Passwörter, Mehr-Faktor-Authentifizierung und Zugangskontrolle

Passwörter, Mehr-Faktor-Authentifizierung und Zugangskontrolle

https://bildung.social/@oerinformatik/

https://oer-informatik.de/passwort-mfa

Passwort, Passwortrichtlinie, Gruppenrichtlinie, Brute Force, Mehr-Faktor-Authentifizierung, Biometrie, Passkey, Zutrittskontrolle, Zugangskontrolle, IEEE 802.1X, RADIUS, Identity- and Access-Management

tl/dr; (ca. 32 min Lesezeit): Wer an Daten will, muss drei Hürden nehmen: in den Raum (Zutritt), an das System (Zugang) und an die Daten (Zugriff). Der Artikel zeigt, wie eine Anmeldung mit Passwort technisch abläuft, was ein sicheres Passwort ausmacht (mit Rechnung zur Brute-Force-Dauer), wie Du Passwortregeln per Richtlinie durchsetzt und warum ein Passwort allein heute nicht mehr reicht. Danach geht es um Faktoren und Verfahren der Mehr-Faktor-Authentifizierung, um Biometrie und Passkeys, um die Anmeldung von Geräten am Netz (Pre-Shared Key, IEEE 802.1X mit RADIUS), um den Schutz von Verwaltungsoberflächen und um zentrale Benutzerverwaltung und Identity- and Access-Management [AI-Assisted]. (Zuletzt geändert am 28.10.2026)

Dieser Artikel ist Teil einer Artikelreihe zur IT-Sicherheit: Schutzziele, Schwachstellen und Sicherheitsrisiken / Passwörter, Mehr-Faktor-Authentifizierung und Zugangskontrolle / Authentifizierung und Autorisierung in Anwendungen / Systeme härten / Übungsaufgaben zu Passwörtern, MFA und Zugangskontrolle

Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast. Hier klicken, um Kann-Liste ein- oder auszublenden

Dieser Artikel baut auf der Kann-Liste des Artikels Schutzziele, Schwachstellen und Sicherheitsrisiken auf.

Als Grundlagen kann ich nach Durchlesen des Artikels…

• … Zutritts-, Zugangs- und Zugriffsschutz unterscheiden und je eine technische oder organisatorische Maßnahme nennen.

• … technische Möglichkeiten einer automatischen Zutrittskontrolle nennen.

• … Authentifizierungsmittel den Faktoren Wissen, Besitz und Inhärenz zuordnen und je einen Vorteil und ein Sicherheitsrisiko angeben.

• … Kriterien für ein sicheres Passwort nennen und begründen, warum sie die Sicherheit erhöhen; aus mehreren Passwörtern das sicherste bestimmen.

• … die Zwei-Faktor-Authentifizierung erklären und Beispiele angeben.

Darüber hinaus kann ich als Kernwissen für alle Fachrichtungen…

• … den Ablauf einer passwortbasierten Anmeldung beschreiben und begründen, warum Passwörter nur als Hashwert gespeichert werden.

• … die Dauer eines Brute-Force-Angriffs aus Zeichenvorrat, Länge und Rechenleistung abschätzen.

• … eine Passwortrichtlinie um sinnvolle Regeln ergänzen, sie per Gruppenrichtlinie umsetzen und als logischen Ausdruck formulieren.

• … Vorteile einer Mehr-Faktor-Authentifizierung nennen, geeignete Faktoren auswählen und die Auswahl begründen.

• … die Authentifizierung mit Pre-Shared Key und mit IEEE 802.1X (Supplicant, Authenticator, Authentication Server) beschreiben und für Firmen- und Privatgeräte die passende Einstellung im RADIUS-Server angeben.

• … Maßnahmen beschreiben, mit denen der Zugriff auf eine Verwaltungsoberfläche auf berechtigte Geräte beschränkt wird, und den Vorteil einer zentralen Benutzerverwaltung erläutern.

Als Vertiefung für Beratung und Systemmanagement kann ich…

• … erläutern, warum die Anmeldung nur mit Benutzername und Passwort zunehmend unsicher ist.

• … Anmeldeverfahren (Passwort, App-basierte MFA, Hardware-Token, Biometrie, Passkey) aus Sicht der IT-Abteilung und der Nutzenden mit Vor- und Nachteilen bewerten.

• … Identity-Management und Access-Management unterscheiden, ihr gemeinsames Ziel beschreiben und den Lebenszyklus einer digitalen Identität erläutern.

• … Maßnahmen zur Ausfallsicherheit eines elektronischen Zutrittssystems beschreiben.

In vielen Sicherheitsvorfällen steht am Anfang kein raffinierter Angriff, sondern eine zu einfache Anmeldung: ein erratenes oder erbeutetes Passwort, ein geteiltes Admin-Konto, ein offener Netzwerkanschluss im Besprechungsraum oder eine Tür, die jeder öffnen kann. Dieser Artikel ordnet die Schutzmaßnahmen von der Tür bis zur Datei und zeigt, wie Passwörter, zweite Faktoren und zentrale Verwaltung zusammenspielen.

Die Grafik zeigt die drei Hürden im Überblick, die in den folgenden Abschnitten genauer beschrieben werden.

Zutritt, Zugang, Zugriff: drei Schutzschichten

Die drei Begriffe klingen ähnlich, meinen aber verschiedene Hürden. Sie stammen aus den technisch-organisatorischen Maßnahmen (TOM) des Datenschutzes und finden sich im IT-Grundschutz des BSI wieder:

Eine Eselsbrücke: Zutritt mit den Füßen, Zugang mit der Anmeldung, Zugriff auf die Daten. Bei Datenübertragungen spricht man zusätzlich von Weitergabekontrolle (z. B. Transportverschlüsselung mit TLS, VPN).

