Übungsaufgaben zu Passwörtern, Mehr-Faktor-Authentifizierung und Zugangskontrolle

Kopiere den Text in ein KI-Sprachmodell Deiner Wahl und passe Kompetenzstufe, Anzahl, Bearbeitungszeit und Szenario bei Bedarf an. Wie die Aufgaben aufgebaut sind, beschreibt der Artikel Wie sind die Aufgaben aufgebaut?. Prüfe die Ergebnisse mit dem Lehrartikel: KI-Sprachmodelle machen Fehler.

Erstelle neue Übungsaufgaben zum Thema „Passwörter, Mehr-Faktor-
Authentifizierung und Zugangskontrolle“.

Bauplan: Halte Dich an Aufbau, Kompetenzstufen, Operatoren,
Anforderungsbereiche, Punkte und Zeitschätzung, die im Artikel
https://oer-informatik.de/aufgaben-aufbau beschrieben sind.

Fachliche Grundlage:
- https://oer-informatik.de/passwort-mfa
- https://oer-informatik.de/authentifizierung
- https://oer-informatik.de/wlan
- https://oer-informatik.de/systemhaertung
- Stilbeispiel: https://oer-informatik.de/passwort-mfa-uebungsaufgaben

Die Aufgaben sollen Inhalte zu diesen Schlagwörtern abdecken:
- Passwort
- Passwortrichtlinie
- Brute Force
- Mehr-Faktor-Authentifizierung
- Biometrie
- Passkey
- Zutrittskontrolle
- IEEE 802.1X
- RADIUS
- Identity- and Access-Management

Kompetenzstufe: Basiskompetenz (alternativ: Kernkompetenz, Profilkompetenz, Expertise)
Anzahl: 1 Aufgabe mit Teilaufgaben
Bearbeitungszeit in Minuten ca.: <5 bis 30 min>
Szenario: eines der Szenarien aus dem Bauplan

Vorgehen:
1. Lies zuerst die verlinkten Artikel. Kannst Du keine Webseiten
   abrufen, sag mir das, statt zu raten.
2. Steht bei einer Angabe noch ein Platzhalter in <…>, frag mich
   zuerst danach. Richte Punkte und Zahl der Teilaufgaben nach der
   Bearbeitungszeit (ca. 0,9 min je Punkt).
3. Gib je Aufgabe Titel mit Kompetenzstufe, Ausgangssituation und
   Teilaufgaben mit Operator und Punktzahl aus, dazu die geschätzte
   Bearbeitungszeit.
4. Gib die Beispiellösungen mit Punkteverteilung erst aus, wenn ich
   danach frage.

Je Nachteil 1 Punkt, Entscheidung mit Begründung 1 Punkt, z. B.:

• Tastenfeld: Der Code wird weitererzählt oder beim Eintippen beobachtet. Weil alle denselben Code nutzen, ist nicht erkennbar, wer die Tür geöffnet hat, und nach dem Barcamp muss der Code für alle geändert werden.
• Kartenleser: Lesegerät und Einrichtung kosten mehr, die Ausweise der Helfer*innen müssen einzeln freigeschaltet werden, und ein verlorener oder verliehener Ausweis öffnet die Tür, bis er gesperrt ist.
• Entscheidung, z. B. für den Kartenleser: Jede Berechtigung hängt an einer Person, lässt sich einzeln entziehen und zum Ende des Barcamps automatisch auslaufen lassen; Öffnungen sind nachvollziehbar. Eine begründete Entscheidung für das Tastenfeld (geringe Kosten für eine kurze Veranstaltung, Code wird danach geändert) ist ebenfalls richtig.

Je Zeile 1 Punkt:

Eine Zwei-Faktor-Authentifizierung verlangt zwei unabhängige Merkmale aus unterschiedlichen Kategorien. Zwei Merkmale derselben Kategorie (Nr. 1, Nr. 4) lassen sich oft auf demselben Weg erbeuten, und Nr. 5 prüft nur ein einziges Merkmal.

Nr. 4 (1 Punkt), weil es mit 25 Zeichen am längsten ist, aus zufällig kombinierten Wörtern mit Trennzeichen und Ziffer besteht und keinen Bezug zum Barcamp oder zu Personen hat (1 Punkt).

