Elektronische Authentifizierung

Was ist elektronische Authentifizierung?

Elektronische Authentifizierung ist der Prozess, durch den auf elektronischem Weg überprüft wird, ob ein Benutzer, eine Organisation, ein Gerät oder eine digitale Nachricht mit der Identität oder Quelle verbunden ist, die sie vorgibt zu sein. Im E-Commerce und in der Logistik hilft sie festzustellen, wer auf ein Händlerkonto zugreift, Versandinformationen übermittelt, eine Verbindung zu einem Geschäftssystem herstellt oder eine elektronische Transaktion genehmigt. Authentifizierung liefert Nachweise über Identität oder Herkunft; sie stellt jedoch nicht allein fest, dass eine Bestellung legitim ist, dass Waren einer Beschreibung entsprechen oder dass eine Sendung zugestellt wurde.

Der Begriff hat in den Bereichen Informationssicherheit und Recht des elektronischen Geschäftsverkehrs verwandte, aber unterschiedliche Bedeutungen. In digitalen Identitätssystemen bedeutet Authentifizierung normalerweise die Überprüfung, dass ein Anspruchsteller einen mit einem Konto verbundenen Authentifikator kontrolliert. In elektronischen Dokumenten-Workflows kann er sich allgemeiner auf die Feststellung des Ursprungs oder der Authentizität eines Datensatzes beziehen, manchmal unter Verwendung elektronischer Signaturen oder kryptografischer Verfahren. Die beabsichtigte Bedeutung hängt daher davon ab, was authentifiziert wird und welcher technische oder rechtliche Rahmen gilt.

Rolle im E-Commerce und in der Logistik

Elektronische Authentifizierung findet an den Stellen statt, an denen Menschen und Systeme Anweisungen austauschen, auf Informationen zugreifen oder Aktionen genehmigen. Sie unterstützt die Vertrauensbeziehungen rund um eine Bestellung und nicht die physische Bewegung der Waren selbst. Ein Händler, Lagerbetreiber, Frachtführer, Zollagent und Kunde können während derselben Transaktion jeweils mit unterschiedlichen Authentifizierungssystemen interagieren.

Beispielsweise kann sich ein Lagermitarbeiter authentifizieren, bevor er auf eine Bestandsanwendung zugreift. Die Software eines Händlers kann sich authentifizieren, wenn sie über eine Programmierschnittstelle oder API Versandetiketten anfordert. Ein Unternehmensvertreter kann eine elektronische Signatur verwenden, wenn er ein Handelsdokument genehmigt. Diese Aktivitäten umfassen unterschiedliche Nachweise und Kontrollen, auch wenn sie alle Teil eines elektronisch authentifizierten Workflows sein können.

Dies sind beispielhafte Anwendungen und keine allgemeingültige Liste von Anforderungen. Die geeignete Methode hängt von den Folgen eines unbefugten Zugriffs, den beteiligten Parteien und den jeweils geltenden vertraglichen oder regulatorischen Anforderungen ab.

Wie elektronische Authentifizierung funktioniert

1. Einrichten des Kontos oder der Vertrauensbeziehung

Damit ein Authentifizierungsereignis sinnvoll sein kann, benötigt ein System eine Grundlage, um den Anspruchsteller zu erkennen. Dies kann das Erstellen eines Kontos, die Prüfung von Identitätsnachweisen, die Registrierung einer Organisation oder die Ausstellung von Zugangsdaten für eine Softwareanwendung umfassen. Identitätsprüfung und Authentifizierung sind getrennte Aktivitäten: Bei der Identitätsprüfung wird festgestellt, wer ein Antragsteller ist, während bei der anschließenden Authentifizierung die Kontrolle über einen mit dieser Identität oder diesem Konto verbundenen Authentifikator überprüft wird.