Automatische Zutrittskontrolle

Eine Tür kann sich automatisch öffnen, wenn ein Merkmal geprüft wurde:

• Karte oder Transponder (RFID/NFC) an einem Lesegerät,
• Zahlencode bzw. PIN an einer Tastatur,
• biometrisches Merkmal wie Fingerabdruck, Gesicht, Handvenen oder Stimme,
• Smartphone mit einer App (z. B. per Bluetooth oder NFC),
• Kombinationen davon, z. B. Karte plus PIN für den Serverraum.

Elektronische Systeme haben einen Vorteil gegenüber Schlüsseln: Eine verlorene Karte lässt sich sofort sperren, Rechte lassen sich zeitlich begrenzen, und jede Öffnung wird protokolliert (unter Beachtung des Datenschutzes). Weil ohne funktionierendes System niemand mehr hinein- oder (im Notfall) hinauskommt, muss die Ausfallsicherheit geplant werden: unterbrechungsfreie Stromversorgung (USV) und ggf. Notstrom, redundante Server und Netzverbindungen, Türen, die auch offline mit zwischengespeicherten Berechtigungen arbeiten, ein mechanischer Notschlüssel bzw. ein geregeltes Notfallverfahren mit manueller Kontrolle durch Personal, regelmäßige Wartung und eine Auslegung auf den erwarteten Andrang (z. B. genügend Lesegeräte am Einlass einer Veranstaltung). Fluchttüren müssen sich unabhängig von der Zutrittskontrolle immer von innen öffnen lassen.

So läuft eine Anmeldung mit Passwort ab

Bei jeder Anmeldung laufen drei Schritte nacheinander ab: Identifizierung (Wer behauptest Du zu sein? – Benutzername), Authentifizierung (Kannst Du es beweisen? – z. B. Passwort) und Autorisierung (Was darfst Du? – Rechte). Der Artikel Authentifizierung und Autorisierung vertieft diese Begriffe für die Softwareentwicklung.

Die passwortbasierte Authentifizierung läuft so ab:

1. Die Person gibt Benutzernamen und Passwort ein.
2. Das System sucht den Benutzernamen in seiner Benutzerdatenbank bzw. im Verzeichnis (z. B. auf dem Anmeldeserver).
3. Es berechnet aus dem eingegebenen Passwort (und dem gespeicherten Salt) einen Hashwert und vergleicht ihn mit dem gespeicherten Hashwert.
4. Stimmen die Werte überein, gilt die Person als authentifiziert und erhält die Rechte ihres Kontos; sonst wird die Anmeldung abgelehnt und der Fehlversuch gezählt.

Warum ein Hashwert und nicht das Passwort selbst? Eine Hashfunktion ist eine Einwegfunktion: Aus dem Hashwert lässt sich das Passwort nicht zurückrechnen. Wer die Benutzerdatenbank erbeutet, hat also keine Klartextpasswörter, und auch Administrator*innen können die Passwörter nicht lesen. Damit das gut funktioniert, gelten zwei Regeln:

• Salt: Vor dem Hashen wird an jedes Passwort ein zufälliger Wert angehängt, der für jedes Konto anders ist. Gleiche Passwörter ergeben dann unterschiedliche Hashwerte, und vorberechnete Tabellen (Rainbow Tables) nützen nichts.
• Langsame Passwort-Hashverfahren: Für Passwörter nimmt man keine schnellen Prüfsummen wie SHA-256, sondern absichtlich aufwendige Verfahren wie Argon2, bcrypt, scrypt oder PBKDF2. Für eine Anmeldung fällt die Rechenzeit von Sekundenbruchteilen nicht auf; wer aber Milliarden Passwörter durchprobieren will, braucht dadurch viel länger.

Mehr zu Hashfunktionen steht im Artikel Kryptografie.

Was ein sicheres Passwort ausmacht

Ein Passwort ist sicher, wenn es weder erraten noch in vertretbarer Zeit durchprobiert werden kann und nur an einer Stelle verwendet wird.

Kriterien für sichere Passwörter

Kriterium	Warum es die Sicherheit erhöht
Länge (z. B. mindestens 12, besser 15 und mehr Zeichen; Passphrasen aus mehreren Wörtern)	Jede zusätzliche Stelle vervielfacht die Zahl der möglichen Kombinationen; Brute-Force-Angriffe dauern dadurch um Größenordnungen länger.
Großer Zeichenvorrat (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen)	Je mehr Zeichen pro Stelle möglich sind, desto mehr Kombinationen muss ein Angriff testen.
Keine Wörter, Namen, Daten oder Muster (kein „Sommer2026!“, kein qwertz, kein Name des Haustiers)	Wörterbuchangriffe probieren zuerst bekannte Wörter, Namen und Abwandlungen; persönliche Angaben findet man über Social Engineering.
Einmalig für jeden Dienst	Wird ein Dienst gehackt, funktioniert das erbeutete Passwort nicht bei anderen Diensten (Schutz vor Credential Stuffing).
Nicht in einer Liste geleakter Passwörter	Passwörter aus früheren Datenlecks stehen in Angriffslisten ganz oben.
Geheim halten (nicht aufschreiben, nicht weitergeben, nicht per E-Mail verschicken)	Ein bekanntes Passwort schützt nicht mehr, egal wie komplex es ist.

