Mehr Schutz, weniger Sorgen:
Die Multi-Faktor-Authentifizierung bringt Vorteile für Plattform-Anbieter und Nutzer.
Benutzernamen und Passwort sind die bekannteste und am weitesten verbreitete Anmeldemethode (Authentifizierung) für Lernplattformen (LMS). Aber auch andere Authentifizierungsmethoden werden eingesetzt. Bei Hochschulen und in größeren Unternehmen wird der Zugang häufig über einen zentralen Login realisiert und die Lernplattform ist dann ohne zusätzliches Passwort erreichbar (Single Sign-On / SSO). Dazu sind auch Benutzername und Passwort notwendig, mit einem vorgelagerten System.
Passwörter bergen Sicherheitsrisiken
Linda, eine Schülerin an einem Berufsbildungszentrum, hat ein Sicherheitsproblem bekommen, weil sie ihr Passwort weitergegeben hat. Nachdem sie ihr Passwort zum Helfen bei einer Hausaufgabe einem Freund anvertraut hatte, wurde ihr Konto von jemand anderem unbefugt genutzt. Nicht nur einiges aus ihrer Lernhistorie und die Hausaufgabe selbst war verschwunden. Einige Tage später bemerkte sie, dass in ihrem Namen hässliche Nachrichten an Dozentinnen versendet wurden. Der Freund hatte seinen Laptop unbeaufsichtigt gelassen.
Der Vorfall verdeutlicht die Gefahren und Risiken von Passwörtern. Ist das Passwort unseriösen Personen bekannt, verliert man die Kontrolle über den Zugriff auf das eigene Konto. In Lindas Fall konnte jemand anderes auf ihr Konto zugreifen, hat vertrauliche Informationen eingesehen und sogar Schaden angerichtet.
Um solche Zwischenfälle zu vermeiden ist es ratsam, immer einzigartige und starke Passwörter zu verwenden, die regelmäßig geändert werden sollten. Darüber hinaus sollte man niemals Passwörter mit anderen teilen, auch nicht mit Freunden oder Bekannten. Stattdessen sollten alternative sichere Methoden, wie die Verwendung von sicheren Passwortmanagern, oder die Nutzung von Multi-Faktor- oder auch Zwei-Faktor-Authentifizierung (MFA, 2FA) in Erwägung gezogen werden, um die Sicherheit der eigenen Konten zu gewährleisten.
Linda hat aus dieser Erfahrung gelernt, wie wichtig es ist, ihre Passwörter geheim zu halten. Es ist entscheidend, sich der Folgen bewusst zu sein, die ein Weitergeben von Passwörtern haben kann. Aber ist Linda schuld – oder hat ein leichtfertig realisiertes Lernmanagementsystem dazu geführt?
Risiko Passwort
Wenn Benutzer schwache Passwörter wählen, die leicht zu erraten oder in alltäglichen Wörterbüchern zu finden sind, erhöht sich die Gefahr eines Passwort-Diebstahls erheblich.
Viele Menschen neigen dazu, dasselbe Passwort für mehrere Konten mit derselben E-Mail-Adresse zu verwenden. Wenn ein Angreifer Zugriff auf ein Konto erhält, kann er diese wiederverwendeten Passwörter auch für andere Konten verwenden.
Betrüger verwenden oft gefälschte E-Mails oder Websites, um Benutzer zur Preisgabe ihrer Passwörter zu verleiten. Diese Art von Angriffen ist leider häufig erfolgreich.
Bei einem Brute-Force-Angriff versucht ein Angreifer, sich Zugang zu einem Konto zu verschaffen, indem er systematisch verschiedene Kombinationen von Passwörtern ausprobiert. Je schwächer das Passwort ist, desto einfacher wird es für den Angreifer, das Konto zu knacken.
Leider sind Datenlecks, bei denen Benutzerdaten gestohlen werden, allgegenwärtig. Wenn ein Unternehmen oder eine Website, bei der ein Benutzer ein Konto hat, Opfer eines Datenlecks wird, kann das Passwort des Benutzers in falsche Hände geraten.
Wenn Benutzer ihre Passwörter unvorsichtig teilen oder anderen Personen Zugang zu ihren Konten gewähren, besteht die Gefahr des Missbrauchs durch Mitarbeiter oder Kollegen, die unbefugten Zugriff auf vertrauliche Informationen erhalten können.
Wenn ein Benutzer sein Passwort an eine nicht vertrauenswürdige Person weitergibt, besteht die Möglichkeit, dass diese es für schädliche Zwecke oder den unbefugten Zugriff auf andere Konten verwendet.