Regeln (je 1 Punkt), zwei aus:

• aus Nr. 5: ausreichend lang (mindestens 12, besser 15 Zeichen oder eine Passphrase), weil jede weitere Stelle die Zahl der Kombinationen vervielfacht;
• aus Nr. 2: keine Namen, Geburtsjahre oder andere persönliche Angaben, weil Angreifende diese zuerst ausprobieren;
• aus Nr. 3: keine Tastaturmuster oder Zahlenfolgen, weil sie in jeder Angriffsliste stehen;
• aus Nr. 1 und Nr. 5: keine Begriffe aus dem eigenen Umfeld, auch nicht mit Ersetzungen wie @ für a, weil Wörterbuchangriffe solche Abwandlungen automatisch durchprobieren.

Vorschlag (1 Punkt), z. B.: Jede Helferin und jeder Helfer erhält ein persönliches Konto und meldet sich mit Passwort und einem Code aus der Authenticator-App auf dem eigenen Smartphone an.

Begründung (1 Punkt): Das Passwort gehört zur Kategorie Wissen, der Code zur Kategorie Besitz, weil er nur auf dem registrierten Smartphone entsteht. Ein Fingerabdruck allein wäre dagegen nur ein Faktor.

Restrisiko (1 Punkt), eines aus: Der Code kann auf einer gefälschten Anmeldeseite abgefragt werden; ein angemeldeter Laptop bleibt unbeaufsichtigt stehen (Bildschirmsperre nötig); Helfer*innen ohne Smartphone brauchen ein Ersatzverfahren; die Konten müssen nach dem Barcamp gesperrt werden.

Je zwei richtige Zeilen 1 Punkt:

Merkhilfe: Zutritt mit den Füßen, Zugang mit der Anmeldung, Zugriff auf die Daten.

Je 1 Punkt, zwei aus:

• Das Passwort ist leicht zu erraten (Firmenname und Gründungsjahr).
• Aktionen lassen sich keiner Person zuordnen (keine Nachvollziehbarkeit).
• Verlässt jemand das Unternehmen, muss das Passwort für alle geändert werden; einzelne Personen lassen sich nicht sperren.
• Ein von vielen genutztes Passwort wird schnell weitergegeben oder aufgeschrieben.
• Rechte lassen sich nicht nach Person unterscheiden.

Beschreibung (2 Punkte): Wird einer der Dienste gehackt oder das Passwort per Phishing erbeutet, probieren Angreifende es automatisiert bei vielen anderen Diensten aus. Mit einem einzigen Passwort sind dann alle Zugänge auf einmal offen, auch die zur Buchhaltung und zum Bankportal.

Hilfsmittel (1 Punkt): Passwortmanager, der für jeden Dienst ein langes Zufallspasswort erzeugt und verschlüsselt speichert (geschützt mit einem starken Hauptpasswort und möglichst einem zweiten Faktor).

Erläuterung (2 Punkte): Das Passwort gehört zur Kategorie Wissen, der Code aus der App zur Kategorie Besitz, weil er nur auf dem registrierten Diensthandy erzeugt bzw. angezeigt wird. Es werden also zwei unabhängige Faktoren aus unterschiedlichen Kategorien geprüft.

Weitere Möglichkeiten (je 1 Punkt), zwei aus: Hardware-Token bzw. USB-/NFC-Sicherheitsschlüssel (FIDO2), Chipkarte mit Kartenleser, TAN-Generator mit Bankkarte, Fingerabdruck oder Gesichtserkennung, Code per SMS (weniger sicher).

Risiko (1 Punkt), z. B.: Ist Bastian Ludwig krank oder im Urlaub, kommt im Störungsfall niemand an den Server; ein verlorener oder nachgemachter Schlüssel öffnet den Schrank unbemerkt.

Verbesserung (1 Punkt), z. B.: Ein elektronisches Schloss mit Transponder oder PIN erlaubt mehreren berechtigten Personen den Zutritt, verlorene Transponder lassen sich sofort sperren, und jede Öffnung wird protokolliert.

Je Schritt 1 Punkt:

1. Das Backend sucht das Konto zur eingegebenen E-Mail-Adresse in der Tabelle benutzer und liest den gespeicherten bcrypt-Hash (er enthält Salt und Kostenfaktor).
2. Es berechnet mit diesem Salt und Kostenfaktor den Hashwert des eingegebenen Passworts.
3. Stimmt der berechnete Wert mit dem gespeicherten überein, ist die Nutzerin authentifiziert und erhält ein Sitzungs- bzw. Zugangstoken; sonst wird die Anmeldung abgelehnt (mit einer neutralen Fehlermeldung) und der Fehlversuch gezählt.

