- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Authentifizierung: Identitätsnachweis als Grundlage von Zugriffskontrolle und Nachvollziehbarkeit
Authentifizierung ist die Überprüfung einer behaupteten Identität durch ein System, bevor es Zugriff auf Daten oder Funktionen gewährt. Sie ist die Voraussetzung dafür, dass Zugriffsrechte überhaupt einer Person zugeordnet werden können. Ohne verlässliche Authentifizierung sagt ein Protokolleintrag nur, welches Konto etwas getan hat, nicht wer.
Für Organisationen in der Schweiz ist das mehr als eine technische Frage. Die Datenschutzverordnung verlangt Massnahmen, damit Unbefugte automatisierte Datenbearbeitungssysteme nicht benutzen können, und Banken müssen nach FINMA-Rundschreiben 2023/1 den Zugriff auf kritische Daten auf die Personen beschränken, die ihn für ihre Aufgaben benötigen. Dieser Artikel ordnet Verfahren, Vertrauensniveaus und Prozesse aus Sicht von Governance und Nachweisführung ein.
Das Wichtigste in Kürze
- Kontrollkette: Identifikation, Authentifizierung, Autorisierung und Protokollierung bauen aufeinander auf. Fehlt das erste Glied, sind die übrigen wertlos.
- Recht: DSG und DSV schreiben kein bestimmtes Verfahren vor, sondern risikogerechte Massnahmen nach dem Stand der Technik.
- Vertrauensniveau: Für privilegierte Zugriffe und kritische Daten sind phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel angemessen.
- Prozess: Das Zurücksetzen von Anmeldemethoden ist ein sicherheitsrelevanter Vorgang und gehört dokumentiert.
Stand: November 2026 · Geprüft anhand von Fedlex (DSG, DSV), FINMA, BACS, NIST SP 800-63B-4 und Microsoft Learn (Quellen am Ende des Artikels)
Vom Identitätsnachweis zur Zugriffsentscheidung
Aus Sicht der Kontrolle besteht jeder Zugriff aus einer Kette von Schritten. Jeder Schritt hat eine eigene Verantwortung und einen eigenen Nachweis.
- Identifikation: Ein Konto wird einer natürlichen Person oder einem klar zugeordneten technischen Dienst zugewiesen.
- Authentifizierung: Das System prüft den vorgelegten Nachweis. Das BSI unterscheidet dabei sprachlich: Der Benutzer authentisiert sich, das System authentifiziert ihn.
- Autorisierung: Rollen und Berechtigungen legen fest, was die geprüfte Identität darf.
- Protokollierung: Anmeldungen und Bearbeitungen werden aufgezeichnet und lassen sich später einer Person zuordnen.
Was DSG und DSV verlangen
Art. 8 DSG verpflichtet Verantwortliche und Auftragsbearbeiter zu einer dem Risiko angemessenen Datensicherheit. Die Datenschutzverordnung konkretisiert das: Nach Art. 1 DSV sind Schutzbedarf und Risiko zu bestimmen und Massnahmen unter anderem nach dem Stand der Technik festzulegen. Art. 3 Abs. 1 DSV verlangt zur Wahrung der Vertraulichkeit unter anderem eine Zugriffskontrolle (Bst. a) und eine Benutzerkontrolle (Bst. c): Unbefugte dürfen automatisierte Datenbearbeitungssysteme nicht benutzen können. Für die Nachvollziehbarkeit kommt die Eingabekontrolle hinzu (Abs. 3 Bst. a). Sie soll zeigen, welche Personendaten wann und von welcher Person eingegeben oder verändert wurden. Ohne Authentifizierung ist keine dieser Kontrollen wirksam.
Wo eine Protokollierung nach Art. 4 DSV vorgeschrieben ist, muss sie Aufschluss über die Identität der Person geben, die eine Bearbeitung vorgenommen hat. Sammelkonten, die sich mehrere Personen teilen, unterlaufen diese Anforderung.
Regulierte Branchen: FINMA-Rundschreiben 2023/1
Für Banken verlangt das Rundschreiben, den Zugriff auf kritische Daten auf Personen zu beschränken, die ihn für ihre Aufgaben benötigen. Das Institut muss über ein Autorisierungssystem verfügen, dessen Zugang besonders zu schützen und regelmässig zu überprüfen ist. Die Stärke der Authentifizierung entscheidet damit direkt, wie belastbar dieser Schutz ist.
