Mal, wenn eine Authentifizierungsmethode verschärft wird, gehören Registrierung und Wiederherstellung in denselben Vorgang. Nicht in ein Folgeticket.