• Hashwert statt Klartext oder Verschlüsselung (2 Punkte): Eine Hashfunktion ist eine Einwegfunktion; aus dem Hashwert lässt sich das Passwort nicht zurückrechnen. Wird die Datenbank gestohlen, liegen keine Klartextpasswörter vor. Ein verschlüsseltes Passwort könnte dagegen mit dem Schlüssel, der auf dem Server liegen müsste, entschlüsselt werden, und Administrator*innen könnten es lesen.
• Salt (1 Punkt): Ein zufälliger Wert je Konto sorgt dafür, dass gleiche Passwörter unterschiedliche Hashwerte haben; vorberechnete Tabellen (Rainbow Tables) und das gleichzeitige Knacken vieler Konten funktionieren nicht.
• Langsames Verfahren (1 Punkt): SHA-256 ist auf Geschwindigkeit ausgelegt, Grafikkarten berechnen Milliarden Werte pro Sekunde. bcrypt ist absichtlich aufwendig (Kostenfaktor); eine einzelne Anmeldung merkt das nicht, das Durchprobieren vieler Passwörter wird aber um viele Zehnerpotenzen langsamer.

Geg.: Zeichenvorrat z = 94; Länge n = 8; Rate v_{SHA} = 10^{10}\ \frac{1}{\mathrm{s}}, v_{bcrypt} = 2 \cdot 10^{4}\ \frac{1}{\mathrm{s}}; 1\ \mathrm{d} = 86400\ \mathrm{s}, 1\ \mathrm{a} = 365\ \mathrm{d} = 31536000\ \mathrm{s}

Ges.: maximale Dauer t in Tagen

\text{I:}\quad K = z^n \qquad \text{II:}\quad t = \frac{K}{v}

I in II:

t = \frac{z^n}{v_{SHA}}

t = \frac{94^8}{10^{10}\ \frac{1}{\mathrm{s}}} = \frac{6095689385410816}{10^{10}\ \frac{1}{\mathrm{s}}} \approx 609568{,}939\ \mathrm{s}

t \approx \frac{609568{,}939\ \mathrm{s}}{86400\ \frac{\mathrm{s}}{\mathrm{d}}} \approx \underline{\underline{7{,}055\ \mathrm{d}}}

Das Passwort ist spätestens nach gut einer Woche gefunden, im Mittel nach etwa der Hälfte der Zeit.

Bewertung: Ansatz mit z^n 1 Punkt, Division durch die Rate 1 Punkt, Umrechnung und Ergebnis 1 Punkt.

Ges.: maximale Dauer t in Jahren für z = 26, n = 15

t = \frac{z^n}{v_{SHA}} = \frac{26^{15}}{10^{10}\ \frac{1}{\mathrm{s}}} \approx \frac{1{,}677 \cdot 10^{21}}{10^{10}\ \frac{1}{\mathrm{s}}} \approx 1{,}677 \cdot 10^{11}\ \mathrm{s}

t \approx \frac{1{,}677 \cdot 10^{11}\ \mathrm{s}}{31536000\ \frac{\mathrm{s}}{\mathrm{a}}} \approx \underline{\underline{5318{,}554\ \mathrm{a}}}

Bewertung: Rechnung 1 Punkt, Ergebnis mit Umrechnung 1 Punkt.

Ges.: maximale Dauer t in Jahren für z = 94, n = 8 bei bcrypt

t = \frac{94^8}{2 \cdot 10^{4}\ \frac{1}{\mathrm{s}}} \approx 3{,}048 \cdot 10^{11}\ \mathrm{s} \approx \frac{3{,}048 \cdot 10^{11}\ \mathrm{s}}{31536000\ \frac{\mathrm{s}}{\mathrm{a}}} \approx \underline{\underline{9664{,}652\ \mathrm{a}}}

(1 Punkt)

Beurteilung (1 Punkt): Die Länge wirkt stärker als der Zeichenvorrat: 15 Kleinbuchstaben halten bei gleichem Verfahren rund 275.000-mal länger als 8 beliebige Zeichen. Das langsame Hashverfahren schützt auch kürzere Passwörter: Dasselbe 8-stellige Passwort hält bei bcrypt etwa 500.000-mal länger als bei SHA-256. Beides zusammen, lange Passwörter und ein langsames, gesalzenes Verfahren, ist am wirksamsten. Gegen Wörterbuchpasswörter hilft die Rechnung nicht, weil diese viel früher getestet werden.