Das BSI empfiehlt für Verbraucher*innen sinngemäß: Ein Passwort ist entweder kurz und komplex (z. B. 8 bis 12 Zeichen aus allen vier Zeichenarten) oder lang und weniger komplex (z. B. 25 Zeichen aus zwei Zeichenarten, etwa mehrere Wörter mit Trennzeichen). Seit der Edition 2020 rät das BSI im IT-Grundschutz-Kompendium (Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“) von rein zeitgesteuerten Passwortwechseln ab: Gewechselt wird, wenn es Hinweise auf eine Kompromittierung gibt. Das US-amerikanische NIST geht in der Richtlinie SP 800-63B (Revision 4, 2025) noch weiter: mindestens 15 Zeichen, wenn das Passwort der einzige Faktor ist (8 Zeichen als Teil einer MFA), Passwörter bis mindestens 64 Zeichen zulassen, neue Passwörter gegen Listen bekannter Passwörter prüfen, keine Pflicht zu bestimmten Zeichenarten und kein Wechsel nach festem Zeitplan. Der Grund: Erzwungene Wechsel und Zeichenregeln führen in der Praxis zu vorhersehbaren Mustern wie Passwort1!, Passwort2! …

Passwortmanager lösen das Merkproblem: Sie erzeugen für jeden Dienst ein langes Zufallspasswort und speichern alle Passwörter verschlüsselt. Man merkt sich nur noch ein starkes Hauptpasswort, das zusätzlich mit einem zweiten Faktor geschützt werden sollte.

Wie lange dauert ein Brute-Force-Angriff?

Bei einem Brute-Force-Angriff werden alle Kombinationen durchprobiert, meist offline gegen erbeutete Hashwerte. Die Zahl der Kombinationen ist

K = z^n

mit dem Zeichenvorrat z (Anzahl möglicher Zeichen je Stelle) und der Länge n. Die maximale Dauer ist t = \frac{K}{v} bei v getesteten Passwörtern pro Sekunde (im Mittel ist das Passwort nach der Hälfte gefunden).

Beispiel: Angreifende testen mit Grafikkarten 10^{10} Passwörter pro Sekunde gegen einen schnellen Hash.

Brute-Force-Dauer bei 10^{10} Versuchen pro Sekunde

Passwort	Zeichenvorrat z	Länge n	Kombinationen z^n	maximale Dauer
nur Kleinbuchstaben	26	8	\approx 2{,}09 \cdot 10^{11}	ca. 21 Sekunden
alle druckbaren ASCII-Zeichen	94	8	\approx 6{,}10 \cdot 10^{15}	ca. 7 Tage
nur Kleinbuchstaben	26	15	\approx 1{,}68 \cdot 10^{21}	ca. 5.300 Jahre
alle druckbaren ASCII-Zeichen	94	12	\approx 4{,}76 \cdot 10^{23}	ca. 1,5 Mio. Jahre

Das Diagramm zeigt denselben Zusammenhang für alle Längen von 6 bis 16 Zeichen. Weil die Achse logarithmisch ist, wird aus dem exponentiellen Wachstum eine Gerade; je größer der Zeichenvorrat, desto steiler steigt sie.

Zwei Erkenntnisse: Jede zusätzliche Stelle multipliziert die Dauer mit z (bei 94 Zeichen also mit 94). Und die Länge wirkt stärker als die Komplexität: 15 Kleinbuchstaben sind sicherer als 8 beliebige Zeichen. Die Rechnung gilt nur für echte Zufallspasswörter; ein Wort aus dem Wörterbuch fällt viel schneller. Ein langsames Hashverfahren senkt v um viele Zehnerpotenzen, eine Sperre nach Fehlversuchen verhindert das Durchprobieren direkt an der Anmeldemaske.

Ein Passwort beurteilen

Um aus mehreren Vorschlägen das sicherste Passwort zu bestimmen, prüfst Du der Reihe nach: Ist es ein Wort, ein Name oder eine einfache Abwandlung (z. B. P@ssw0rt)? Folgt es einem Muster (Tastaturreihe, Zahlenfolge, Datum)? Wie lang ist es, und wie viele Zeichenarten nutzt es? Kennwort oder Abc123+ scheiden schnell aus; eine lange, zufällige Zeichenfolge aus allen Zeichenarten oder eine lange Passphrase aus zufällig gewählten Wörtern ist am sichersten.

Passwortrichtlinien durchsetzen

Eine Passwortrichtlinie (Password Policy) legt verbindlich fest, welche Passwörter erlaubt sind und wie mit ihnen umgegangen wird. Typische Regeln:

• Mindestlänge (z. B. 12 Zeichen, für Administrationskonten mehr),
• erlaubte bzw. geforderte Zeichenarten oder ersatzweise eine größere Länge,
• keine Bestandteile des Benutzernamens oder des eigenen Namens, keine Wörter aus Wörterbüchern, keine trivialen Folgen,
• Abgleich mit einer Sperrliste bekannter bzw. geleakter Passwörter,
• Passwortchronik: alte Passwörter dürfen nicht wiederverwendet werden,
• Wechsel bei Verdacht auf Kompromittierung bzw. bei bekannt gewordenem Datenleck,
• Sperre des Kontos nach mehreren Fehlversuchen,
• Pflicht zum Wechsel des Startpassworts bei der ersten Anmeldung,
• eigenes Passwort für jeden Zugang, Nutzung eines Passwortmanagers.

Umsetzung per Gruppenrichtlinie

In Windows-Netzen mit Active Directory werden die Regeln zentral per Gruppenrichtlinie vorgegeben (Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Kontorichtlinien). Damit gelten sie sofort für alle Konten der Domäne, und Benutzer*innen können sie nicht umgehen.

