Von allen Teammitgliedern einen zweiten Faktor zu verlangen, kollidiert oft mit der Realität: Nicht jeder hat eine Authentifizierungs-App installiert, und nicht alle Geräte haben einen Fingerabdruckleser. BionicAdri löst dies mit 3 wählbare Verifizierungsmethoden, damit die Sicherheit nicht davon abhängt, dass alle genau dasselbe Gerät oder dieselbe App verwenden.
3 Methoden, eine einzige Richtlinie
Das Zwei-Faktor-Authentifizierungssystem ermöglicht die Aktivierung der Methode, die am besten zu jeder Person oder jedem Gerät passt, ohne das vom Unternehmen geforderte Sicherheitsniveau zu beeinträchtigen:
Authenticator-App (TOTP)
Kompatibel mit Google Authenticator, Microsoft Authenticator oder jeder App, die auf dem TOTP-Standard basiert. Ein Einmalcode, der sich alle 30 Sekunden ändert.
Biometrie (WebAuthn)
Fingerabdruck, Face ID oder Windows Hello, je nach Gerät. Ein einziger Tipp oder Blick, ohne einen Code einzugeben.
Code per WhatsApp + E-Mail
Derselbe Verifizierungscode wird parallel an WhatsApp und E-Mail gesendet. Wenn ein Kanal ausfällt, funktioniert der andere weiter.
Biometrie ohne zusätzliche Hardware
Die biometrische Verifizierung verwendet den WebAuthn-Standard, denselben, den die wichtigsten Browser und Betriebssysteme verwenden, um Fingerabdruck, Gesicht oder Geräte-PIN zu erkennen. Es ist nicht nötig, einen physischen Schlüssel zu kaufen oder zusätzliche Software zu installieren: Wenn der Computer oder das Handy bereits einen biometrischen Sensor hat, funktioniert es direkt aus dem Browser.
Diese Methode ist besonders komfortabel für den täglichen Gebrauch, weil sie den Arbeitsfluss nicht mit Codes unterbricht, die kopiert werden müssen: ein Tippen und der Zugriff erfolgt.
Die Messaging-Methode: Redundanz durch Design
Einer der praktischsten Aspekte des Systems ist die Verifizierungsmethode per Messaging. Anstatt von einem einzigen Kanal abzuhängen, der ausfallen könnte (zum Beispiel wenn WhatsApp down ist oder die E-Mail lange braucht), wird derselbe Code gleichzeitig per WhatsApp und per E-Mail versendet. Wenn einer der beiden Kanäle nicht ankommt, bleibt der andere verfügbar, und der Benutzer wird nie wegen eines punktuellen Zustellproblems aus seinem Konto ausgesperrt.
Pro Rolle konfigurierbare Richtlinie
Nicht alle Unternehmen brauchen für alle Benutzerprofile das gleiche Maß an Anforderungen. Die Administration kann für jede Rolle innerhalb der Organisation festlegen, ob der zweite Faktor Folgendes ist:
- Deaktiviert: keine zusätzliche Anforderung
- Optional: Der Benutzer kann es freiwillig aktivieren
- Pflicht: Der Benutzer muss mindestens eine Methode konfigurieren, mit einer konfigurierbaren Kulanzfrist, bevor sie eingefordert wird
So kann beispielsweise für Profile mit Zugriff auf sensible oder finanzielle Daten MFA verpflichtend vorgeschrieben werden, während es für Rollen mit eingeschränkterem Zugriff optional bleibt.
Vertrauenswürdige Geräte und Wiederherstellungscodes
Um den zweiten Faktor nicht bei jeder Anmeldung vom immer gleichen Computer abzufragen, erlaubt das System, ein Gerät für einen bestimmten Zeitraum als "vertrauenswürdig" zu markieren. Diese Markierung kann vom Benutzer jederzeit widerrufen werden, falls das Gerät verloren geht oder geteilt wird.
Beim Aktivieren der ersten Verifizierungsmethode werden automatisch Einweg-Wiederherstellungscodes generiert, gedacht für den Fall, dass der Zugriff auf die Hauptmethode verloren geht (z. B. Handywechsel). Jeder Code kann nur einmal verwendet werden.
Dafür gedacht, niemanden auszusperren
Ein Sicherheitssystem, das Leute aus ihrem eigenen Konto aussperrt, erzeugt mehr Reibung als Schutz. Deshalb enthält das Design mehrere Schutzmaßnahmen: Es ist nicht erlaubt, die letzte verifizierte Methode zu entfernen, wenn die Unternehmensrichtlinie eine obligatorische Zwei-Faktor-Authentifizierung vorschreibt, und der Messaging-Kanal wird kontrolliert heruntergefahren (wenn WhatsApp gerade nicht verfügbar ist, kommt die E-Mail trotzdem an).
Fazit
Zugangssicherheit muss nicht starr sein oder von einer einzigen Methode abhängen. Drei Optionen (App, Biometrie, Messaging) mit einer pro Rolle konfigurierbaren Richtlinie ermöglichen es jedem Unternehmen, das erforderliche Maß an seine Realität anzupassen, ohne Komfort zu opfern oder jemanden auszusperren.
Möchtest du sehen, wie es für dein Team konfiguriert wird? Fordere eine Demo an oder schreib uns an [email protected].
- Sicherheit
- MFA
- WebAuthn
- Biometrie