Eine Multi-Faktor-Authentifizierung bietet zusätzlichen Schutz

Beispiel 1: Einmalcode auf dem Dienst-Smartphone

Auf dem Dienst-Smartphone der jeweiligen Praxisangestellten wird eine Authenticator-App installiert. Nach der Eingabe von Benutzername und Passwort am Praxis-PC erzeugt die App einen zeitlich begrenzten Einmalcode (Time-based One-time Password, TOTP). Diesen Code gibt die Praxisangestellte zusätzlich am Praxis-PC ein.

Verfahren bei der Anmeldung am Praxis-PC

Kombination aus Benutzername + Passwort (erster Faktor am Praxis-PC) + Bestätigung in der Authenticator-App (zweiter Faktor auf dem Dienst-Smartphone)

Vorgehen im Praxisalltag

Eine Praxisangestellte meldet sich am Praxis-PC an, um mit dem Praxisverwaltungssystem zu arbeiten. Nach der Eingabe von Benutzername und Passwort öffnet sie die Authenticator-App auf ihrem Dienst-Smartphone, liest den angezeigten Einmalcode ab und gibt ihn am Praxis-PC ein.

Geeignet für

• Gemeinsam genutzte Arbeitsplätze wie Praxis-PCs, Tablets etc.

Vorteile

• Einfache Einrichtung
• Von vielen Anwendungen unterstützt
• Neben dem Praxis-PC und dem Dienst-Smartphone ist kein zusätzliches Gerät erforderlich

Zu beachten

• Für jeden Mitarbeitenden sollte ein eigenes Benutzerkonto eingerichtet werden.
• Die App sollte möglichst auf einem persönlich verwendeten Dienst-Smartphone genutzt werden.
• Bei Verlust oder Wechsel des Dienst-Smartphones muss die Authenticator-App auf dem Ersatzgerät oder dem neuen Dienst-Smartphone neu eingerichtet werden können.
• Wiederherstellungs- oder Notfallcodes sollten sicher aufbewahrt werden.

Beispiel 2: Push-Anfrage auf dem Dienst-Smartphone

Auch hier erfolgt der zweite Faktor auf dem Dienst-Smartphone. Allerdings muss die Praxisangestellte keinen Code ablesen und diesen dann am PC oder Tablet eingeben. Stattdessen muss sie eine Anmeldeanfrage bestätigen, beispielsweise „Anmeldung zulassen?“. Das ist komfortabler als Beispiel 1. Es birgt aber das Risiko, dass Anfragen aus Gewohnheit bestätigt werden, ohne sie genau zu prüfen. Deshalb sollten unerwartete Anfragen immer kritisch hinterfragt werden.

Verfahren bei der Anmeldung am Praxis-PC

Kombination aus Benutzername + Passwort (erster Faktor am Praxis-PC) + Push-Bestätigung (zweiter Faktor auf dem Dienst-Smartphone)

Vorgehen im Praxisalltag

Eine Praxisangestellte führt einen Hausbesuch durch und möchte mit ihrem Dienst-Tablet auf die Patientendokumentation zugreifen. Nach der Eingabe von Benutzername und Passwort erscheint auf ihrem mitgeführten Dienst-Smartphone eine Meldung mit der Frage „Anmeldung zulassen?“. Erst nachdem sie die Anfrage bestätigt hat, wird der Zugriff freigegeben.

Geeignet für

• Gemeinsam genutzte Arbeits-PCs, Tablets etc.
• Praxisverwaltungssoftware und andere Anwendungen, wenn damit mehrere Personen arbeiten

Vorteile

• Einfache Bedienung
• Keine Eingabe von Codes erforderlich

Zu beachten

• Anfragen zur Anmeldung sollten nur von der Person bestätigt werden, die die Anmeldung selbst durchführt.
• Unerwartete Bestätigungsanfragen können auf einen Angriffsversuch hindeuten und sollten abgelehnt werden.
• Auch hier sollte jede Person ein eigenes Benutzerkonto nutzen.
• Das Dienst-Smartphone muss für den Empfang der Bestätigungsanfrage verfügbar sein.