Kennwort- und Kontosperrungsrichtlinien in Windows

Einstellung	Wirkung
Minimale Kennwortlänge	Mindestanzahl Zeichen (klassisch bis 14; in neueren Windows-Versionen lässt sich diese Grenze aufheben)
Kennwort muss Komplexitätsvoraussetzungen entsprechen	Zeichen aus mindestens drei von vier Zeichenarten, kein Kontoname und keine Teile des vollständigen Namens im Kennwort
Kennwortchronik erzwingen	Anzahl gemerkter alter Kennwörter, die nicht wieder benutzt werden dürfen
Maximales Kennwortalter	Kennwort läuft nach dieser Zeit ab (nach heutiger Empfehlung eher nicht setzen bzw. sehr lang)
Minimales Kennwortalter	verhindert, dass man das Kennwort sofort mehrfach ändert, um die Chronik zu umgehen
Kontosperrungsschwelle, Kontosperrdauer	Sperre nach z. B. 10 Fehlversuchen für z. B. 15 Minuten; bremst Durchprobieren an der Anmeldemaske

Weitere per Richtlinie umsetzbare Maßnahmen: Bildschirmsperre nach Inaktivität, Anmeldung mit Windows Hello for Business oder Smartcard, abweichende, strengere Regeln für Administrationskonten (feinkörnige Kennwortrichtlinien).

Eine Passwortregel als logischer Ausdruck

Wenn eine Anwendung Passwörter selbst prüft, wird die Richtlinie zu einer Bedingung mit logischen Operatoren. Ein Beispiel für die Regel „mindestens 15 Zeichen oder mindestens 10 Zeichen mit mindestens drei von vier Zeichenarten, und nicht auf der Sperrliste“ (mit den Wahrheitswerten gross, klein, ziffer, sonder für die vier Zeichenarten):

gueltig = NICHT gesperrt UND ( laenge >= 15 ODER ( laenge >= 10 UND dreiVonVier ) )

dreiVonVier = (gross UND klein UND ziffer) ODER (gross UND klein UND sonder)
              ODER (gross UND ziffer UND sonder) ODER (klein UND ziffer UND sonder)

„Drei von vier“ lässt sich auch zählen: Wahrheitswerte als 0 und 1 addieren und prüfen, ob die Summe mindestens 3 ist. Achte bei solchen Ausdrücken auf die Klammern: UND bindet stärker als ODER.

Warum ein Passwort allein nicht mehr reicht

Auch ein gutes Passwort ist „nur“ Wissen, und Wissen lässt sich abgreifen:

• Phishing: Gefälschte Anmeldeseiten oder Mails bringen Menschen dazu, ihr Passwort selbst einzugeben.
• Datenlecks und Credential Stuffing: Passwörter aus gehackten Diensten werden automatisiert bei anderen Diensten ausprobiert, weil viele Menschen Passwörter wiederverwenden.
• Rechenleistung: Grafikkarten und Cloud-Rechenzeit machen Brute-Force- und Wörterbuchangriffe auf kurze oder einfache Passwörter immer schneller.
• Schadsoftware: Keylogger und Info-Stealer lesen Eingaben und gespeicherte Passwörter aus.
• Social Engineering und Unachtsamkeit: Passwörter werden erraten (Geburtsdatum, Name des Kindes), am Telefon erfragt, auf Zetteln notiert oder über die Schulter mitgelesen.

Gemeinsam ist allen: Wer das Passwort kennt, ist für das System nicht von der berechtigten Person zu unterscheiden. Ein zweiter, unabhängiger Faktor schließt diese Lücke.

Mehr-Faktor-Authentifizierung

Bei der Zwei-Faktor-Authentifizierung (2FA) bzw. allgemein Mehr-Faktor-Authentifizierung (MFA) weist sich eine Person mit mindestens zwei unabhängigen Merkmalen aus unterschiedlichen Kategorien aus:

Manchmal werden zusätzlich der Ort (location, z. B. Standort oder Firmennetz) und das Verhalten (z. B. Tippverhalten) als Faktoren genannt; meist ergänzen sie aber nur die Risikobewertung.

Wichtig: Zwei Merkmale derselben Kategorie sind keine 2FA. Passwort plus Sicherheitsfrage sind beides Wissen und können gemeinsam abgefischt werden. Typische Kombinationen sind Bankkarte und PIN, Passwort und Code aus einer Authenticator-App, Smartcard und PIN oder Smartphone (Besitz), das mit Fingerabdruck entsperrt wird (Inhärenz).

Verfahren für den zweiten Faktor

Bei der Auswahl ist eine bewährte Regel, einen statischen Faktor (z. B. Passwort, das gleich bleibt) mit einem dynamischen Faktor zu kombinieren (z. B. Einmalcode, der nur kurz gilt, oder eine Signatur, die für jede Anmeldung neu erzeugt wird). Ein abgegriffener Code ist dann nach kurzer Zeit wertlos. Für Administrationszugänge sind phishing-resistente Verfahren wie FIDO2-Schlüssel oder Smartcards erste Wahl.

Vorteile und Grenzen

Vorteile der MFA:

• Ein gestohlenes, erratenes oder weitergegebenes Passwort reicht allein nicht mehr für die Anmeldung; das schützt gegen die meisten Formen des Identitätsdiebstahls.
• Die Sicherheit hängt weniger von der Qualität des Passworts ab.
• Angriffsversuche fallen auf, z. B. wenn jemand eine Push-Anfrage erhält, die er nicht ausgelöst hat.
• Viele Vorgaben und Versicherungen verlangen MFA für sensible Zugänge (Compliance).