Wenn Passwörter über unsichere Kommunikationskanäle, wie unverschlüsselte E-Mails oder Messaging-Dienste, weitergegeben werden, besteht das Risiko, dass die Daten abgefangen und von einem Dritten verwendet werden.
Wenn ein Benutzer sein Passwort an eine andere Person weitergibt, verliert er die Kontrolle über den Zugang zu seinem Konto. Dies kann zu unbefugten Aktivitäten führen und die Verantwortlichkeit für alle Aktionen auf dem Konto beeinträchtigen.
Um diese Bedrohung zu verhindern, verwenden bereits viele große Anbieter die Möglichkeiten der Multi-Faktor-Authentifizierung.
Verantwortung nicht an die Nutzerinnen und Nutzer abwälzen
Das Problem ist bekannt und technisch längst gelöst. Die Lösungen sind im Prinzip auch allen IT-Verantwortlichen bekannt, aber einfach noch nicht bei allen im Alltag angekommen. Woran liegt das? IT-Verantwortliche zögern, die Multi-Faktor-Authentifizierung (MFA) verbindlich vorzuschreiben, aus verschiedenen Gründen:
- Viele nehmen an, die Einführung von MFA könnte die Nutzererfahrung beeinträchtigen und möglicherweise zu Frustration bei den Nutzern führen.
- Auch Bedenken hinsichtlich der Komplexität und Implementierung spielen eine Rolle, insbesondere, wenn es um ältere Systeme geht, die möglicherweise nicht gut mit MFA-Lösungen kompatibel sind.
- Überdies könnten Ressourcen- und Kostenbeschränkungen eine Rolle spielen, da das Implementieren von MFA zusätzliche Aufwendungen für Schulungen, Infrastruktur und Support zur Folge haben kann.
- Ebenso könnten die IT-Teams Bedenken haben, dass eine zu strenge Maßnahme, wie das Vorschreiben von MFA, die Nutzer dazu verleiten könnte, möglicherweise unsichere Workarounds zu verwenden, um die zusätzlichen Schritte zu umgehen.
- Daher müssen IT-Verantwortliche eine Abwägung zwischen Sicherheit und Benutzerfreundlichkeit finden, um die Akzeptanz und erfolgreiche Implementierung von MFA in ihrer Organisation zu fördern.
Für Webanwendungen gibt es verschiedene gängige Lösungen für die Multi-Faktor-Authentifizierung (MFA):
Bei dieser Methode wird dem Nutzer nach Eingabe seines Passworts eine Einmal-PIN (One-Time-Passcode) per SMS oder E-Mail zugesendet. Der Nutzer muss diesen Code eingeben, um den Anmeldevorgang abzuschließen. Dieser Ansatz ist einfach und weit verbreitet, erfordert jedoch eine zuverlässige Kommunikationsverbindung.
Das Verwenden einer MFA-App auf dem Smartphone ist eine beliebte Methode. Die App generiert Einmal-PINs basierend auf einem Algorithmus oder nutzt QR-Codes für die Anmeldung. Beispiele für solche Apps sind Google Authenticator, Microsoft Authenticator oder Authy.
Ein Hardware-Token ist ein physisches Gerät, das Einmal-PINs generiert. Der Benutzer trägt das Token bei sich und gibt den jeweiligen Code bei der Anmeldung ein. Diese Methode ist besonders sicher, da das Token physisch im Besitz des Nutzers ist, erfordert aber die Bereitstellung der Hardware an die Benutzer.
Diese Methode nutzt biometrische Merkmale wie Fingerabdrücke, Gesichtserkennung oder Retina-Scans zur Identifikation des Benutzers. Benutzer müssen ihre biometrischen Daten registrieren und zur Anmeldung verwenden. Diese Methode bietet eine hohe Benutzerfreundlichkeit, erfordert jedoch eine entsprechende Hardware-Unterstützung.
Universal 2nd Factor (U2F)-Schlüssel sind physische USB-Geräte, die zur Bestätigung der Anmeldung verwendet werden. Der Benutzer muss den U2F-Schlüssel in den USB-Anschluss stecken und eine Bestätigungstaste drücken. Diese Methode bietet eine hohe Sicherheit und ist weit verbreitet.
Jede dieser MFA-Lösungen bietet zusätzlichen Schutz und Sicherheit für Webanwendungen durch die Kombination von Passwörtern mit einem weiteren Faktor. Organisationen können je nach Bedürfnissen und Anforderungen die passende MFA-Lösung auswählen.
Fido2
Der FIDO2-Standard (Fast Identity Online 2.0) bietet eine fortschrittliche Methode der Authentifizierung und verbessert die Sicherheit von Online-Diensten und Webanwendungen. Hier sind einige Hauptmerkmale und Vorteile des FIDO2-Standards:
- Passwortloses Verfahren: Mit FIDO2 können Benutzer sich ohne die Verwendung eines Kennworts authentifizieren. Anstelle von Passwörtern werden kryptografische Schlüsselpaare verwendet, die sicher auf dem Gerät des Nutzers gespeichert sind.
- Unterstützung für verschiedene Authentifizierungsmethoden: Der FIDO2-Standard unterstützt verschiedene Authentifizierungsmethoden, einschließlich biometrischer Daten wie Fingerabdrücke oder Gesichtserkennung sowie physische Sicherheitstoken (z. B. Sicherheitsschlüssel oder Smartcards).
- Hohe Sicherheit und Schutz vor Phishing-Angriffen: FIDO2 bietet eine hohe Sicherheit, da die kryptografischen Schlüssel direkt auf dem Gerät des Nutzers erzeugt und gespeichert werden und somit nicht von einem Angreifer abgefangen werden können. Dadurch wird das Risiko von Phishing-Angriffen minimiert.
- Interoperabilität und breite Unterstützung: FIDO2 wird von einer breiten Palette von Geräteherstellern und Plattformen unterstützt. Dadurch wird eine erhöhte Interoperabilität und eine nahtlose Integration in verschiedene Systeme und Anwendungen gewährleistet.
- Skalierbarkeit: Der FIDO2-Standard ist skalierbar und kann in Unternehmen jeder Größe implementiert werden. Von Einzelpersonen bis hin zu großen Organisationen können alle von den verbesserten Sicherheitsfunktionen profitieren.
Insgesamt bietet der FIDO2-Standard eine moderne, sichere und benutzerfreundliche Methode der Authentifizierung, die die Abhängigkeit von Kennwörtern verringert und die Sicherheit von Online-Diensten deutlich verbessert.
Moodle mit FIDO2-Authentifizierung: Swissbit und lern.link machen Lernmanagement-System sicherer
Speicher- und Security-Spezialist Swissbit und die lern.link GmbH erhöhen die Sicherheit für Online-Lernplattformen. Ein erster wichtiger Schritt der Zusammenarbeit ist die Integration des FIDO2-Standards, über den sich Nutzer im Rahmen einer Multi-Faktor-Authentifizierung (MFA) sicher auf der Moodle-Plattform anmelden können. Auf Initiative beider Unternehmen und mit Unterstützung durch Swissbit wurde dafür das bereits etablierte Moodle Plugin für „Multi-factor authentication“ um FIDO2/WebAuthn erweitert. Es steht unter moodle.org/plugins/ zur Verfügung. Zertifizierten Moodle Service Providern wie lern.link ist es damit möglich, Anwendern wie Universitäten, Schulen oder Unternehmen eine Phishing-resistente Authentifizierung per Hardware-Sicherheitsschlüssel bzw. FIDO-Stick anzubieten. Kunden können die sichere Authentifizierungsmethode zukünftig direkt bei der Implementierung über das Subskriptionsmodell von lern.link im Paket mit dem Swissbit Sicherheitsschlüssel iShield Key Pro erwerben. Als Full-Service-Anbieter ist für lern.link das Thema Cybersicherheit von größter Bedeutung. Sie beginnt bei Online-Plattformen typischerweise bereits mit dem Login-Vorgang. Aus diesem Grund wandte sich das Unternehmen an Swissbit, um gemeinsam den etablierten FIDO2-Standard als zusätzliche MFA-Methode für Moodle verfügbar zu machen.
Unsere Investition
FIDO2 basiert auf der Verwendung von asymmetrischen Kryptosystemen und setzt auf Hardware-Sicherheitsschlüssel zur Authentifizierung. Für die Einbindung von FIDO2 als Login-Variante in Moodle haben lern.link und Swissbit sich für die Integration des Standards in das bereits bestehende Plugin für „Multi-factor authentication“ engagiert und das Anliegen finanziell unterstützt. Bei der Umsetzung wurde die Funktionalität zudem mit dem iShield Key Pro von Swissbit getestet und bestätigt. Das Plugin kann im Sinne der Plattformoffenheit von allen Moodle-Systemintegratoren und Entwicklern verwendet werden und steht in der Moodle Plugins Directory zur Verfügung.