Vertrauensniveaus und Verfahren
Ein international anerkannter Massstab für die Stärke einer Authentifizierung sind die Vertrauensniveaus (Authenticator Assurance Levels, AAL) aus NIST SP 800-63B-4. Sie sind für US-Bundesbehörden verbindlich, eignen sich aber auch in der Schweiz gut, um Schutzbedarf und Verfahren nachvollziehbar zuzuordnen.
| Anforderung | Beispiel für den Einsatz |
|---|---|
| AAL1: Grundvertrauen | |
| Ein Faktor genügt, MFA soll angeboten werden | Interne Infoseiten ohne Personendaten |
| AAL2: hohes Vertrauen | |
| Zwei unterschiedliche Faktoren, eine phishing-resistente Option muss angeboten werden | E-Mail, Dateiablage, Ticketsystem mit Personendaten |
| AAL3: sehr hohes Vertrauen | |
| Kryptografischer Schlüssel, nicht exportierbar, phishing-resistent | Administration, Freigabe von Zahlungen, kritische Daten |
Welche Verfahren welches Niveau erreichen
- Passwort allein: höchstens AAL1. NIST verlangt dann mindestens 15 Zeichen und eine Prüfung gegen Listen kompromittierter Passwörter.
- Passwort mit Einmalcode oder Push: AAL2, aber nicht phishingresistent. Den Versand per SMS führt NIST als eingeschränktes Verfahren.
- Synchronisierte Passkeys: phishingresistent, nach NIST bis AAL2 zulässig. Der Schlüssel liegt verschlüsselt beim Cloud-Anbieter des Benutzers.
- FIDO2-Sicherheitsschlüssel und Smartcards: gerätegebunden, geeignet für AAL3. Microsoft empfiehlt sie für stark regulierte Branchen und Benutzer mit erhöhten Berechtigungen.
Wo die Authentifizierungsdaten liegen
Für die Datenhaltung ist das Verfahren relevant. Bei Passwörtern speichert der Dienst einen Hash eines gemeinsamen Geheimnisses. Bei Passkeys nach dem W3C-Standard WebAuthn erhält der Dienst nur einen öffentlichen Schlüssel, der private bleibt beim Benutzer. Ein Abfluss der Serverdaten verrät damit keine verwendbaren Anmeldeinformationen. Bei synchronisierten Passkeys ist allerdings zu klären, bei welchem Anbieter und in welchem Konto die Schlüssel gesichert werden.
Authentifizierung im kontrollierten Serviceprozess
Die Schwachstelle vieler Organisationen liegt nicht im Verfahren, sondern im Ausnahmefall: Jemand hat seinen Sicherheitsschlüssel verloren, und der Service Desk soll helfen. Wer hier ohne festgelegte Prüfung eine neue Methode registriert, umgeht jede noch so starke Authentifizierung. Auch der deutsche BSI IT-Grundschutz sieht im Baustein ORP.4 ein angemessen sicheres Verfahren für das Zurücksetzen von Passwörtern und geschulte Supportmitarbeitende vor.
Mindestinhalte eines kontrollierten Ablaufs
- Identitätsprüfung über einen unabhängigen Kanal, etwa einen Rückruf an die im Personalsystem hinterlegte Nummer oder persönliches Erscheinen mit Ausweis.
- Vier-Augen-Prinzip bei privilegierten Konten: Eine zweite, berechtigte Person bestätigt das Zurücksetzen.
- Befristete Übergangslösung statt eines neuen Dauerpassworts, in Microsoft Entra ID zum Beispiel ein befristeter Zugriffspass.
- Dokumentation von Antrag, Prüfschritt, Freigabe und Umsetzung mit Person und Zeitpunkt.
- Nachkontrolle: Rückmeldung an die betroffene Person über einen zweiten Kanal, damit ein unberechtigtes Zurücksetzen auffällt.
Nachweise statt Erinnerungen
Bei einer internen Revision oder nach einem Sicherheitsvorfall zählt, was belegt ist. Ein Ticket, das jeden Schritt historisiert, ersetzt die Rekonstruktion aus E-Mails und Telefonnotizen. Für kantonale und kommunale Verwaltungen kommt hinzu: Sie gehören zu den Organisationen, die meldepflichtige Cyberangriffe seit dem 1. April 2025 innerhalb von 24 Stunden nach der Entdeckung dem BACS melden müssen. Ein sauber dokumentierter Ablauf erleichtert die Klärung, ob ein Konto über den Support übernommen wurde.
Ein Beispiel aus der Verwaltung
Das Personalamt des Kantons Thurgau, das die rund 6'000 Mitarbeitenden des Kantons in ihrem Arbeitsverhältnis begleitet, setzt ky2help® für seine HR-Prozesse ein. Laut Referenzbericht sind sämtliche Aktivitäten damit lückenlos nachvollziehbar, dokumentiert und archiviert, und die Self-Service-Portale gehören zu den Punkten, die überzeugt haben. Dieselben Eigenschaften braucht ein Ablauf für Zugangs- und Authentifizierungsanfragen.
ky2help® bietet dafür automatische Historisierung, ein integriertes Daten-Audit und eine revisionssichere Dokumentation. Abläufe passen Sie im Prozessdesigner per Drag-and-Drop ohne Programmierung an, die Self-Service-Portale bieten flexible Genehmigungsprozesse. Für die Anmeldung an ky2help® selbst gibt es im Standard eine Anbindung an Active Directory (AD/LDAP) und an Azure AD, heute Microsoft Entra ID, inklusive Single Sign-on, und der Betrieb ist als eigene Instanz in einem Rechenzentrum in der Schweiz möglich.