JANA Pseudo-Pascal Pseudo-Pascal (deutsch) Pseudo-Python all none

boolean dreiVonVier = (gross && klein && ziffer) || (gross && klein && sonder) || (gross && ziffer && sonder) || (klein && ziffer && sonder)
if (!gesperrt && (laenge >= 15 || (laenge >= 10 && dreiVonVier))) {
    write("Passwort zulässig")
} else {
    write("Passwort entspricht nicht der Richtlinie")
}

dreiVonVier: boolean := (gross AND klein AND ziffer) OR (gross AND klein AND sonder) OR (gross AND ziffer AND sonder) OR (klein AND ziffer AND sonder)
if (NOT gesperrt AND (laenge >= 15 OR (laenge >= 10 AND dreiVonVier))) then
    writeln("Passwort zulässig")
else
    writeln("Passwort entspricht nicht der Richtlinie")
end if

dreiVonVier: boolean := (gross und klein und ziffer) oder (gross und klein und sonder) oder (gross und ziffer und sonder) oder (klein und ziffer und sonder)
wenn nicht gesperrt und (laenge >= 15 oder (laenge >= 10 und dreiVonVier)) dann
    Ausgabe "Passwort zulässig"
sonst
    Ausgabe "Passwort entspricht nicht der Richtlinie"
Ende wenn

dreiVonVier = (gross and klein and ziffer) or (gross and klein and sonder) or (gross and ziffer and sonder) or (klein and ziffer and sonder)
if not gesperrt and (laenge >= 15 or (laenge >= 10 and dreiVonVier)):
    print("Passwort zulässig")
else:
    print("Passwort entspricht nicht der Richtlinie")
# Ende if

Bewertung: Ausdruck „drei von vier“ 2 Punkte (alle vier Kombinationen mit UND, verknüpft mit ODER); Längenbedingungen mit ODER und richtiger Klammerung 2 Punkte; Verneinung der Sperrliste mit UND 1 Punkt; Syntax der if-Anweisung mit beiden Ausgaben 1 Punkt.

Alternative für „drei von vier“: Die Wahrheitswerte als 0 und 1 zählen (anzahl := 0, je erfüllter Zeichenart anzahl := anzahl + 1) und anzahl >= 3 prüfen. Achte auf die Klammern: Ohne sie bindet UND stärker als ODER, und ein gesperrtes Passwort mit mindestens 10 Zeichen und drei Zeichenarten würde fälschlich zugelassen.

Je 1 Punkt, zwei aus: kein Bestandteil von Vor- oder Nachnamen bzw. E-Mail-Adresse; keine trivialen Folgen oder Tastaturmuster; keine Wörter aus Wörterbüchern bzw. Namen der App; Wechsel erzwingen, wenn das Passwort in einem Datenleck auftaucht; vorübergehende Sperre bzw. Verzögerung nach mehreren Fehlversuchen; neues Passwort darf nicht dem alten entsprechen.

Je Argument 2 Punkte, zwei aus:

• Passwörter gelangen auf vielen Wegen in fremde Hände: Sie werden mehrfach verwendet, auf gefälschten Anmeldeseiten eingegeben oder von Schadsoftware gesammelt.
• Wer ein gültiges Passwort hat, ist für die Server nicht von der berechtigten Person zu unterscheiden; mit zweitem Faktor reicht ein gestohlenes Passwort allein nicht mehr.
• Eine unerwartete Anmeldeanfrage auf dem Smartphone warnt frühzeitig, dass jemand das Passwort kennt; das Konto kann gesperrt werden, bevor Schaden entsteht.

Je 1 Punkt, drei aus: höhere Sicherheit, weil ein erbeutetes Passwort allein nicht genügt; Schutz gegen Phishing und Wiederverwendung geleakter Passwörter; geringere Abhängigkeit von der Passwortqualität; Angriffsversuche werden erkennbar; Nachweis gegenüber Datenschutzaufsicht und Kundschaft, dass der Zugriff auf Profildaten angemessen geschützt ist (Compliance, Art. 32 DSGVO); Flexibilität bei der Wahl des Verfahrens.

