Zwei-Faktor-Authentifizierung: Zwei-Faktor-Authentifizierung verlangt zur Anmeldung zwei unabhängige Nachweise, etwa Passwort und Einmalcode, und erschwert so den Zugriff mit gestohlenen Zugangsdaten erheblich.
Die zwei Faktoren stammen typischerweise aus unterschiedlichen Kategorien: Wissen (Passwort, PIN), Besitz (Smartphone, Hardware-Token) oder Biometrie (Fingerabdruck, Gesichtserkennung). Gängige Umsetzungen sind Authenticator-Apps mit zeitbasierten Einmalcodes, SMS-TANs – die als vergleichsweise unsicher gelten, da SIM-Karten übernommen werden können – sowie FIDO2-kompatible Hardware-Sicherheitsschlüssel als derzeit robusteste Variante.
ISO 27001:2022 verlangt in Anhang A, Control 8.5, „sichere Authentifizierung“ für den Zugriff auf Systeme und Anwendungen. In der Praxis wird 2FA vor allem für administrative Zugänge, Fernzugriff auf Unternehmensnetzwerke und Cloud-Administrationskonten als Mindeststandard erwartet, während einfache Nutzerkonten je nach Risikobewertung mit weniger strengen Maßnahmen auskommen können.
Bei der Einführung ist auf eine ausgewogene Nutzerfreundlichkeit zu achten: Zu komplizierte Verfahren führen in der Praxis dazu, dass Beschäftigte nach Umgehungsmöglichkeiten suchen. Single-Sign-On-Lösungen in Kombination mit 2FA können hier einen guten Kompromiss zwischen Sicherheit und Alltagstauglichkeit schaffen.
Für ältere Systeme ohne native 2FA-Unterstützung existieren häufig vorgeschaltete Lösungen wie VPN-Gateways mit eigener Authentifizierung, die eine Nachrüstung auch bei technisch eingeschränkter Legacy-Software ermöglichen.
- Faktorkategorien: Wissen, Besitz, Biometrie
- SMS-TAN gilt als schwächste, Hardware-Token als stärkste Variante
- Pflicht mindestens für administrative und Fernzugänge nach Control 8.5
- Vorgeschaltete Gateways ermöglichen 2FA auch bei technisch eingeschränkten Altsystemen
Relevanz für die Zertifizierung
ISO-27001-Auditoren erwarten 2FA zumindest für privilegierte Konten und Fernzugriffe als Teil der dokumentierten Zugriffskontroll-Richtlinie. Fehlt eine solche Absicherung für Admin- oder Cloud-Zugänge, ist das eine typische Feststellung gegen Anhang A – eine der am schnellsten umsetzbaren Verbesserungen vor einem Zertifizierungsaudit. Auch für Cloud-Dienste mit Zugriff auf sensible Unternehmensdaten wird 2FA im Rahmen der Risikobewertung zunehmend als Mindeststandard erwartet. Auch für ältere, schwer nachrüstbare Systeme sollten Unternehmen eine dokumentierte Übergangslösung oder kompensierende Maßnahme vorweisen können. Auch bei privaten Endgeräten im Rahmen von Bring-your-own-device-Modellen sollte 2FA konsequent durchgesetzt werden, da diese Geräte oft schwächer abgesichert sind als firmeneigene Hardware.
Häufige Fragen zu Zwei-Faktor-Authentifizierung
Anhang A, Control 8.5, verlangt „sichere Authentifizierung“, ohne 2FA für jeden Zugang wörtlich vorzuschreiben. In der Praxis erwarten Auditoren 2FA aber mindestens für administrative Zugänge, Fernzugriff und Cloud-Administrationskonten als Mindeststandard, abhängig von der individuellen Risikobewertung. Ohne 2FA für solche kritischen Zugänge gilt das Control regelmäßig als unzureichend umgesetzt, unabhängig von sonstigen technischen Maßnahmen.
FIDO2-kompatible Hardware-Sicherheitsschlüssel gelten derzeit als robusteste Variante. SMS-TANs gelten dagegen als vergleichsweise unsicher, da SIM-Karten übernommen werden können. Authenticator-Apps mit zeitbasierten Einmalcodes liegen sicherheitstechnisch dazwischen und sind in der Praxis am weitesten verbreitet. Für die Auswahl entscheidend ist neben der Sicherheit auch die Alltagstauglichkeit, da zu komplizierte Verfahren häufig umgangen werden.
Nicht zwingend für jedes einfache Nutzerkonto, wohl aber für administrative und sicherheitskritische Zugänge als Mindeststandard nach Control 8.5. Je nach Risikobewertung können einfache Konten mit geringerem Schutzbedarf mit weniger strengen Maßnahmen auskommen, solange dies nachvollziehbar begründet ist. Diese Abstufung sollte in der Zugriffskontroll-Richtlinie klar dokumentiert sein, um im Audit nachvollziehbar zu bleiben.