Grenzen: mehr Aufwand bei jeder Anmeldung, geringere Akzeptanz, Kosten und Einrichtungsaufwand, Abhängigkeit von Gerät oder Mobilfunk, und es braucht ein sicheres Verfahren für den Fall, dass der zweite Faktor verloren geht (Wiederherstellungscodes, Identitätsprüfung beim Support).

Biometrie

Biometrische Verfahren messen ein Körpermerkmal und vergleichen es mit einem gespeicherten Muster (Template). Sie arbeiten mit Wahrscheinlichkeiten: Die Falschakzeptanzrate (FAR) gibt an, wie oft eine fremde Person fälschlich akzeptiert wird, die Falschrückweisungsrate (FRR), wie oft die berechtigte Person abgewiesen wird. Beide hängen voneinander ab: Wer strenger einstellt, weist öfter auch Berechtigte ab.

Biometrie aus Sicht der Nutzenden

aus Sicht der Nutzenden	Vorteile	Nachteile
Bedienung	einfach und schnell, nichts merken, nichts mitnehmen	Merkmal wird manchmal nicht erkannt (Verletzung, Handschuhe, Maske, Licht)
Bindung an die Person	kann nicht vergessen oder weitergegeben werden	kann nicht geändert werden, wenn es einmal kompromittiert ist
Privatsphäre	–	Bedenken wegen Datenschutz und Überwachung; biometrische Daten sind besonders schützenswert (Art. 9 DSGVO)

Aus Sicht der IT-Abteilung kommen Anschaffungskosten für Sensoren, Einrichtung und Schulung sowie die Frage hinzu, wo die Templates gespeichert werden. Am datenschutzfreundlichsten ist die Speicherung nur auf dem Gerät der Person (z. B. Fingerabdruck auf dem Smartphone, der einen Schlüssel freigibt), nicht in einer zentralen Datenbank.

Passkeys: Anmeldung ohne Passwort

Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar (Standard FIDO2/WebAuthn): Der private Schlüssel bleibt auf dem Gerät der Person (Smartphone, Notebook, Passwortmanager oder Sicherheitsschlüssel), der Dienst speichert nur den öffentlichen Schlüssel. Bei der Anmeldung signiert das Gerät eine Zufallszahl des Dienstes; entsperrt wird es mit Fingerabdruck, Gesicht oder Geräte-PIN. Vorteile: Es gibt nichts, was man sich merken, eintippen oder auf einer gefälschten Seite verraten könnte (der Passkey ist an die echte Adresse gebunden); ein Datenleck beim Dienst liefert nur öffentliche Schlüssel; die Einrichtung ist einfach. Ein Passkey kombiniert Besitz (Gerät) und Inhärenz oder Wissen (Entsperrung) und gilt daher selbst als Mehr-Faktor-Verfahren. Den Ablauf zeigt der Artikel Authentifizierung und Autorisierung und als Sequenzdiagramm die Übung zum Passkey.

Geräte und Netzzugang authentifizieren

Nicht nur Menschen, auch Geräte müssen sich ausweisen: am WLAN, am Switch-Port, am VPN-Gateway oder untereinander.

Pre-Shared Key: ein gemeinsames Geheimnis

Bei einem Pre-Shared Key (PSK) wird vorab auf beiden Seiten (z. B. Access Point und Client, oder beiden VPN-Gateways) derselbe Schlüssel hinterlegt. Beim Verbindungsaufbau beweisen sich die Partner gegenseitig, dass sie ihn kennen, ohne ihn im Klartext zu übertragen (z. B. über Hashwerte bzw. abgeleitete Schlüssel). Stimmt das Ergebnis überein, gelten sie als authentifiziert.

Problem: Alle teilen denselben Schlüssel. Verlässt jemand das Unternehmen oder geht ein Gerät verloren, muss der Schlüssel überall geändert werden, und einzelne Personen oder Geräte lassen sich weder einzeln sperren noch protokollieren. Zertifikate sind dagegen individuell (je Person bzw. Gerät), zeitlich befristet, einzeln widerrufbar, enthalten sehr lange Schlüssel, können auf Smartcards oder Token liegen und erlauben über eine Zertifizierungsstelle (CA) die Authentifizierung beider Seiten. Mehr dazu in den Artikeln WLAN und VPN.

IEEE 802.1X: jede Anmeldung einzeln prüfen

Mit IEEE 802.1X (portbasierte Netzwerkzugangskontrolle, Network Access Control, NAC) meldet sich jede Person bzw. jedes Gerät einzeln an, bevor ein Switch-Port oder WLAN Daten durchlässt:

Den Ablauf einer Anmeldung mit Gerätezertifikat (EAP-TLS) zeigt das Sequenzdiagramm: Bis zur Zusage des RADIUS-Servers lässt der Switch am Port nur EAP-Nachrichten durch.

Zwei typische Fälle:

• Firmengerät mit Zertifikat (EAP-TLS): Damit eine neue Workstation ins Netz darf, wird ihr Gerätezertifikat im RADIUS-Server hinterlegt bzw. von einer dort als vertrauenswürdig eingetragenen Zertifizierungsstelle ausgestellt und als zulässig markiert. Eine Freigabe nur anhand der MAC-Adresse (MAC Authentication Bypass) ist keine 802.1X-Authentifizierung und leicht zu fälschen.
• Privates Gerät der Beschäftigten: Private Geräte bekommen kein Firmenzertifikat. Man richtet eine eigene Gäste- bzw. BYOD-SSID ein, die per VLAN und Firewall nur ins Internet führt, und legt im RADIUS-Server Benutzername und Passwort (bzw. Gastzugänge) für diese Personen an, ggf. mit Zuweisung des Gast-VLANs.