Je 1 Punkt, vier aus: Passwort oder PIN (Wissen); Einmalcode aus einer Authenticator-App bzw. per SMS; Hardware-Token bzw. FIDO2-Sicherheitsschlüssel; Smartcard; Fingerabdruck; Gesichtserkennung; Standort bzw. Firmennetz. Es genügt die Nennung der Kategorie (Wissen, Besitz, Inhärenz, Ort) oder eines passenden Beispiels.

Auswahl 1 Punkt, Begründung 2 Punkte, z. B.:

Passwort und FIDO2-Sicherheitsschlüssel. Das Passwort ist ein statischer Faktor (Wissen), der Schlüssel ein dynamischer Faktor (Besitz), der für jede Anmeldung eine neue Signatur erzeugt. Weil der Schlüssel an die echte Adresse der Oberfläche gebunden ist, ist die Kombination phishing-resistent; das ist bei einem Zugang mit Rechten auf viele Profile wichtig. Die Kosten für wenige Support-Beschäftigte sind gering.

Ebenfalls richtig: Passwort und Einmalcode aus einer Authenticator-App (statisch plus dynamisch, keine Zusatzkosten), sofern begründet. Zwei Faktoren aus derselben Kategorie erhalten keine Punkte für die Auswahl.

Nutzung des PSK (2 Punkte): Access Point und Türschild berechnen aus der Passphrase (zusammen mit der SSID) denselben Hauptschlüssel. Im Vier-Wege-Handshake tauschen sie Zufallszahlen aus, leiten daraus die Sitzungsschlüssel ab und zeigen sich mit einer Prüfsumme, dass beide vom gleichen Hauptschlüssel ausgegangen sind. Der PSK selbst wird dabei nie gesendet.

Folgen des Verlusts (2 Punkte): Der PSK ist im Türschild gespeichert und lässt sich auslesen. Wer ihn kennt, kann sich als beliebiges Gerät mit dem Türschild-WLAN verbinden und bei WPA2-Personal mit einem mitgeschnittenen Handshake sogar den Verkehr der übrigen Türschilder entschlüsseln. Abhilfe schafft nur ein neuer PSK, der auf allen Türschildern geändert werden muss.

Anmeldung je Gerät (1 Punkt): Hat jedes Türschild eigene Zugangsdaten (z. B. Zertifikat über IEEE 802.1X oder ein eigener PSK je Gerät), wird nur das fehlende Türschild gesperrt; alle anderen arbeiten ohne Änderung weiter.

Je 1 Punkt:

• Regeln im RADIUS-Server (2 Punkte): Für jede Gruppe gibt es eine eigene Richtlinie, z. B. „gültiges Zertifikat der CA der Schul-IT, Gerätegruppe Check-in“ → VLAN 30 und „Konto in der Gruppe Lehrkräfte“ → VLAN 20. Die VLANs müssen auf dem Switch angelegt und die Ports für 802.1X mit dynamischer VLAN-Zuweisung eingerichtet sein.
• Übermittlung an den Switch (1 Punkt): Mit der Zusage (Access-Accept) schickt der RADIUS-Server die Attribute Tunnel-Type = VLAN, Tunnel-Medium-Type = 802 und Tunnel-Private-Group-ID = 30 bzw. 20 (RFC 3580). SW-A0 schaltet den Port für dieses Gerät in das genannte VLAN.
• Fremde Geräte (1 Punkt): Sie können sich nicht ausweisen. Der RADIUS-Server lehnt sie ab (Access-Reject), und der Switch schaltet den Port in das Quarantäne-VLAN 99 bzw. lässt ihn gesperrt.

Beurteilung (2 Punkte): Für Geräte ohne 802.1X-Unterstützung ist die Freigabe über die MAC-Adresse (MAC Authentication Bypass) oft die einzige Möglichkeit. Sie ist aber keine echte Authentifizierung: Die MAC-Adresse steht auf dem Typenschild oder in der Statusseite des Druckers und lässt sich an jedem Notebook einstellen. Wer den Drucker absteckt, kommt mit dieser Adresse ins Netz. Der Vorschlag ist deshalb nur mit Einschränkungen vertretbar.

Maßnahme (1 Punkt), eine aus: Der RADIUS-Server schaltet den Port in ein eigenes Drucker-VLAN, aus dem die Firewall nur die nötigen Verbindungen zulässt; der Switch meldet, wenn am Port die Verbindung abreißt oder die MAC-Adresse an einem anderen Port auftaucht; Drucker und Netzwerkdose stehen in einem abschließbaren Schrank.

