Phishing-Angriffe minimieren und Benutzeranmeldungen schützen Kennwortlose Authentifizierung in Entra ID/Azure AD

Anbieter zum Thema

Mimecast Germany GmbH

Arctic Wolf Networks Germany GmbH

Microsoft ermöglicht mit Entra ID/Azure AD die kennwortlose Anmeldung, zum Beispiel über Windows Hello for Business, FIDO2-Schlüssel oder die Microsoft Authenticator-App. Dadurch lassen sich Benutzerkonten besser vor Phishing-Angriffen schützen.

Die Verwendung von kennwortlosen Anmeldemethoden ist ein durchaus passabler Schutz vor Phishing-Angriffen. Zwar kann es immer noch passieren, dass Anwender unberechtigten Personen Zugang zu ihren Systemen gewähren, ohne Kennwort-Anmeldungen ist das aber sehr viel schwerer. Kennwortlose Authentifizierungsmethoden eliminieren die Abhängigkeit von traditionellen Passwörtern. Diese stellen ein hohes Risiko dar, da sie durch Phishing-Angriffe relativ einfach abgefangen werden können.

Angreifer nutzen häufig gefälschte Anmeldeseiten, um Benutzer dazu zu verleiten, ihre Anmeldedaten preiszugeben. Bei kennwortlosen Methoden, wie biometrischer Authentifizierung, Sicherheitsschlüsseln oder der Authentifizierungs-App, basiert der Zugriff nicht auf einem Wissen, das preisgegeben werden kann, sondern auf einem Besitz oder einer Inhärenz, die deutlich schwerer zu kompromittieren sind. Dies erschwert es Angreifern erheblich, unbefugten Zugriff zu erlangen, da die Phishing-Versuche, die auf die Erlangung von Passwörtern abzielen, ineffektiv werden. Somit wird das Sicherheitsniveau deutlich erhöht und das Risiko von erfolgreichen Phishing-Angriffen minimiert.

Anmelden ohne Kennwörter

Passkeys statt Passwörter

Authentifizierungsmethoden in Entra ID steuern

Im Entra Admin Center, das Sie über entra.microsoft.com erreichen, können Admins über „Schutz -> Authentifizierungsmethoden“ steuern, wie sich Benutzer an Entra ID anmelden können. Das gilt auch für Unternehmen, die auf Microsoft 365 setzen. Hier ist die kostenlose Version von Azure AD/Entra ID enthalten, die den gleichen Schutz bietet. Bei „Richtlinien“ können Admins festlegen mit welchen Anmeldemethoden sich Benutzer anmelden dürfen. Hier lassen sich zum Beispiel die Microsoft Authenticator-App und FIDO2-Hardware-Schlüssel für die Anmeldung hinterlegen. Das Hinterlegen wird durch einen Assistenten unterstützt. Anwender können wiederum in ihrem Profil über die Seite https://myprofile.microsoft.com bei „Sicherheitsinformationen“ mit „Anmeldemethode hinzufügen“ den Sicherheitsschlüssel registrieren und sich fortan mit einem FIDO2-Schlüssel oder über die Authenticator-App anmelden.

Bildergalerie

Bildergalerie mit 7 Bildern

Implementierung von Windows Hello for Business für kennwortlose Anmeldung in Entra ID

Windows Hello for Business verbessert die Art und Weise, wie sich Benutzer an ihren Geräten und innerhalb von Entra ID authentifizieren, indem es die traditionellen Kennwörter durch eine sichere, zweifaktorielle Authentifizierungsmethode ersetzt. Diese Authentifizierung basiert auf einer Kombination aus einem Besitz (dem Gerät des Benutzers) und einer Inhärenz (biometrische Merkmale oder PIN). Um diese kennwortlose Authentifizierungsmethode zu implementieren, sind mehrere Schritte erforderlich.

Zuerst ist es notwendig, das Benutzergerät mit Azure AD/Entra ID zu verbinden. Diese Registrierung oder das Joinen des Geräts ermöglicht es der Organisation, das Gerät zu verwalten und sicherzustellen, dass die Sicherheitsrichtlinien eingehalten werden. Nachdem das Gerät erfolgreich registriert wurde, beginnt die Einrichtung von Windows Hello for Business.

Zero-Trust in Microsoft 365 und Azure umsetzen

Conditional Access und Richtlinien für mehr Schutz in der Microsoft-Cloud

Der Einrichtungsprozess umfasst die Verifizierung der Benutzeridentität mithilfe einer bestehenden Authentifizierungsmethode. Anschließend generiert das System sowohl ein asymmetrisches Schlüsselpaar als auch eine Benutzer-PIN oder nimmt die biometrischen Daten des Benutzers auf. Der private Schlüssel wird sicher auf dem Gerät gespeichert, während der öffentliche Schlüssel in Azure AD hinterlegt wird. Sobald Windows Hello for Business konfiguriert ist, können sich Benutzer durch eine einfache Aktion – wie einen Fingerabdruck, eine Gesichtserkennung oder die Eingabe einer PIN – anmelden, ohne ein Passwort eingeben zu müssen. Diese Methode bietet nicht nur eine höhere Sicherheit durch die zweifaktorielle Authentifizierung, sondern verbessert auch die Benutzerfreundlichkeit erheblich, da die komplexen und oft unsicheren Kennwörter entfallen.

Die Implementierung von Windows Hello for Business stellt somit einen wesentlichen Schritt dar, um die Sicherheit innerhalb einer Organisation zu stärken und gleichzeitig die Anmeldeerfahrung für Benutzer zu vereinfachen. Durch die Eliminierung von Kennwörtern und die Nutzung einer zweifaktoriellen Authentifizierung wird das Risiko von Phishing-Angriffen und anderen Sicherheitsbedrohungen signifikant reduziert.

Bildergalerie

Bildergalerie mit 7 Bildern

In Microsoft-Konten lassen sich bereits Kennwörter entfernen, in Entra ID noch nicht

In Entra ID lässt sich die Kennwortanmeldung für Benutzerkonten durch die Implementierung kennwortloser Authentifizierungsmethoden zwar effektiv ersetzen, jedoch ist das vollständige Entfernen oder Deaktivieren der Kennwortoption auf Benutzerebene nicht direkt vorgesehen, da Kennwörter immer noch eine grundlegende Rolle im Authentifizierungsprozess spielen, insbesondere in Szenarien, die eine Rückfalloption erfordern. Dennoch kann durch die Konfiguration von Richtlinien die Nutzung von Kennwörtern minimiert und die Sicherheit erhöht werden.

In den Einstellungen von Microsoft-Konten ist es bereits möglich die Kennwortanmeldung komplett auszuschalten. Dadurch ist sichergestellt, dass die Anmeldung nur noch über die Authenticator-App in Verbindung mit PINs erfolgt. Das geht in Azure AD/Entra ID wiederum über Windows Hello for Business.

(ID:49997842)