Weitere Möglichkeiten, sich am Netz zu authentifizieren: Benutzername und Passwort gegen einen RADIUS-Server, Zertifikate bzw. asymmetrische Kryptografie, Kerberos in Windows-Domänen, VPN mit Zertifikat und zweitem Faktor sowie Captive Portals für Gäste.

Geräte miteinander koppeln

Auch zwei Geräte, die sich direkt verbinden (z. B. Smartphone und E-Scooter per Bluetooth, Tablet und Etikettendrucker), müssen sich gegenseitig authentifizieren. Übliche Verfahren: PIN-Eingabe bzw. Zahlenvergleich auf beiden Geräten, Schlüssel per QR-Code (das Gerät zeigt oder trägt einen Code, die App scannt ihn und übernimmt den Schlüssel), NFC durch Antippen oder eine Kopplungstaste, die nur kurz ein Zeitfenster öffnet. Wichtig ist, dass der Schlüssel nicht unbemerkt von Dritten mitgelesen werden kann und keine Standard-PIN wie 0000 verwendet wird.

Verwaltungsoberflächen und Admin-Zugänge schützen

Verwaltungsoberflächen (Onlineshop-Backend, Router, Firewall, Hypervisor) sind ein bevorzugtes Ziel, weil ein erfolgreicher Angriff dort volle Kontrolle bringt. Maßnahmen:

• Erreichbarkeit beschränken: Webserver bzw. Firewall lassen die Oberfläche nur aus bestimmten IP-Adressbereichen bzw. Subnetzen des Unternehmens zu (Allow-List), oder sie ist nur über das VPN bzw. ein eigenes Managementnetz erreichbar, nicht aus dem Internet.
• Gerät ausweisen: Zugriff nur mit Client-Zertifikat (gegenseitiges TLS), das nur auf Firmengeräten installiert ist.
• Person ausweisen: persönliche Konten statt Sammelkonten wie admin, starke Passwörter und MFA, möglichst phishing-resistent.
• Weitere Härtung: Standardkonten deaktivieren, Sperre nach Fehlversuchen, Protokollierung der Anmeldungen, getrennte Admin-Konten nur für Verwaltungsaufgaben.

Ein gemeinsames Passwort für alle ist kein Schutz: Es verbreitet sich, lässt sich nicht einzeln entziehen, und niemand weiß hinterher, wer was getan hat.

Auch Schnittstellen (APIs) brauchen diesen Schutz. Gegen unbefugten Zugriff helfen Zugangskontrolle (Authentifizierung mit Schlüssel bzw. Token, MFA bei der Registrierung, strenge Passwortregeln), Zugriffskontrolle (Berechtigungskonzept: wer darf welchen Endpunkt mit welcher Methode aufrufen) und Weitergabekontrolle (TLS-Verschlüsselung, keine Passwörter in Antworten).

Zentrale Benutzerverwaltung und Identity- and Access-Management

Zentrale Benutzerverwaltung

Statt auf jedem Gerät eigene lokale Konten zu pflegen, werden Benutzer*innen, Gruppen und Geräte in einem Verzeichnisdienst verwaltet (z. B. Active Directory, LDAP-Verzeichnis, Cloud-Verzeichnis). Rechner, Server, WLAN (über RADIUS) und Anwendungen fragen bei der Anmeldung dort nach. Vorteile:

• Jede Person hat ein Konto für alle angebundenen Systeme; Passwortregeln und MFA gelten überall gleich.
• Neue Beschäftigte, Rollenwechsel und Austritte werden an einer Stelle gepflegt; wird ein Konto gesperrt, ist es sofort auf allen Systemen gesperrt.
• Rechte werden über Gruppen vergeben statt einzeln auf jedem Gerät; das ist übersichtlicher und weniger fehleranfällig.
• Anmeldungen werden zentral protokolliert, und Geräte wie Mini-Computer oder Kassen lassen sich ohne lokale Sammelkonten betreiben.

Nachteil: Der Verzeichnisdienst wird zum zentralen Ziel und muss hochverfügbar und besonders gut geschützt sein.

Identity- and Access-Management (IAM)

Identity- and Access-Management ist der übergreifende Rahmen aus Prozessen, Regeln und Werkzeugen für digitale Identitäten und Zugriffsrechte:

Identity-Management und Access-Management

	Identity-Management	Access-Management
Frage	Wer ist die Person bzw. das Gerät?	Worauf darf die Identität zugreifen?
Inhalt	Anlegen und Pflegen digitaler Identitäten mit Anmeldedaten, Profil und Attributen (Abteilung, Rolle, Vertragsende); Prüfung der Echtheit bei der Anmeldung	Vergabe, Prüfung und Entzug von Berechtigungen auf Systeme, Daten und Funktionen anhand von Rollen und Regeln
Beispiele	Verzeichnisdienst, Single Sign-on, MFA, Self-Service für Passwortänderung	Rollenkonzept (RBAC), Gruppen, Freigaben, Genehmigungsworkflow, Rezertifizierung

Gemeinsames Ziel: Nur die richtigen Personen erhalten zur richtigen Zeit genau die Zugriffe, die sie für ihre Aufgabe brauchen, und das nachvollziehbar. So werden sensible Informationen geschützt, indem Nutzende zuverlässig identifiziert und ihre Rechte gesteuert werden.

