Die komplette Wahrheit über Viren & Co.

Mittwoch, 15. Juni 2022

In dieser Ausgabe möchten wir Ihnen erläutern, wodurch sich die Begriffe „Identifizierung“, „Authentifizierung“ und „Autorisierung“ unterscheiden.

Identifizierung: Halt! Wer da?

Wenn ein Besucher das Büro von Doctor Web betritt – egal, ob er zu einem Bewerbungsgespräch kommt, einen Geschäftstermin hat oder eine Postsendung bringt, – muss er dem Wächter seinen Namen mitteilen. Dadurch erfolgt seine Identifizierung. Der Wächter muss sicherstellen, dass der Besucher in der Besucherliste eingetragen ist.

Genauso „stellt man sich vor“, wenn man sich in einem Online-System (Online-Banking, E-Mail-Postfach, soziale Netzwerke etc.) einloggt. Man wird aufgefordert, eine ID (Login/Benutzerkonto) einzugeben, die vom System als gültig erkannt werden muss. Dabei handelt es sich um eine Identifizierung: Das System prüft, ob der Nutzer (Login/E-Mail-Adresse) existiert.

Das System kann nur registrierte IDs erkennen. Wenn die eingegebene Zeichenfolge in der Systemdatenbank eingetragen ist, gilt die Identifizierung als erfolgreich. Dies ist der erste Schritt beim Verschaffen eines Zugriffs auf die gewünschte Online-Ressource.

Authentifizierung: Weisen Sie sich aus!

Der Nutzer muss das richtige Passwort eingeben, um nachzuweisen, dass das Benutzerkonto ihm gehört. Das System prüft, ob das eingegebene Passwort mit dem Benutzerkonto übereinstimmt. Dabei handelt es sich um eine Authentifizierung.

Der oben erwähnte Besucher muss sich also ausweisen, um vom Wächter authentifiziert zu werden.

Um zu verhindern, dass sich Cyberkriminelle, die die Login-Daten des Nutzers gestohlen haben, im Benutzerkonto einloggen, kann das System zusätzliche Schutzverfahren verwenden. Z.B. kann der Nutzer aufgefordert werden, einen SMS-Bestätigungscode einzugeben. Der richtig eingegebene Bestätigungscode zeugt davon, dass der Nutzer der wirkliche Inhaber des Benutzerkontos ist. Dieses Verfahren nennt sich Zwei-Faktor-Authentifizierung.

In einigen Online-Diensten ist die Zwei-Faktor-Authentifizierung für alle Nutzer erforderlich. Die Zwei-Faktor-Authentifizierung erfolgt mithilfe eines Einmaltokens (Folge zusammengehöriger Zeichen). In der Regel wird dem Nutzer ein Einmalkennwort per SMS gesendet, aber es gibt auch andere 2FA-Verfahren: spezielle USB-Sticks, Bluetooth-Geräte, biometrische Scanner etc. Auch wenn Cyberkriminelle die Login-Daten des Nutzers (durch Phishing, Social Engineering oder mithilfe von Malware) erhalten, können sie sich unmöglich im Benutzerkonto ohne das Token einloggen.

Autorisierung: Zugriff erlaubt

Nach einer erfolgreichen Authentifizierung erfolgt das Einloggen des Nutzers und der Besucher wird ins Büro eingelassen, um am Geschäftstreffen oder am Vorstellungsgespräch teilzunehmen oder die Postsendung einzureichen. Dabei handelt es sich um eine Autorisierung: Dem Nutzer wird Zugriff auf bestimmte Ressourcen gewährt.

Eine erfolgreiche Autorisierung berechtigt den Nutzer, bestimmte Aktionen im System unter der in Schritt 1 eingegebenen ID auszuführen, z.B. Dateien zu öffnen, E-Mails zu senden, Daten zu ändern etc.