Je 1 Punkt, zwei aus: Benutzername und Passwort gegen einen RADIUS-Server (z. B. PEAP); Zertifikat bzw. asymmetrische Kryptografie; Kerberos-Anmeldung in der Domäne; VPN mit Zertifikat und zweitem Faktor; Captive Portal mit Voucher; Zwei-Faktor-Authentifizierung.

Je Maßnahme 2 Punkte, zwei aus:

• Zugriff nur aus bestimmten IP-Adressbereichen bzw. aus dem Managementnetz der Schul-IT zulassen (Allow-List); alle anderen Quelladressen werden verworfen.
• Die Oberfläche ist nur über das VPN der Schul-IT erreichbar und nicht aus dem Schul- oder Gästenetz bzw. dem Internet.
• Zugriff nur mit Client-Zertifikat (gegenseitiges TLS), das ausschließlich auf den Geräten der Schul-IT installiert ist.

Ungeeignet ist ein allgemeines, nicht personenbezogenes Passwort, weil es sich verbreitet und nicht einzelnen Geräten zugeordnet ist.

Konten, Gruppen, Passwortregeln und MFA werden an einer Stelle verwaltet und gelten für alle Geräte (1 Punkt). Jede Person meldet sich mit ihrem persönlichen Konto an allen Geräten an; nach dem Barcamp oder beim Ausscheiden aus dem Orga-Team wird das Konto einmal zentral gesperrt und ist sofort auf allen Geräten gesperrt (1 Punkt). Rechte werden über Gruppen vergeben und Anmeldungen zentral protokolliert, statt auf jedem Gerät lokale Konten mit eigenen Passwörtern zu pflegen (1 Punkt).

Je Verfahren 2 Punkte, zwei aus:

• PIN bzw. Zahlenvergleich: Der Drucker zeigt eine Zahl an (oder hat eine individuelle PIN), die am Tablet eingegeben bzw. bestätigt wird. Nur wer am Gerät steht, kennt sie; daraus wird ein gemeinsamer Schlüssel abgeleitet.
• Schlüssel per QR-Code: Auf dem Drucker klebt ein individueller QR-Code mit dem Kopplungsschlüssel, den die App scannt und übernimmt.
• NFC bzw. Kopplungstaste: Kopplung nur durch Antippen mit NFC oder innerhalb eines kurzen Zeitfensters nach Druck auf eine Taste am Drucker.

Wichtig: keine Standard-PIN wie 0000, und die Kopplung nur einmal bei der Einrichtung im Orga-Büro durchführen.

Erklärung (2 Punkte): Die Software prüft nur, ob Benutzername und Passwort zusammenpassen. Das Passwort ist ein reines Wissensmerkmal; wer es kennt, besteht die Prüfung vollständig. Die Lehrkräfte haben es auf der gefälschten Seite selbst eingegeben, die Angreifenden haben sich danach ganz normal angemeldet. Im Protokoll steht deshalb eine gültige Anmeldung. Verhindert hätte das nur ein zweites Merkmal, das sich nicht einfach weitergeben lässt.

Weitere Wege (je 1 Punkt), zwei aus:

• Das Passwort wurde auch bei einem anderen Dienst verwendet und stammt aus dessen Datenleck (Credential Stuffing).
• Kurze oder einfache Passwörter werden erraten oder per Wörterbuch- bzw. Brute-Force-Angriff gefunden.
• Schadsoftware zeichnet die Tastatureingaben auf.
• Das Passwort klebt am Bildschirm oder ist im Browser eines gemeinsam genutzten Rechners gespeichert.
• Jemand beobachtet das Eintippen oder fragt am Telefon als angeblicher Support danach (Social Engineering).

Neue Werte (je 1 Punkt mit Begründung), drei aus:

• Minimale Kennwortlänge mindestens 12, besser 14 Zeichen: Sechs Zeichen sind mit heutiger Rechenleistung schnell durchprobiert.
• Kontosperrungsschwelle z. B. 10 Fehlversuche mit 15 Minuten Sperrdauer: Das bremst das Raten über die Anmeldeseite, ohne dass jeder Tippfehler sofort sperrt.
• Kennwortchronik z. B. 24 Kennwörter (dazu ein minimales Kennwortalter von einem Tag): Beim Wechsel kann nicht einfach das alte Passwort wieder gesetzt werden.
• Komplexität aktivieren: Reine Wörter und Zahlenfolgen werden abgewiesen; wichtiger bleibt aber die Länge.

