03 38 PSL ISMS Authentifizierungskonzept

Zweck

Die genutzten Dienste werden aufgelistet und nach Risiko bewertet. Daraus folgen konkrete Anweisungen für den Nutzer.

Es soll vor allem das Verständnis für die Passwortregeln und Anforderungen geschärft, sowie Hilfestellungen zum Erstellen und Merken sicherer Passwörter gegeben werden.

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für IT-Administratoren an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Authentifikationsmethoden

Authentifikation beschreibt die Möglichkeit einer eindeutigen Identifikation der Person. Grundsätzlich unterscheidet man schwache Authentifikation und starke Authentifikation.

Schwache Authentifikation

Schwache Authentifikation nutzt nur eines der folgenden Merkmale zur Identitätsprüfung:

Wissen (z.B. Passwort, Pin)
Besitz (z.B. Software Zertifikate, Schlüssel, Yubikey)
Eigenschaften (z.B. Fingerabdruck)

Starke Authentifikation

Starke Authentifikation nutzt hingegen zwei der oben genannten Merkmale.

Der Einsatz biometrischer Verfahren ist prinzipiell für starke Authentifizierung geeignet, da bei Kompromittierung keine Erneuerung möglich ist.
Das Merkmal Besitz ist über die nachfolgenden Eigenschaften definiert:
- Befindet sich im Besitz der zu authentifizierenden Person und steht dieser exklusiv zur Verfügung.
- Eine Vervielfältigung ist nicht ohne weiteres möglich (Ausnahmen können z.B. in der ausstellenden / ausgebenden Stelle liegen).

Das Merkmal „Besitz“:

darf nicht auf der zu authentifizierenden Instanz installiert / verortet sein.
darf nicht beliebig vervielfältigbar sein.

Als „Besitz“ Merkmal wird bei der Parasol Island GmbH eine Authenticator App auf dem Smartphone benutzt. Diese erfüllt bei sachgerechter Nutzung alle geforderten Kriterien. Sie wird mit Hilfe vom Administrator beim ersten Login aktiviert.

Anforderungen in Abhängigkeit der Vertraulichkeit

Einstufung / Klassifikation	Anforderung Authentifizierung
Öffentlich	keine
Intern	schwache Authentifikation
Vertraulich	starke Authentifikation *
Streng Vertraulich	starke Authentifikation

* Sofern eine starke Authentifikation technisch nicht möglich ist, ist der Einsatz einer schwachen Authentifikation mit einer weiteren Absicherung wie eine zusätzlich authentisierte Ablageverschlüsselung gestattet. Hierbei ist zu beachten, dass für beide Verfahren unterschiedliche Authentifizierungsinformationen und -instanzen (z.B. unterschiedliche Passwörter in verschiedenen Systemen) zu verwenden sind.

Authentifikationsmittel

Passwörter

Generelle Anforderungen

Regel	Begründung
Min. 10 Zeichen lang	Zeit-Analysen von Bruteforce-Attacken zeigen, dass die Länge des Passwortes wichtiger ist als dessen Komplexität. 10 Zeichen Länge wird von Parasol Island derzeit als guter Kompromiss aus Länge und noch gut zu merkende Anforderung angesehen.
3 aus 4 Zeichenklassen	Durch ausreichend Komplexität potenziert sich die Passwortsicherheit. Da mehr Kombinationen möglich sind, erhöht sich die Zeit für eine Bruteforce-Attacke exponentiell. Aus den folgenden Zeichenklassen müssen mindestens 3 vertreten sein Großbuchstaben Kleinbuchstaben Ziffern Sonderzeichen
Keine Wörter aus dem Wörterbuch	Diese werden bei Bruteforce-Attacken als erstes ausprobiert und sind in Sekunden geknackt.
Keine persönlichen Informationen	z.B. Namen, Kfz-Kennzeichen, Geburtsdatum - diese können von gezielten Angreifern systematisch erraten werden.
Keine voreingestellten Passwörter	Voreingestellte Passwörter in Geräten müssen bei der Installation geändert werden, da die Passwörter oft einem Muster entspringen und Angreifer dies ausnutzen können.
Keine fremdvergebenen Passwörter	Vom Administrator vergebene Passwörter müssen bei der ersten Anmeldung geändert werden, um sicherzustellen, dass das Passwort nur dem Nutzer bekannt ist.
unbeobachtete Eingabe	Der Nutzer muss sichergehen, dass er bei der Eingabe von Authentifizierungen nicht beobachtet werden kann.
Keine privaten Passwörter	Passwörter, die privat benutzt werden, dürfen nicht für geschäftliche Zwecke benutzt werden.
Keine Notizen	Kein Notieren von Anmeldeinformationen oder unverschlüsselte Speicherung. Der Nutzer muss sichergehen, dass das Passwort von niemandem gelesen werden kann.