Nicht jedes Geschäftskonto ist mit einer verifizierten rechtlichen Identität verknüpft. Ein System kann lediglich feststellen, dass derselbe Kontoinhaber zurückgekehrt ist. Diese Unterscheidung ist wichtig, wenn ein Unternehmen Nachweise über die Identität oder Befugnis einer Person benötigt, ein Unternehmen zu vertreten, statt lediglich die Kontinuität des Kontozugriffs festzustellen.

2. Verknüpfen eines Authentifikators

Ein Authentifikator wird mit dem Konto oder der Identität verknüpft. Beispiele sind ein Passwort, ein kryptografischer Schlüssel oder ein Gerät, das zur Erzeugung von Authentifizierungsantworten verwendet wird. Der Registrierungs- und Verknüpfungsprozess ist wichtig, da ein starkes Authentifizierungsverfahren nur begrenzten Schutz bietet, wenn ein Angreifer seinen eigenen Authentifikator mit dem Konto einer anderen Person registrieren kann.

3. Vorlegen und Überprüfen von Nachweisen

Wenn Zugriff oder Genehmigung angefordert wird, legt der Anspruchsteller über das ausgewählte Authentifizierungsprotokoll Nachweise vor. Der Prüfer kontrolliert diese Nachweise. Je nach Verfahren kann dies die Prüfung eines aus einem Passwort abgeleiteten Werts, die Validierung einer einmaligen Antwort oder die Überprüfung einer kryptografischen Signatur über eine Abfrage umfassen. Ein gut konzipiertes Challenge-Response-Protokoll kann die Kontrolle über einen geheimen Schlüssel nachweisen, ohne den Schlüssel selbst zu übertragen.

4. Anwenden von Autorisierungsregeln

Auf eine erfolgreiche Authentifizierung folgt eine separate Entscheidung über Berechtigungen. Ein Lagerarbeiter darf möglicherweise Kommissionieraufgaben anzeigen, aber keine Auszahlungsdaten ändern. Eine Versandintegration darf möglicherweise Etiketten erstellen, aber keine Benutzer verwalten. Die Authentifizierung identifiziert das betreffende Konto oder den betreffenden Prinzipal; die Autorisierung bestimmt, welche Aktionen dieser Prinzipal ausführen darf.

5. Verwalten von Sitzungen und Änderungen

Nach der Authentifizierung kann ein System eine Sitzung aufrechterhalten, anstatt für jede Aktion eine erneute Anmeldung zu verlangen. Sitzungsschutz, Widerruf von Zugangsdaten, Kontowiederherstellung und der Austausch von Authentifikatoren bleiben wichtige Bestandteile des gesamten Prozesses. Eine sensible Aktion, wie die Änderung eines Erstattungsziels, kann eine erneute Authentifizierung erfordern, selbst wenn bereits eine aktive Sitzung besteht.

Authentifizierungsfaktoren und -verfahren

Bei menschlichen Benutzern werden Authentifizierungsfaktoren üblicherweise als etwas beschrieben, das eine Person weiß, besitzt oder ist. Diese Kategorien beschreiben die verwendeten Nachweise; sie bestimmen nicht automatisch die Sicherheit einer vollständigen Implementierung. Verbindungen zwischen Maschinen verwenden Verfahren wie gemeinsame Geheimnisse, kryptografische Schlüssel und Zertifikate, sollten jedoch nicht als identisch mit Anmeldeprozessen für Menschen betrachtet werden.

Die Multi-Faktor-Authentifizierung kombiniert unterschiedliche Authentifizierungsfaktoren. Zwei Passwörter stellen keine zwei verschiedenen Faktoren dar. Ebenso ist ein Workflow mit mehreren Bildschirmen nicht zwangsläufig eine Multi-Faktor-Authentifizierung. Entscheidend ist, ob der Prozess unabhängige Nachweisformen erfordert, nicht wie viele Schritte der Benutzer sieht.