Beispiel 3: Physischer Schlüssel am Praxis-PC

Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) bieten sowohl Einmalcode-Verfahren als auch Push-Verfahren grundsätzlich einen guten zusätzlichen Schutz. Noch sicherer ist ein physischer Sicherheitsschlüssel, auch USB-Token oder FIDO2-Sicherheitsschlüssel genannt. Die Praxisangestellte steckt ihn nach der Eingabe von Benutzername und Passwort in den Praxis-PC. Nur weil sie das Passwort kennt und im Besitz des USB-Tokens ist, kann sie sich anmelden.

Verfahren bei der Anmeldung am Praxis-PC

Kombination aus Benutzername + Passwort (am Praxis-PC) + physischem Sicherheitsschlüssel (USB-Token ebenfalls am Praxis-PC)

Vorgehen im Praxisalltag

Eine Praxisangestellte meldet sich am Praxis-PC an. Nach der Eingabe von Benutzername und Passwort steckt sie ihren persönlichen Sicherheitsschlüssel in den USB-Anschluss des Computers und bestätigt die Anmeldung beispielsweise durch seinen Fingerabdruck oder die Eingabe einer PIN.

Geeignet für

• Gemeinsam genutzte Praxis-PCs
• Mitarbeitende ohne Dienst-Smartphone
• Besonders schützenswerte Anwendungen und Benutzerkonten

Vorteile

• Kein Smartphone erforderlich
• Einfache Nutzung nach der Einrichtung
• Schutz vor vielen Phishing-Angriffen

Zu beachten

• Jede Person sollte ihren eigenen Sicherheitsschlüssel erhalten.
• Der Sicherheitsschlüssel sollte sicher aufbewahrt werden.
• Bei Verlust sollte ein Ersatzschlüssel vorhanden sein.
• Die verwendete Software muss Sicherheitsschlüssel unterstützen.

Schritt 1: Das eigene Team informieren und sensibilisieren

Besprechen Sie zunächst mit Ihrem Praxisteam, warum eine Multi-Faktor-Authentifizierung sinnvoll ist und bei welchen Anmeldevorgängen sie genutzt werden könnte. Machen Sie deutlich, dass schon ein gestohlenes Passwort ausreichen kann, um auf ein Konto zuzugreifen. Durch einen zusätzlichen Nachweis bei der Anmeldung lassen sich viele Angriffe verhindern.

Schritt 2: Geeignete Anwendungen und Verfahren auswählen

Prüfen Sie gemeinsam mit Ihrem IT-Dienstleister, für welche Anwendungen eine Multi-Faktor-Authentifizierung in Ihrer Praxis eingerichtet werden kann. Legen Sie anschließend fest, welches Verfahren genutzt werden soll, beispielsweise eine Authenticator-App oder eine Push-Bestätigung auf dem Smartphone.

Schritt 3: Multi-Faktor-Authentifizierung einrichten

Aktivieren Sie die Multi-Faktor-Authentifizierung für die ausgewählten Anwendungen und testen Sie die Anmeldung gemeinsam mit Ihrem Team.

Schritt 4: Zuständigkeiten und Notfallregelungen festlegen

Legen Sie fest, wie bei einem Gerätewechsel, dem Verlust eines Smartphones (oder des physischen Sicherheitsschlüssels) oder dem Ausscheiden von Mitarbeiterinnen und Mitarbeitern vorzugehen ist. Wiederherstellungs- oder Notfallcodes sollten sicher aufbewahrt werden.

Schritt 5: Multi-Faktor-Authentifizierung konsequent nutzen

Richten Sie neue Benutzerkonten von Anfang an mit Multi-Faktor-Authentifizierung ein und prüfen Sie regelmäßig, ob bestehende Zugriffsrechte noch benötigt werden. Nur wenn die Schutzmaßnahme dauerhaft genutzt wird, kann sie ihre volle Wirkung entfalten.

Zwar ist jede Art von Multi-Faktor-Authentifizierung besser als eine bloße Benutzername/Passwort-Kombination. Zugleich gibt es Unterschiede, wie gut die einzelnen Verfahren gegen verschiedene Angriffsarten schützen.

Nähere Informationen stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereit. Es bietet eine Vergleichsübersicht gängiger Verfahren zur Zwei-Faktor-Authentisierung hinsichtlich der IT-Sicherheit, der Nutzbarkeit (Usability) und der Frage, ob dem Anbieter, der den zweiten Faktor zur Verfügung stellt, vertrauliche Daten übermittelt werden oder nicht. Es informiert auch über den Fall, wenn der zweite Faktor verloren geht.