Anforderungen für besondere Passwörter

Administratorpasswörter	Administratorpasswörter bergen ein besonders großes Risiko. Daher müssen diese besonders lang sein. 16 Zeichen werden derzeit von Parsol Island als sinnvoll eingestuft. Die anderen Passwortregeln sind davon unberührt.
Pins für Smartphones oder Tabletts	Pins für Smartphones und Tablets sollten aus mindestens 6 Zeichen oder Buchstaben bestehen, vorausgesetzt das Gerät sperrt sich nach 3 Fehlversuchen.
Vertrauliche Informationen	Abhängig von der Risikobewertung wurde das Authentifizierungsverfahren durch ergänzende Maßnahmen verstärkt (z. B. dauerhaftes Monitoring der Zugriffe auf Unregelmäßigkeiten oder Einsatz einer starken Authentifizierung).
Streng vertrauliche Informationen	Der Zugang zu vertraulichen und streng vertraulichen Informationen ist in jedem Fall durch einen 2. Faktor zu stärken. (VDA ISA Vorgabe)

Wenn es technisch möglich ist, müssen die Systeme so konfiguriert sein, dass Passwörter, die nicht in dieses Muster passen, automatisch abgelehnt werden.

Passwortwechsel

Ein Passwortwechsel bietet den Vorteil, dass unentdeckte Kompromittierungen eliminiert werden und keinen langfristigen Schaden anrichten können. Nutzer neigen jedoch dazu, die Komplexität des Passwortes zu vereinfachen, da man sich oft wechselnde Passwörter nur schwer merken kann.

Ein Passwort muss nicht geändert werden, solange es als sicher eingestuft ist, und nicht kompromittiert wurde. Es steht einem Nutzer frei, die Sicherheit durch regelmäßige Wechsel zu erhöhen, allerdings nur mit Rücksicht auf ausreichende Komplexität. Folgezahlen anzuhängen, erhöht die Sicherheit kaum.

Ein Passwortwechsel ist durchzuführen, wenn das Passwort unautorisierten Personen bekannt geworden ist oder ein begründeter Verdacht besteht.

Möglichkeiten zur alternativen Stärkung der Authentifizierung

Ist eine Stärkung durch einen 2. Faktor technisch nicht möglich oder sinnvoll, kann die Stärkung über andere Maßnahmen kompensiert werden, wie z.B.

Sperrung nach Fehlversuchen
Zeitverzögerung nach Fehlversuchen

Weitergabe von Identifikationsmitteln

Ein Passwort dient zur Authentifizierung einer Identität, das bedeutet, ein Mensch wird eindeutig einem Account zugeordnet.

Alle Elemente der Authentifikation wie Passwörter oder Schlüssel oder 2-Faktor-Geräte, die einem eindeutigen Account zugeordnet sind, dürfen niemals geteilt oder weitergegeben werden.

Auch Administratoren oder Supportmitarbeiter dürfen die Passwörter nicht kennen.

Passwortmanager 1Password

Parasol Island stellt seinen Mitarbeitern einen Passwortmanager zur Verfügung, um Passwörter verschlüsselt und sicher abzuspeichern. Passwörter sollten durch einen Random Prozess erzeugt werden, um durch Bruteforce-Attacken schwer zu entziffern zu sein.

Für das Login in diesen Passwortmanager muss ein sehr sicheres Passwort gewählt werden. Um sich dieses zu merken, wird eine Passphrase empfohlen, ein ganzer Satz, welcher für den Nutzer leicht zu merken ist, aber aus möglichst vielen unterschiedlichsten Buchstaben, Satzzeichen und Sonderzeichen besteht.

Beispiel: „Ich_kann_mir_Passwoerter_mit_%_nicht_laenger_als 3_Tage_merken!“