Sicherheit klingt gut

Google Mail illustriert das Dilemma: Obwohl Zwei-Faktor-Authentifizierung (2FA) möglich ist, haben nur 6,4 Prozent der Nutzer die Funktion aktiviert, wie das Sicherheitskonsortium Necoma berichtet. Wo der gesetzliche Zwang fehlt, wie es zum Beispiel beim E-Banking der Fall ist, tut sich nicht viel. Gängige Lösungen sind vielfach unpraktisch, unsicher oder gleich beides zugleich.

Ändern will dies das Start-up Futurae, das aus der ETH Zürich heraus entstand. Die Firma hat eine clevere Alternative zu gängigen Lösungen wie M-Tan, Biometrie oder Tokens entwickelt: Soundproof, so der Name, vergleicht Umgebungsgeräusche von Computer und Handy. Ein Match entsperrt den angesprochenen Dienst oder die Webseite. Dafür muss der Nutzer vorher eine App herunterladen. Ausser einer aktiven Bestä­tigung bei der Erstnutzung läuft der ­Vorgang anschliessend aber im Regelfall ohne weiteres Zutun.                 

2FA ohne Hand anzulegen

Der Ablauf ist wie folgt: Nach Eingabe des ersten Faktors (z.B. Name, Passwort, Vertragsnummer) kontaktiert der angesprochene Dienst das durch die Erstanmeldung bekannte Handy. Zeitgleich aktivieren Computer und Handy ihre Mikrofone und machen eine Sekundenaufnahme der Umgebungsgeräusche. Die Computeraufnahme wird an das Smartphone übermittelt, wo der Vergleich der beiden Samples erfolgt. Die Daten werden nicht gespeichert und der Vorgang ist verschlüsselt. Ausser einer Bestätigung verlassen keine Daten das Handy. Der Nutzer muss dabei weder das Smartphone aus der Hosentasche nehmen noch Zahlenfolgen eingeben oder QR-Codes scannen. Das System "weiss" einfach, das sich der Nutzer in der Nähe des Computers befindet und reagiert entsprechend.

Die Idee für Soundproof entstand 2015 im Rahmen einer Doktorarbeit am ETH-Institut für Informationssicherheit von Professor Srdjan Capkun. Ein Prototyp konnte in Folge die Experten an der prestigeträchtigen Usenix-Security-Konferenz überzeugen, denen es damals nicht gelang, die Lösung auszuhebeln. "Absolute Sicherheit gibt es nicht. Uns ist es aber gelungen, die Latte um einige Sprossen anzuheben und zwar ohne die Usability einzuschränken", sagt Sandra Tobler, Mitgründerin von Futurae.                 

Eine Suite möglicher Verfahren

Dabei setzt das Unternehmen aber nicht nur auf Soundproof, sondern bietet eine ganze Suite verschiedener Authentifzierungsoptionen an – inklusive QR-Code, M-Tan und Zahlenblocks. "Die meisten Anbieter haben sich auf eine Variante festgelegt. Wir haben klar Präferenzen, geben dem Kunden aber auch Optionen", so Tobler. Dies ist auch nötig, damit eine Authentifizierung erfolgen kann, wenn das Handy keine Verbindung zum Internet hat. In diesem Fall liefert die App One-Time-Codes als Alternative. Zu guter Letzt gibt es sogar eine reine Mobil-­Lösung.

Bei Futurae sieht man den Mehrwert also nicht nur im neuen Verfahren zur Authentifizierung, sondern in der Optionenvielfalt der Suite, die sich sowohl den Kundenwünschen als auch der Situation anpasst. Die Integration erfolgt via Restful API. Auch preislich kann Futurae so punkten, da keine Kosten für teure Hardware-Tokens oder SMS-Gebühren für M-TANs anfallen.

Soundproof eignet sich auch noch für ein weiteres Einsatzszenario – Continous Authentification. Hier geht es um ärgerliche System-Abbrüche, etwa mitten in einer E-Banking-Session. Soundproof kann in regelmässigen Abständen überprüfen, ob der Nutzer noch am Computer ist und so vorschnelle Abbrüche verhindern.
Zu guter Letzt dürfte Futurae von den 2018 kommenden EU-Richtlinien PSD2 oder GDPR profitieren. Unter anderem müssen dann alle EU-Transaktionen ab 30 Euro via 2FA bestätigt werden. "E-Commerce wird für Firmen wie uns ab nächstem Jahr ein grosser Wachstumsmarkt", meint Tobler.  

Relevante Links

-->Futurae Homepage

-->Futurae swiss made software-Profil

-->Necoma 2FA Adoption

-->PSD2 Final Report European Banking Authority