Patrick McBride: Mit Passwörtern kann es keinen Datenschutz geben

Wirkliche Sicherheit könne mit Passwörtern und traditioneller Multi-Faktor-Authentisierung nicht gewährleistet werden

[datensicherheit.de, 25.05.2022] Patrick McBride, „Chief Marketing Officer“ von Beyond Identity, kommentiert das endgültige Inkrafttreten der Datenschutz-Grundverordnung (DSGVO): Mit der DSGVO sei ein einheitlicher Standard geschaffen worden, welcher auf widerstandsfähigen Cyber-Sicherheitspraktiken beruhe und unsere Daten und Privatsphäre schützen solle. „Bei der Umsetzung wird dabei jedoch gerne übersehen, dass ,Privacy‘ und ,Security‘ Hand in Hand gehen, und keine wirkliche Sicherheit gewährleistet werden kann, solange Passwörter und traditionelle MFA im Spiel sind“, sagt McBride.

Foto: Beyond Identity

Patrick McBride: Herkömmliche MFA ist im Grunde genommen nutzlos…

DSGVO macht keine spezifischen Aussagen zur Verwendung von Passwörtern

Die DSGVO mache an sich keine spezifischen Aussagen zur Verwendung von Passwörtern, doch sie verpflichte Unternehmen und Organisationen dazu, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen sicher zu verarbeiten. Dementsprechend sollten die Generierung und Absicherung von Passwörtern dieser sicheren Verarbeitung angemessen sein. McBride rät: „Unternehmen müssen also prüfen, ob es keine besseren und sichereren Alternativen zur Authentifizierung gibt als Passwörter.“
Dabei herrsche in der Sicherheitsbranche immer noch der Irrglaube, dass Passwörter grundsätzlich Sicherheit bieten könnten, „wenn sie nur lang und komplex genug sind“. McBride betont: „Doch diese Annahme ist einfach nur FALSCH. Um wirklichen Datenschutz zu gewährleisten und die Privatsphäre zu schützen, müssen Regierungen endlich damit anfangen, eine passwort-basierte Authentifizierung in Unternehmern abzuschaffen.“

Nicht nur klassische Passwörter weisen große Sicherheitsmängel auf

Doch nicht nur klassische Passwörter wiesen große Sicherheitsmängel auf, auch andere traditionelle MFA-Faktoren – etwa SMS-Links oder Push-Benachrichtigungen – könnten von Cyber-Kriminellen mithilfe von Standard-Phishing und Man-in-the-Middle-Exploits leicht umgangen werden. „Herkömmliche MFA ist im Grunde genommen nutzlos und wird nie die Sicherheit und Zuverlässigkeit bieten, die sie verspricht.“
Sämtliche Regularien und gesetzliche Vorschriften sollten dieser Tatsache Rechnung tragen und veraltete Passwort- und MFA-Praktiken endlich anpassen. McBride fordert abschließend: „Staatliche Stellen müssen sicherstellen, dass Unternehmen phishing-resistente, passwortlose MFA verwenden, um sensible und kritische Daten wirklich zu schützen.“

Weitere Informationen zum Thema:

datensicherheit.de, 05.05.2022
Passwörter als Sicherheitsrisiko – Experten plädieren zum Wechsel zur passwortlosen Authentifizierung / Statt sich auf eine gute Kennworthygiene zu konzentrieren, sollte der Einsatz der Passwort-Authentifizierung hinterfragt werden