Risiken nach Priorität
Die Reihenfolge folgt der Frage, wo ein Fehler den grössten Schaden für Vertraulichkeit und Nachvollziehbarkeit anrichtet.
Priorität 1: privilegierte Konten ohne phishingresistentes Verfahren
Administratorkonten und Konten mit Zugriff auf kritische Daten sind das bevorzugte Ziel. Passwort und SMS-Code reichen hier nicht. Angemessen sind gerätegebundene Verfahren wie FIDO2-Sicherheitsschlüssel oder Smartcards, getrennte Administrationskonten und eine Liste der Personen mit erhöhten Rechten.
Priorität 2: Social Engineering am Service Desk
Ein Anrufer, der überzeugend auftritt, kann sich eine neue Anmeldemethode erschleichen. Gegenmassnahme ist der oben beschriebene kontrollierte Ablauf mit unabhängiger Identitätsprüfung und Vier-Augen-Prinzip.
Priorität 3: Sammel- und Dienstkonten
Geteilte Konten verhindern die Zuordnung zu einer Person und widersprechen dem Zweck der Protokollierung nach Art. 4 DSV. Technische Konten brauchen eine verantwortliche Person, eine dokumentierte Verwendung und eine geregelte Laufzeit ihrer Geheimnisse.
Priorität 4: veraltete Protokolle
Microsoft stuft NTLM in allen Versionen als veraltet ein. Anwendungen, die nur Benutzername und Passwort ohne moderne Authentifizierung beherrschen, lassen sich nicht mit MFA absichern. Sie gehören inventarisiert, mit einem Ablösetermin versehen und bis dahin abgeschottet.
Priorität 5: keine Auswertung der Anmeldedaten
Fehlgeschlagene Anmeldungen, neue Methoden und Anmeldungen aus ungewohnten Regionen sind frühe Hinweise auf einen Angriff. Wer sie nicht regelmässig auswertet, erkennt Verletzungen der Datensicherheit nicht rasch, wie es Art. 3 Abs. 3 Bst. c DSV verlangt.
Häufige Fragen zu Authentifizierung und Governance
Was ist Authentifizierung?
Authentifizierung ist die Überprüfung einer behaupteten Identität durch ein System. Erst wenn der vorgelegte Nachweis, etwa ein kryptografischer Schlüssel oder ein Passwort mit zweitem Faktor, gültig ist, werden Zugriffsrechte wirksam.
Worin unterscheiden sich Authentifizierung und Autorisierung?
Die Authentifizierung stellt fest, wer zugreift. Die Autorisierung entscheidet danach anhand von Rollen und Berechtigungen, was diese Identität tun darf. Beide sind getrennt zu dokumentieren und zu überprüfen.
Verlangt das DSG eine Zwei-Faktor-Authentifizierung?
Nein, DSG und DSV schreiben kein bestimmtes Verfahren vor. Sie verlangen dem Risiko angemessene Massnahmen nach dem Stand der Technik, darunter Zugriffs- und Benutzerkontrolle nach Art. 3 DSV. Bei Personendaten mit erhöhtem Schutzbedarf ist eine Mehrfaktor-Authentifizierung in der Regel angemessen.
Warum ist Authentifizierung für die Protokollierung wichtig?
Ein Protokoll ist nur so aussagekräftig wie die Zuordnung der Konten. Art. 4 DSV verlangt, dass eine vorgeschriebene Protokollierung Aufschluss über die Identität der bearbeitenden Person gibt. Das setzt persönliche Konten und eine verlässliche Authentifizierung voraus.
Was heisst phishingresistent?
Ein Verfahren ist phishingresistent, wenn sich der Anmeldenachweis nicht über eine gefälschte Seite abgreifen und weiterverwenden lässt. Passkeys und FIDO2-Sicherheitsschlüssel erfüllen das, weil der Schlüssel an die echte Adresse der Anwendung gebunden ist.
Wie lassen sich Zurücksetzungen von Anmeldemethoden nachvollziehbar abwickeln?
Mit einem festen Ablauf aus Antrag, unabhängiger Identitätsprüfung, Freigabe nach dem Vier-Augen-Prinzip und dokumentierter Umsetzung. In ky2help® werden solche Abläufe automatisch historisiert. Wie das aussieht, zeigen wir in einer Live-Demo.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Bundesgesetz über den Datenschutz (DSG), Art. 8
- Fedlex: Verordnung über den Datenschutz (DSV), Art. 1, 3 und 4
- FINMA: Rundschreiben 2023/1 Operationelle Risiken und Resilienz – Banken (PDF)
- BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
- NIST: SP 800-63B-4, Authentication and Authenticator Management
- BSI: IT-Grundschutz-Baustein ORP.4 und Zwei-Faktor-Authentisierung
- Microsoft Learn: Passkeys (FIDO2) in Microsoft Entra ID
- W3C: Web Authentication Level 2
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