Stellungnahme (2 Punkte): Eine kürzere Frist hilft kaum, denn Angreifende nutzen ein erbeutetes Passwort meist sofort, im Vorfall schon nach zwei Tagen. Häufige Zwangswechsel führen zu Mustern wie Noten2026-1, Noten2026-2 und zu Notizzetteln. Das BSI (IT-Grundschutz-Kompendium, Baustein ORP.4) und NIST (SP 800-63B) raten deshalb von anlasslosen Wechseln ab. Besser ist es, den Ablauf abzuschalten, Passwörter bei Verdacht sofort zu ändern (jetzt für die beiden betroffenen Konten), eine Sperrliste zu nutzen und einen zweiten Faktor einzuführen. Eine begründete Zustimmung als kurze Übergangslösung ist ebenfalls möglich, wenn die Nachteile genannt werden.

Je Zeile 1 Punkt; abweichende Bewertungen mit stimmiger Begründung sind ebenfalls richtig.

Empfehlung (1 Punkt), z. B.: Passkey auf dem Dienst-Notebook als Regelverfahren, dazu ein FIDO2-Schlüssel für Lehrkräfte, die sich auch an anderen Rechnern anmelden, und als Ersatz bei Verlust des Notebooks.

Begründung (2 Punkte): Der Vorfall war ein Phishing-Angriff, deshalb wiegt die erste Zeile am schwersten; die App scheidet dort aus und würde zudem private Smartphones voraussetzen. Passkeys verursachen kaum Kosten, Schlüssel werden nur für einen Teil der Lehrkräfte gebraucht. So bleibt die Lösung bezahlbar und schließt die Lücke, die zum Vorfall geführt hat.

Beschreibung (2 Punkte): Ein Passkey ersetzt das Passwort durch ein kryptografisches Schlüsselpaar. Bei der Registrierung erzeugt das Gerät das Paar und übermittelt nur den öffentlichen Schlüssel an den Dienst. Der private Schlüssel bleibt auf dem Gerät und wird bei der Anmeldung nach dem Entsperren mit Fingerabdruck, Gesicht oder Geräte-PIN verwendet.

Vorteile (je 1 Punkt), zwei aus:

• Schutz vor Phishing: Der Passkey funktioniert nur auf der Website, für die er erstellt wurde; eine gefälschte Seite kann ihn nicht abfragen.
• Ein Datenleck beim Dienst verrät nichts, womit sich Angreifende anmelden könnten (nur öffentliche Schlüssel).
• Kein Passwort muss gemerkt oder eingetippt werden (aus dem Kontext: bequemer für die Lehrkräfte).

Speicherung (2 Punkte): Aus dem Kamerabild wird ein mathematisches Merkmalsmuster (Template) berechnet, kein Foto. Es liegt verschlüsselt nur auf dem jeweiligen Notebook und wird weder an einen Server noch an die Schulverwaltungssoftware übertragen. Die Gesichtserkennung gibt lediglich den Schlüssel im Sicherheitschip (TPM) des Notebooks frei, mit dem die Anmeldung signiert wird. Es bleiben trotzdem biometrische Daten (Art. 9 DSGVO); die Lehrkräfte sollten informiert werden und die Wahl haben.

Fehlschlag (1 Punkt): Die Lehrkraft meldet sich mit der Geräte-PIN an, die ebenfalls nur an diesem Notebook gilt. Wer die Gesichtserkennung nicht nutzen möchte, verwendet nur die PIN.

Z. B. (2 Punkte): Der verlorene Faktor wird sofort zentral gesperrt. Die Lehrkraft weist sich persönlich bei der Schul-IT bzw. im Sekretariat mit Dienstausweis aus (nicht nur per E-Mail oder Telefon, weil das Angreifende ausnutzen könnten) und erhält einen neuen Faktor. Alternativ meldet sie sich mit einem bei der Einrichtung ausgegebenen, sicher verwahrten Wiederherstellungscode an. Der Vorgang wird protokolliert.

Zuordnung (je zwei richtige Zeilen 1 Punkt): Identity – Nr. 1, 3, 5 (Identität anlegen und pflegen, Echtheit bei der Anmeldung prüfen); Access – Nr. 2, 4, 6 (Rechte festlegen, überprüfen und begrenzen).

