Bei der mehrstufigen Authentifizierung wird ein strengerer Identitätsnachweis erst dann verlangt, wenn das Risiko steigt, anstatt bei jeder Interaktion die gleiche Überprüfung durchzuführen. Ein Nutzer kann sich beispielsweise mit einer unkomplizierten Methode anmelden, um seinen Kontostand abzurufen, und muss dann eine strengere Überprüfung durchlaufen, bevor er einen Zahlungsempfänger hinzufügt oder eine größere Überweisung genehmigt.

Der Grund dafür ist, dass einheitliche Sicherheitsmaßnahmen entweder für die risikoreichsten Handlungen zu schwach oder für Routineaufgaben zu aufwendig sind – und in der Regel beides zugleich.

„Step-up“ unterscheidet sich von der Multi-Faktor-Authentifizierung, bei der mehr als ein Faktor zu einem bestimmten Zeitpunkt – in der Regel bei der Anmeldung – erforderlich ist. Es unterscheidet sich auch von der Re-Authentifizierung, bei der nach einer Inaktivitätsphase dieselben Anmeldedaten erneut eingegeben werden müssen; die Wiederholung eines schwachen Faktors bestätigt lediglich, dass derjenige, der die Anmeldedaten hatte, diese noch besitzt. „Step-up“ kann zudem das Sicherheitsniveauerhöhen.

Zu den üblichen Auslösern für eine verstärkte Authentifizierung zählen der Transaktionswert oder die Sensibilität der Transaktion – beispielsweise bei einem neuen Zahlungsempfänger oder einer Änderung der registrierten Daten –, Verhaltensabweichungen wie ein unbekannter Standort oder eine ungewöhnliche Uhrzeit, ein nicht erkanntes Gerät, die Wiederherstellung von Zugangsdaten und die erneute Bindung eines Geräts sowie externe Risikosignale wie das Auftauchen von Zugangsdaten in einer Datenpanne.

Die für den Step-Up verwendete Methode bestimmt dessen Wirksamkeit

Genau hier scheitern Eskalationsstrategien am häufigsten. Die Eskalation von einem Passwort zu einem Einmalcode mag wie eine Erhöhung der Sicherheit erscheinen, ist es aber häufig nicht. Der Grund dafür ist, dass derselbe Social-Engineering-Angriff, durch den das Passwort erlangt wurde, auch den Code erlangen kann, und ein an das gerade verwendete Gerät gesendeter Code bietet keine Trennung. Das Gleiche gilt für wissensbasierte Sicherheitsfragen: Der Wechsel zu einem gemeinsamen Geheimnnis bedeutet den Wechsel zu etwas, das ein Angreifer möglicherweise bereits besitzt.

Ein Step-up-Faktor ist nur dann sinnvoll, wenn er etwas gewährleistet, was der vorherige nicht geleistet hat, und in den risikoreichsten Momenten ist das fehlende Element der Mensch. Ein Passwort bestätigt, dass ein Geheimnis bekannt ist. Eine gerätegebundene Anmeldeinformation bestätigt, dass ein Gerät vorhanden ist. Keines von beiden bestätigt, wer tatsächlich da ist.

iProov unterstützt die verstärkte Authentifizierung durch flexibler Authentifizierungund wendet dabei innerhalb einer einzigen Integration unterschiedliche Sicherheitsstufen auf verschiedene Risikokontexte an.

Erfahren Sie mehr über die mehrstufige Authentifizierung

Artikel: Warum sollte man sich bei der zweistufigen Authentifizierung für die Gesichtsbiometrie entscheiden?
Dokumentationszentrum: Mehrstufige MFA
Presse: iProov bietet Mitarbeitern Identitätssicherung auf behördlichem Niveau