Wofür steht MFA
Bei der Multi-Faktor-Authentifizierung (bzw. Multi-Faktor-Authentisierung) wird die Zugangsberechtigung zu einer Anwendung oder einem Portal mit mehreren unabhängigen Faktoren überprüft. Damit wird die Sicherheit erhöht, unbefugte Personen haben es schwerer, Zutritt zu erlangen – das zeigt folgender Vergleich:
1-Faktor: Um sich in ein Amazon-Konto einzuloggen, benötigt man den Benutzernamen und ein Passwort. Der Benutzername ist die Mail-Adresse und diese ist in der Regel öffentlich bekannt. Der einzige schützende Faktor ist also das Passwort, aber wenn dieses leicht zu erraten ist (also ein sog. schwaches Passwort ist), können sich Fremde relativ einfach anmelden. Die beliebtesten Passwörter in Österreich sind 123456, 123456789 oder password, schreibt Futurezone; diese „Hit-Liste“ ist seit Jahren unverändert, für Hacker also leicht zu erraten.
Multi-Faktor: Um die Sicherheit zu erhöhen, verwenden Organisationen wie beispielsweise Banken oder das Portal „Alles gurgelt“ einen zweiten Faktor: Man meldet sich in einem ersten Schritt mit Benutzernamen und Passwort an. Danach erhält man per Mail oder SMS einen Code, der eingegeben werden muss, um die Anmeldung abschließen zu können. Bei dieser Multi-Faktor-Authentifizierung werden also zwei oder mehrere unabhängige Berechtigungsnachweise abgefragt. Zusätzlich zum Passwort kann das ein Code bzw. PIN sein, eine Karte, die durch ein Lesegerät gezogen werden muss oder der Scan des Fingerabdrucks.
MFA gibt es jetzt auch für Sage DPW Cloud
In Sage DPW werden sensible Daten aus Human Resources und dem Finanzbereich verwaltet, daher ermöglicht eine neue Funktion die sichere Anmeldung mittels Multi-Faktor-Authentifizierung. Das sind dabei die Schritte beim LogIn:
- Wie gewohnt melden sich Mitarbeiterinnen und Mitarbeiter mit ihrem Benutzernamen und Passwort an – der erste Sicherheitsfaktor.
- Dann wird auf die im System hinterlegte Mail-Adresse der jeweiligen Person ein Code geschickt.
- Dieser Code muss in DPW eingegeben werden, um das Login abschließen zu können – der zweite Sicherheitsfaktor.
Der Vorteil von MFA: Wenn das Passwort verloren geht oder gestohlen wird, kann sich niemand unberechtigt anmelden, da eine zweite Zutritts-Barriere besteht: Unberechtigte haben keinen Zugriff auf das Mail-Konto der betroffenen Person, wohin der Code geschickt wird.
Zusätzlich ergibt sich daraus eine automatische Kontrolle: Sollte jemand aus der Belegschaft eine Mail mit einem Code bekommen, sich aber gerade nicht im Anmeldeprozess befinden, so ist das ein Hinweis, dass das Passwort vermutlich kompromittiert bzw. gestohlen wurde. In diesem Fall sollte umgehend das Passwort geändert werden, um wieder zwei Sicherheitsbarrieren zu haben. Gleichzeitig ist sichergestellt, dass trotzdem niemand Unbefugter sich einloggen kann.
Was für die E-Mail als zweiten Sicherheitsfaktor spricht
Wie ausgeführt, gibt es verschiedene technische Möglichkeiten, einen zweiten Sicherheitsfaktor einzurichten. Sage hat entschieden, den Code für DPW auf die Mail Adresse zu schicken. Mit dieser Entscheidung wurde sowohl mehr Sicherheit, als auch die benutzerfreundliche Verwendung erreicht:
- Bei E-Mail müssen keine Daten zusätzlich erfasst werden. Die Mail-Adresse jedes Mitarbeiters und jeder Mitarbeiterin ist bereits in DPW hinterlegt, um das Passwort zurücksetzen zu können, wenn jemand es vergessen hat. Dagegen müssten bei der Variante SMS zusätzlich alle Handy-Nummern erfasst werden, was einen größeren Verwaltungsaufwand darstellt; auch wenn in der Folge jemand seine Nummer wechselt.
- Alle im Unternehmen erreichen. Sage DPW unterstützt sowohl Firmen- als auch private Mail-Adressen, je nachdem was im System hinterlegt ist. Denn viele Unternehmen vergeben zwar für ihre Angestellten eine Firmenmail-Adresse, nicht aber für Arbeitende, diese können in Sage einfach ihre private Mail-Adresse nutzen.
- E-Mail ist eine weit verbreitete Anwendung die jeder kennt und einfach benutzt. Dagegen sind eigene Apps, wie sie beispielsweise von Banken zur Verfügung gestellt werden, oft kompliziert einzurichten. Für technisch weniger affine Personen ist dies schwierig und würde daher Aufwand in Form von Telefon-Support erfordern.
Sprechender Code vereinfacht Anmeldung
Wer schon einmal einen Token bzw. Code beim Portal „Alles gurgelt“ eingegeben hat, weiß, der ist kaum zu merken, denn er besteht aus einer komplizierten Kombination aus Buchstaben und Zahlen. Natürlich kann man Copy & Paste anwenden, aber nicht jeder kann damit so gut umgehen, speziell auf dem Smartphone. Sage war es daher wichtig, mit geeigneten Methoden die DPW-Nutzerinnen und Nutzer für diese sichere Form der Anmeldung zu motivieren. Daher wurde bei der Entwicklung des Algorithmus, der die Codes dynamisch generiert, an User-Freundlichkeit gedacht: Der jeweils beim Login erstellte Code ist leicht zu merken, denn es sind 5 Zeichen und zwar immer Buchstaben, die einem Muster folgen. So ergibt ein Muster aus Mitlaut-Selbstlaut-Mitlaut-Selbstlaut-Mitlaut beispielsweise MUMOK. Solche halbsprechenden Namen kann man sich leicht merken und eintippen – im Vergleich dazu wäre etwa LK75Y mühseliger und fehleranfälliger. Im Algorithmus von DPW gibt es vier solche Muster, die in allen Sprachen, wo Sage genutzt wird, gut merkbar sind. Das erleichtert den Einstieg in die Welt der Multi-Faktor-Authentifizierung.
So können Sie MFA in DPW zur Erhöhung der Sicherheit nutzen
Die Multi-Faktor Authentifizierung wird ab Ende März als kostenpflichtiges Modul verfügbar sein. Sie können bei der Einführung entscheiden, für welche Benutzer die Funktion eingesetzt werden soll. Damit erhöhen Sie die Sicherheit mit folgenden Vorteilen:
- Sie schützen Ihre sensiblen Unternehmensdaten. wie personenbezogene Infos in HR oder interne Finanzdaten.
- Mit MFA können Sie die allzu menschliche Nachlässigkeit der Belegschaft abfangen. So nutzen viele Menschen ein schwaches Passwort oder immer dasselbe. Häufig wird es wo aufgeschrieben, obwohl das nicht erlaubt ist. Wer kennt nicht das „berühmte“ Post-it am Bildschirmrand? Sollte aufgrund dessen das Passwort gestohlen werden, ist das jetzt kein Problem mehr.
- Selbst wenn Passwörter gestohlen werden, erhalten Unberechtigte keinen Zugang zu den Firmendaten, weil ihnen der Zugang zum Mail-Konto fehlt.
- Sie reduzieren das Risiko von Datendiebstahl, im Hinblick auf die DSGVO (Datenschutzgrundverordnung) ein wichtiger Schritt.