Ein IAM verwaltet den Lebenszyklus einer Identität, oft beschrieben als Joiner – Mover – Leaver:

• Eintritt (Joiner): Konto anlegen, Rollen nach Stelle zuweisen, zweiten Faktor einrichten,
• Wechsel (Mover): neue Rechte hinzufügen und alte entziehen (sonst sammeln sich Rechte an),
• Austritt (Leaver): Konto am letzten Arbeitstag sperren, Token und Karten einziehen, Zutrittsrechte löschen,
• regelmäßige Überprüfung (Rezertifizierung): Vorgesetzte bestätigen, dass die Rechte noch gebraucht werden.

Bei Veranstaltungen oder in Einrichtungen mit Besucher*innen gehören auch kurzlebige Identitäten dazu, etwa Tickets oder Gastzugänge, die nach dem Ereignis automatisch ablaufen.

Anmeldeverfahren auswählen

Wer ein Verfahren für ein Unternehmen auswählt, wägt Sicherheit, Kosten, Akzeptanz und Betrieb ab:

Anmeldeverfahren aus Sicht der IT-Abteilung

Verfahren	Vorteil aus Sicht der IT-Abteilung	Nachteil aus Sicht der IT-Abteilung
Benutzername und Passwort	einfach, kostengünstig, überall unterstützt	unsicher (Phishing, Wiederverwendung), viele Anfragen zum Zurücksetzen
MFA mit Authenticator-App	deutlich sicherer, keine zusätzliche Hardware, leicht integrierbar	höherer Anmeldeaufwand, Akzeptanzprobleme, ggf. Nutzung privater Smartphones, Einrichtungsaufwand
Hardware-Token (FIDO2)	höchste Sicherheit, phishing-resistent, unabhängig von privaten Geräten	Kosten, Verteilung und Ersatzbeschaffung zeitaufwendig, Token kann vergessen werden
Biometrie (z. B. Windows Hello)	bequem, schnell, hohe Akzeptanz	Sensoren nötig, Datenschutzfragen, Rückfallverfahren bei Fehlerkennung
Passkeys	phishing-resistent, kein Passwort-Reset mehr, einfach	noch nicht von allen Anwendungen unterstützt, Wiederherstellung bei Geräteverlust planen

Für jedes Verfahren braucht es einen Notfallzugang (z. B. versiegelt hinterlegte Zugangsdaten für den Ausfall des Verzeichnisdienstes) und einen sicheren Prozess für verlorene Faktoren.

Typische Fehler

• Zutritt, Zugang und Zugriff verwechseln: Eine Bürotür mit Kartenleser regelt den Zutritt, nicht den Zugriff auf Dateien.
• Zwei Passwörter für 2FA halten: Zwei Merkmale derselben Kategorie sind keine Zwei-Faktor-Authentifizierung.
• Passwörter im Klartext oder mit schnellem Hash speichern: Ein Datenleck verrät dann alle Passwörter bzw. lässt sie schnell knacken.
• Komplexität statt Länge fordern: Sommer2026! erfüllt viele Regeln und steht trotzdem in jeder Angriffsliste.
• Passwort alle 90 Tage erzwingen: führt zu Mustern und Zetteln; besser Wechsel bei Verdacht, Sperrliste und MFA.
• Ein gemeinsames Admin-Konto: Niemand ist verantwortlich, und beim Austritt einer Person muss das Passwort überall geändert werden.
• MAC-Filter als Authentifizierung ansehen: MAC-Adressen lassen sich fälschen; 802.1X prüft Zertifikate oder Anmeldedaten.
• Rechte beim Abteilungswechsel nicht entziehen: Mit der Zeit haben Langjährige mehr Rechte als nötig.

Leitfragen

1. Wodurch unterscheiden sich Zutritts-, Zugangs- und Zugriffsschutz? Nenne je ein Beispiel. Antwort

Zutrittsschutz regelt den räumlichen Zutritt zu IT-Systemen (z. B. Schließsystem mit Karte), Zugangsschutz die Nutzung eines Systems, also die Anmeldung (z. B. Benutzerkonto mit Passwort und MFA), Zugriffsschutz die Rechte innerhalb des Systems (z. B. Berechtigungskonzept, Freigaben). Siehe Abschnitt „Zutritt, Zugang, Zugriff“.

2. Wie läuft eine passwortbasierte Anmeldung ab, und warum wird das Passwort nur als Hashwert gespeichert? Antwort

Das System sucht den Benutzernamen, bildet aus dem eingegebenen Passwort und dem Salt einen Hashwert und vergleicht ihn mit dem gespeicherten; bei Übereinstimmung ist die Person authentifiziert. Aus dem Hashwert lässt sich das Passwort nicht zurückrechnen; ein Datenleck verrät also keine Klartextpasswörter. Langsame Verfahren wie Argon2 oder bcrypt bremsen das Durchprobieren. Siehe Abschnitt „So läuft eine Anmeldung mit Passwort ab“.

3. Welche Kriterien hat ein sicheres Passwort, und warum ist Länge wichtiger als Komplexität? Antwort

Lang, großer Zeichenvorrat, keine Wörter, Namen oder Muster, einmalig je Dienst, nicht in Leak-Listen, geheim gehalten. Die Zahl der Kombinationen ist z^n: Jede zusätzliche Stelle multipliziert sie mit dem Zeichenvorrat, während mehr Zeichenarten nur die Basis etwas vergrößern. 15 zufällige Kleinbuchstaben sind daher sicherer als 8 beliebige Zeichen. Siehe Abschnitt „Was ein sicheres Passwort ausmacht“ und Brute-Force-Rechnung.