Erklärung (2 Punkte), z. B. an Nr. 3: Der FIDO2-Schlüssel stellt sicher, dass wirklich Natalia Wróbel angemeldet ist. Hätte sie danach aber Vollzugriff wie heute über das Konto admin, könnte ein Fehler oder ein Missbrauch trotzdem großen Schaden anrichten. Umgekehrt nützt das genaueste Rollenkonzept (Nr. 2) nichts, wenn sich jemand mit einem erbeuteten Passwort als Monteur ausgeben kann. Erst beide Teile zusammen sorgen dafür, dass die richtige Person genau die nötigen Rechte erhält und das nachvollziehbar bleibt.

Je erkanntem Fehler mit Begründung 1 Punkt:

• Automatische Abmeldung im ERP-System gehört zum Zugangsschutz: Sie regelt, ob eine Sitzung am System weiter genutzt werden kann, nicht das Betreten eines Raums.
• Keine Rabattfreigabe für Werkstatt-Konten gehört zum Zugriffsschutz: Die Person ist bereits angemeldet; begrenzt werden ihre Rechte innerhalb des Systems.
• Codeschloss am Technikraum gehört zum Zutrittsschutz: Es verhindert, dass Unbefugte körperlich an den Router gelangen.

Die übrigen drei Zuordnungen sind richtig.

Probleme (je 1 Punkt), zwei aus: Änderungen lassen sich keiner Person zuordnen (keine Nachvollziehbarkeit, keine Verantwortung); scheidet eine der drei Personen aus, muss das Passwort geändert und neu verteilt werden; das Passwort wird weitergegeben oder notiert; alle drei haben volle Rechte, auch für Aufgaben, die sie nicht brauchen (Verstoß gegen das Prinzip der minimalen Rechte).

Lösung (2 Punkte): Jede Person erhält ein persönliches Konto für die tägliche Arbeit; wer Administrationsaufgaben hat (hier Cem Sarıkaya), erhält zusätzlich ein getrenntes, persönliches Admin-Konto mit MFA. Rechte werden über Rollen bzw. Gruppen vergeben. Das Konto admin wird deaktiviert bzw. als Notfallkonto mit versiegelt hinterlegtem Passwort aufbewahrt, und seine Nutzung wird protokolliert.

• Wechsel in den Vertrieb (2 Punkte): Die Rolle im Verzeichnis wird geändert; Rechte für Vertrieb und Shop-Verwaltung kommen hinzu, und die Rechte der Werkstatt (Werkstatt-Tablets, Auftragsverwaltung, Zutritt zum Lager, soweit nicht mehr nötig) werden entzogen, damit sich keine Rechte ansammeln. Ggf. wird ein Diensthandy mit zweitem Faktor ausgegeben.
• Austritt (2 Punkte): Das Konto wird zum letzten Arbeitstag gesperrt (nicht sofort gelöscht, Daten nach Aufbewahrungsregeln übernehmen), Transponder, Token und Geräte werden eingezogen und Zutrittsrechte im Schließsystem gelöscht; Zugänge zu externen Diensten werden ebenfalls entzogen.

Beurteilung (1 Punkt): Die Befürchtung ist zum großen Teil berechtigt. Windows-Geräte, an denen sich eine Person schon einmal angemeldet hat, erlauben zwar eine Anmeldung mit zwischengespeicherten Anmeldedaten. Alles, was beim Verzeichnis nachfragt (ERP-System, WLAN über RADIUS, Single Sign-on, neue Anmeldungen), schlägt aber fehl.

Vorkehrungen (je 2 Punkte), zwei aus:

• Zweiter Verzeichnisserver auf getrennter Hardware, der die Daten laufend repliziert und bei einem Ausfall des ersten weiterarbeitet.
• Sicherung des Verzeichnisdienstes mit regelmäßig getesteter Wiederherstellung und einem schriftlichen Wiederanlaufplan.
• Notfallkonto mit versiegelt hinterlegtem Passwort, mit dem sich die Systeme auch ohne Verzeichnis administrieren lassen; jede Nutzung wird protokolliert.
• USV und Überwachung für Server und Netz, damit kurze Stromausfälle überbrückt werden und eine Störung sofort gemeldet wird.

Je Bereich 1 Punkt, z. B.: