Neben den drei IT-Schutzzielen „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“, bildet „Authentizität“ eines der erweiterten Schutzziele. Oft wird dieses als übergeordnetes Ziel angesehen, da die anderen Schutzziele ohne Wert wären, wenn nicht gesichert ist, dass der Kommunikationspartner auch tatsächlich seiner Identität gerecht wird. In diesem Artikel beleuchten wir daher das IT-Schutzziel Authentizität genauer.
Der Inhalt im Überblick
Was versteht man unter dem Begriff Authentizität?
Unter Authentizität versteht man sowohl einen Identitätsnachweis als auch die Authentizität der eigentlichen Daten. Es gilt zu gewährleisten, dass ein Kommunikationspartner tatsächlich derjenige ist, der er vorgibt zu sein.
Im Falle von Informationen wird der Weg einer angegebenen Quelle bis zur Erstellung geprüft. Kann dieser nachvollzogen werden, wird hierdurch auch das Schutzziel „Vertrauenswürdigkeit“ gestützt. Gleichzeitig kann der Begriff „Authentizität“ nicht nur bei der Identifikation von Personen angewendet werden, sondern auch bei IT-Komponenten oder Anwendungen. Hier steht die „Authentizität“ in engem Zusammenhang mit dem IT-Schutzziel der „Integrität“.
Authentizität als Teilbereich der Integrität
In Bezug auf die IT-Sicherheit hat Integrität den Schutz von Daten vor Manipulation zum Ziel. Um z.B. die Integrität der Daten einer gesicherten Festplatte in der IT-Forensik zu gewährleisten, werden Sicherheitsmaßnahmen wie die Verwendung von Hashfunktionen genutzt. Diese verifizieren die Authentizität der Daten vom Moment der Sicherung bis über die Analyse hinaus. Die Einzigartigkeit eines Hashverfahrens wird an folgendem Beispiel eines SHA1-Hashs deutlich:
Vor Wut warf er den Monitor gegen die Wand
ac1bb7a60ac0b91932216a25357523a52359ab04
Vor Wut warf er den Laptop gegen die Wand
8ea0c6a7180a7d3f33630ac42132cdabea16da81
Neben dem Hashverfahren gibt es noch weitere Möglichkeiten, die Echtheit von Daten zu garantieren. Ein Beispiel ist das digitale Zertifikat.
Was ist ein digitales Zertifikat?
Ein digitales Zertifikat ist ein elektronischer Echtheitsnachweis, der die Identität einer Person, eines Rechners oder einer Organisation bescheinigt. Diese Zertifikate kommen bei verschiedenen Systemen, wie z.B. Netzwerkprotokollierung oder E-Mailverkehr, zum Einsatz. Gleichzeitig werden die Zertifikate benötigt, um digitale Signaturen zu erstellen. Die Zertifikate werden von einer Zertifizierungsstelle ausgestellt und sind in der Regel ein Jahr gültig. Mit Hilfe der Signaturen können so z.B. Anwendungen auf ihre Echtheit überprüft werden. Andere Wege, um Authentizität zu gewährleisten, sind Authentifizierungs- und Verschlüsselungstechniken.
Ende-zu-Ende Verschlüsselungen
Wie bereits erwähnt ist die Überprüfung der Echtheit des Absenders ein wesentlicher Bestandteil beim Schutz der Authentizität. Bei der Kommunikation via E-Mail oder Messenger werden dafür häufig Ende-zu-Ende Verschlüsselungen verwendet.
„So wird beispielsweise eine E-Mail vor dem Versand mit dem öffentlichen Schlüssel des Adressaten verschlüsselt und wird erst beim Empfang durch dessen zweiten passenden und geheimen Schlüssel geöffnet. […] Das asymmetrische Schlüsselpaar des Empfängers gewährleistet auf diese Weise die Vertraulichkeit der Nachricht.“ (BSI)
Die Wege eine Verschlüsselung sind hierbei vielfältig. Beispiele hierfür sind die symmetrische und asymmetrische Verschlüsselung.
Welche Folgen kann fehlende Authentizität haben?
Eine Vielzahl von Angriffsvektoren beruhen auf der Abwesenheit von Authentizität. Insbesondere bei der Kommunikation via E-Mail versuchen Angreifer durch Fälschen des Absenders Organisationen und deren Systemen Schaden zuzufügen. Folgende Angriffsmethoden werden durch fehlende Schutzmaßnahmen im Wesentlichen begünstigt:
- Phishing
- Man-in-the-Middle Attacke
- Spoofing
- Social Engineering
Die Abwesenheit von Authentizität führt in den meisten Fällen zu Problemen, die bereits durch eine kleinere Unaufmerksamkeit zu wesentlich größeren Schäden führen können.
Infolgedessen ist es ratsam die oben aufgeführten Maßnahmen zur Überprüfung und Absicherung der Echtheit einer Quelle bzw. Kommunikationspartners umzusetzen.
Authentizität als Schutzziel und Maßnahme
Wie dieser Artikel verdeutlicht, fungiert das IT-Schutzziel „Authentizität“ als übergeordnetes Ziel im Rahmen der IT-Sicherheit. Es ist entscheidend, die Identität einer Quelle oder Kommunikationspartners zu verifizieren und die Kommunikationswege so sicher wie möglich, bspw. mit Hilfe von Verschlüsselung und/oder Zertifikaten, zu gestalten. Hier zeigt sich wie die verschiedenen IT-Schutzziele ineinandergreifen und als Ganzes zur größtmöglichen Sicherheit beitragen.