lern.link-LMS und Swissbit iShield Key Pro im Bundle
Nachdem auf Initiative von lern.link und Swissbit die technische Voraussetzung für die Nutzung von FIDO2 auf Moodle geschaffen ist, arbeiten beide Unternehmen nun an einem Subskriptionsmodell. So können lern.link-Kunden in Zukunft den passenden Hardware-Sicherheitsschlüssel in Form des Swissbit iShield Key Pro direkt bei Beauftragung einer Moodle-Implementierung mitbestellen. Einzelheiten dazu werden im Vorfeld der MoodleMoot Global veröffentlicht. Die jährliche Konferenz der Moodle Community findet 2023 vom 18. bis 21. September in Barcelona statt.
Vorteile für Plattformanbieter und Nutzer
Plattformanbieter profitieren von der Implementierung der Multi-Faktor-Authentifizierung (MFA), da dies dazu beiträgt, Inhalte zu schützen und die Sicherheit für Nutzer zu verbessern. Hier sind einige Vorteile für Plattformanbieter durch MFA:
- Erhöhung der Kontosicherheit: Durch die Nutzung von MFA wird der Schutz der Nutzerkonten erheblich verbessert. Selbst wenn ein Benutzername und Passwort kompromittiert werden, ist der zusätzliche Faktor der Authentifizierung erforderlich, um auf das Konto zuzugreifen. Dies macht es für Angreifer deutlich schwieriger, unbefugten Zugriff zu erlangen.
- Reduzierung von Datendiebstahl und Betrug: MFA erschwert es Angreifern, den Zugang zu vertraulichen Informationen oder sensiblen Inhalten, z.B. auch kostenpflichtigen Kursen und Webinaren, zu erlangen. Selbst wenn ein Passwort kompromittiert wird, kann der Angreifer das Konto nicht ohne den zusätzlichen Authentifizierungsfaktor übernehmen.
- Schutz vor Leaks und unberechtigter Verbreitung von Passwörtern: Da MFA eine zusätzliche Sicherheitsschicht bietet, wird das Risiko des versehentlichen oder absichtlichen Weitergebens von Passwörtern durch Nutzer verringert. Sogar gestohlene oder durchgesickerte Passwörter sind nutzlos, wenn MFA aktiviert ist.
- Vertrauen der Nutzer: MFA schafft ein höheres Maß an Vertrauen bei den Nutzern, da sie wissen, dass ihre Konten und Informationen zusätzlich geschützt sind. Nutzer werden ermutigt, Plattformen zu verwenden, die zusätzliche Sicherheitsmaßnahmen wie MFA implementieren.
- Erfüllung von Sicherheitsstandards und -richtlinien: Viele Industrie- und Datenschutzstandards erfordern die Implementierung von MFA als zusätzliche Sicherheitsmaßnahme. Indem Plattformanbieter MFA bereitstellen, können sie den Anforderungen dieser Standards entsprechen und das Vertrauen ihrer Nutzer und Partner stärken.
Insgesamt bietet MFA Plattformanbietern die Möglichkeit, den Schutz sensibler Inhalte zu verstärken, das Vertrauen der Nutzer zu stärken, den Datenschutz zu gewährleisten und die Einhaltung geltender Sicherheitsstandards zu erreichen. Durch die Implementierung von MFA können Plattformanbieter ihre Plattformen widerstandsfähiger gegen Bedrohungen machen. Gleichzeitig verringern sie das Risiko von Sicherheitsverletzungen und Verlust von vertraulichen Informationen.
Haben Sie weitere Fragen zu unseren Sicherheitslösungen? Melden Sie sich gerne jederzeit unter info@lernlink.de oder rufen Sie an unter +49 8152 909090.
Wir freuen uns auf Sie! Ihr Team von lern.link
Integriertes Videohosting
Werten Sie Ihre Kurse in Moodle mit lebendigen Videos auf! Mit dem Videohosting-Feature für Moodle wird dieser Traum zur Realität!
Boost vs. Boost Union
Boost Union ist das jüngste und modernste Moodle-Theme und ergänzt die Boost Theme-Familie.
Es ist ein großer Schritt in Sachen Design, Konfiguration …
E-Learning für IT-Sicherheit: Ein umfassender Leitfaden
E-Learning für IT-Sicherheit: Ein umfassender Leitfaden In der heutigen digitalisierten Welt ist die Sicherheit von Informationen und Daten wichtiger denn je. Mit zunehmender Vernetzung steigt