Phishing-Resistenz ist eine weitere eigenständige Eigenschaft. Ein Verfahren kann mehrere Faktoren umfassen und dennoch einem Angreifer ermöglichen, Authentifizierungsnachweise weiterzuleiten oder abzufangen. Die Richtlinien zur digitalen Identität des NIST unterscheiden Authentifizierungsverfahren anhand ihrer Eigenschaften und Vertrauensanforderungen, anstatt alle Multi-Faktor-Verfahren als austauschbar zu behandeln.

Verwandte Begriffe und wichtige Unterscheidungen

Eine elektronische Signatur und ein elektronisches Authentifizierungsereignis können gleichzeitig auftreten, dienen jedoch unterschiedlichen Zwecken. Das Unterzeichnen kann die Genehmigung eines bestimmten Dokuments oder einer bestimmten Transaktion ausdrücken. Die Anmeldung bei einem Konto stellt den Zugriff gemäß den Authentifizierungsregeln dieses Kontos her. Eine Anmeldung allein weist nicht zwangsläufig nach, dass der Benutzer ein bestimmtes Dokument genehmigt hat.

Auch eine digitale Signatur muss innerhalb eines Vertrauensrahmens interpretiert werden. Eine erfolgreiche kryptografische Überprüfung zeigt, dass die Signatur einem bestimmten Schlüssel und den signierten Daten entspricht. Die Zuordnung dieses Schlüssels zu einer namentlich genannten Person, Organisation oder Stelle erfordert zusätzliche Nachweise, beispielsweise ein vertrauenswürdiges Zertifikat und geeignete Registrierungsverfahren.

Grenzüberschreitende Dokumente und rechtliche Bedeutung

Im grenzüberschreitenden Handel kann die elektronische Authentifizierung Kaufgenehmigungen, Versandanweisungen, Zollanmeldungen und andere elektronische Datensätze unterstützen. Die technische Überprüfung und die rechtliche Anerkennung sind jedoch getrennte Fragen. Ein Dokument kann eine technische Signaturprüfung bestehen, ohne alle für die jeweilige Transaktion geltenden Anforderungen zu erfüllen.

Das UNCITRAL-Modellgesetz über den elektronischen Geschäftsverkehr behandelt elektronische Datensätze und funktionale Entsprechungen papierbasierter Anforderungen. Das UNCITRAL-Modellgesetz über elektronische Signaturen bietet einen Rahmen für elektronische Signaturen und deren Zuverlässigkeit. Diese Modellgesetze sollen die Gesetzgebung unterstützen; sie sind nicht automatisch für jede internationale Transaktion verbindliche Regeln.

Bei einem bestimmten Handelsdokument gehören zu den relevanten Fragen, ob die empfangende Behörde das elektronische Format akzeptiert, ob der Unterzeichner befugt ist zu handeln, welche Signaturanforderungen gelten und ob der Datensatz wie vorgeschrieben aufbewahrt und reproduziert werden kann. Authentifizierung ersetzt keine Zollprüfung, legt keine Zolltarifklassifizierung fest und bescheinigt nicht die Richtigkeit einer Rechnung.

Praktische Bewertung und Grenzen von Nachweisen

Die Bewertung eines Authentifizierungs-Workflows erfordert mehr als die Prüfung, ob ein Passwort oder Verifizierungscode vorhanden ist. Die folgenden Fragen helfen dabei, festzulegen, welche Nachweise der Prozess tatsächlich liefert:

• Wer oder was wird authentifiziert? Unterscheiden Sie zwischen einer Person, einem Konto, einer Organisation, einer Anwendung, einem Gerät und der Quelle eines Dokuments.
• Wie wurde die behauptete Identität festgestellt? Ein per E-Mail registriertes Konto und ein identitätsgeprüfter Unternehmensvertreter liefern unterschiedliche Nachweise.
• Welche Aktion wird abgedeckt? Der Zugriff auf eine Tracking-Seite sollte nicht mit der Genehmigung zur Änderung einer Lieferadresse oder eines Zahlungsziels verwechselt werden.
• Wogegen ist das Verfahren resistent? Berücksichtigen Sie Phishing, Replay-Angriffe, den Diebstahl von Zugangsdaten und eine unbefugte Registrierung, statt sich nur auf die Anzahl der Anmeldeschritte zu verlassen.
• Wie werden Zugangsdaten wiederhergestellt oder ersetzt? Ein schwacher Wiederherstellungsweg kann eine ansonsten stärkere routinemäßige Authentifizierung untergraben.
• Kann der Zugriff widerrufen werden? Ausgeschiedene Mitarbeiter und eingestellte Integrationen sollten keinen unnötigen Zugriff behalten.
• Welche Nachweise werden aufbewahrt? Aufzeichnungen sollten zwischen Authentifizierung, Autorisierung, Dokumentgenehmigung und anschließenden Geschäftsaktionen unterscheiden.

Authentifizierungsprotokolle können eine Untersuchung unterstützen, beweisen jedoch nicht automatisch, dass eine bestimmte Person eine Aktion ausgeführt hat. Gemeinsame Konten, kompromittierte Geräte, gestohlene Sitzungen und delegierter Zugriff können die Zuordnung erschweren. Ebenso liefert die Eingabe eines Zustellcodes durch einen Kunden Nachweise, die durch den jeweiligen Zustell-Workflow definiert sind, und keine uneingeschränkte Garantie hinsichtlich der rechtlichen Identität des Empfängers oder des Zustands der Waren.

FAQ

Was bedeutet elektronische Authentifizierung im E-Commerce?

Sie bedeutet die Überprüfung elektronischer Nachweise, die mit einer behaupteten Identität oder Quelle verbunden sind, beispielsweise die Verifizierung einer Händleranmeldung oder der Zugangsdaten einer Anwendung. Sie unterstützt den kontrollierten Zugriff, validiert jedoch nicht unabhängig den zugrunde liegenden Kauf oder Versand.

Ist elektronische Authentifizierung dasselbe wie eine elektronische Signatur?

Nein. Bei der Authentifizierung wird eine behauptete Identität oder Quelle überprüft. Eine elektronische Signatur bezieht sich auf das Unterzeichnen eines Datensatzes und kann eine Genehmigung anzeigen. Eine Transaktion kann beides verwenden, aber das eine stellt nicht automatisch das andere fest.

Beweist die Authentifizierung, dass eine Sendung zugestellt wurde?

Nein. Sie kann Nachweise über ein an einer Zustellinteraktion beteiligtes Konto, Gerät oder eine beteiligte Person liefern. Die Zustellung selbst erfordert für die Sendung und den geltenden Zustellprozess relevante Nachweise.

Macht elektronische Authentifizierung ein Handelsdokument überall rechtsgültig?

Nein. Die rechtliche Anerkennung hängt vom geltenden Recht, den Dokumentanforderungen, der empfangenden Behörde und den Umständen der Transaktion ab. Die technische Authentifizierung allein klärt diese Fragen nicht.

Quellen

• NIST SP 800-63B-4: Richtlinien zur digitalen Identität — Authentifizierung und Verwaltung von Authentifikatoren — Konzepte der Authentifizierung, Faktoren, Verwaltung von Authentifikatoren, Phishing-Resistenz und Überlegungen zu Sitzungen.
• NIST SP 800-63A-4: Richtlinien zur digitalen Identität — Identitätsprüfung und Registrierung — Die Unterscheidung zwischen der Feststellung einer Identität und der anschließenden Authentifizierung eines Kontos.
• UNCITRAL-Modellgesetz über den elektronischen Geschäftsverkehr — Elektronische Datensätze, funktionale Gleichwertigkeit und der gesetzgeberische Kontext des elektronischen Geschäftsverkehrs.
• UNCITRAL-Modellgesetz über elektronische Signaturen — Konzepte elektronischer Signaturen, Zuverlässigkeit und die Unterscheidung zwischen einem modellgesetzlichen Rahmen und dem geltenden nationalen Recht.