4. Welche Regeln gehören in eine Passwortrichtlinie, und wie setzt Du sie in einem Windows-Netz durch? Antwort

Mindestlänge, ggf. Zeichenarten, keine Namensbestandteile oder Wörter, Sperrliste, Passwortchronik, Kontosperre nach Fehlversuchen, Wechsel bei Kompromittierung, Startpasswort ändern. Durchgesetzt werden sie zentral per Gruppenrichtlinie (Kontorichtlinien: minimale Kennwortlänge, Komplexität, Kennwortchronik, Kontosperrungsschwelle). Siehe Abschnitt „Passwortrichtlinien durchsetzen“.

5. Warum gilt eine Anmeldung nur mit Benutzername und Passwort als zunehmend unsicher? Antwort

Passwörter werden per Phishing abgegriffen, aus Datenlecks wiederverwendet (Credential Stuffing), mit steigender Rechenleistung schneller geknackt, von Schadsoftware mitgelesen oder durch Social Engineering erraten. Wer das Passwort kennt, ist für das System nicht von der berechtigten Person zu unterscheiden. Siehe Abschnitt „Warum ein Passwort allein nicht mehr reicht“.

6. Was ist eine Zwei-Faktor-Authentifizierung, welche Faktoren gibt es, und wie wählst Du zwei davon aus? Antwort

Nachweis der Identität mit zwei unabhängigen Merkmalen aus unterschiedlichen Kategorien: Wissen (Passwort, PIN), Besitz (Token, Smartcard, Smartphone), Inhärenz (Fingerabdruck, Gesicht), ggf. Ort. Sinnvoll ist ein statischer Faktor (Passwort) plus ein dynamischer (Einmalcode, Signatur), für Admin-Zugänge möglichst phishing-resistent (FIDO2-Schlüssel, Smartcard). Siehe Abschnitt „Mehr-Faktor-Authentifizierung“.

7. Welche Vor- und Nachteile haben biometrische Verfahren, und was ist ein Passkey? Antwort

Biometrie ist bequem, immer dabei und an die Person gebunden, kann aber fehlschlagen, ist nicht änderbar und berührt besonders geschützte Daten. Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar: Der private Schlüssel bleibt auf dem Gerät, der Dienst kennt nur den öffentlichen; das ist phishing-resistent und erfordert kein Merken. Siehe Abschnitt „Biometrie“ und „Passkeys“.

8. Wie unterscheiden sich PSK und IEEE 802.1X, und was richtest Du im RADIUS-Server für ein Firmengerät bzw. ein Privatgerät ein? Antwort

Beim PSK teilen alle ein Geheimnis; einzelne Personen oder Geräte lassen sich nicht sperren. Bei 802.1X weist sich jeder Supplicant einzeln beim Authentication Server (RADIUS) aus; der Authenticator (Switch, AP) gibt den Port erst danach frei. Firmengerät: Gerätezertifikat im RADIUS-Server hinterlegen bzw. zulassen (nicht MAC-basiert). Privatgerät: eigene Gäste-SSID ohne Zugriff auf Firmendaten und Benutzername mit Passwort im RADIUS-Server. Siehe Abschnitt „Geräte und Netzzugang authentifizieren“.

9. Wie schützt Du eine Verwaltungsoberfläche, und was bringt eine zentrale Benutzerverwaltung? Antwort

Nur aus Firmen-IP-Bereichen oder über VPN erreichbar, Client-Zertifikat, persönliche Konten mit MFA statt Sammelkonto. Eine zentrale Benutzerverwaltung bündelt Konten, Regeln und Rechte an einer Stelle: ein Konto für alle Systeme, sofortige Sperre beim Austritt, Rechte über Gruppen, zentrale Protokollierung. Siehe Abschnitt „Verwaltungsoberflächen“ und „Zentrale Benutzerverwaltung“.

10. Was unterscheidet Identity- und Access-Management, und welches Ziel verfolgen beide gemeinsam? Antwort

Identity-Management klärt, wer jemand ist (Identität, Anmeldedaten, Attribute, Echtheitsprüfung), Access-Management, worauf diese Identität zugreifen darf (Rollen, Berechtigungen). Gemeinsam sorgen sie dafür, dass nur die richtigen Personen zur richtigen Zeit die nötigen Zugriffe haben, und schützen so sensible Informationen. Siehe Abschnitt „Identity- and Access-Management“.

Links und weitere Informationen

• Übungsaufgaben zu Passwörtern, MFA und Zugangskontrolle

• Schutzziele, Schwachstellen und Sicherheitsrisiken

• Authentifizierung und Autorisierung: Mehr-Faktor, Passwort-Reset, Single Sign-on und OAuth2

• Kryptografie (Hashfunktionen, Zertifikate)

• WLAN planen und absichern (802.1X und RADIUS im WLAN)

• UML-Sequenzdiagramm: Übung zur Anmeldung mit Passkey

• als Nachschlagewerk: BSI: Sichere Passwörter erstellen

• als Nachschlagewerk: BSI: Zwei-Faktor-Authentisierung

• zur Vertiefung: NIST SP 800-63B-4: Authentication and Authenticator Management

---

Hinweis zur Nachnutzung als Open Educational Resource (OER)

Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Passwörter, Mehr-Faktor-Authentifizierung und Zugangskontrolle” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/passwort-mfa veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/schutzmassnahmen. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.

[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]