text: Fast jeder hat mindestens zehn oder zwanzig davon. Wenn sie nicht mehrfach genutzt werden, sind es locker vierzig oder mehr.
  Die Rede ist von Passwörtern, die im Netz bei Bankgeschäften, zum Abrufen von E-Mails, beim Einkaufen, in sozialen Netzwerken oder am Arbeitsplatz benötigt werden. Immer häufiger kommt es vor, dass jemand versucht, Passwörter abzufangen oder zu erraten und in krimineller Absicht einzusetzen, in der Regel mit finanziellem Schaden für die Nutzer. Stephan Wiefling, Doktorand in der Gruppe für Daten- und Anwendungssicherheit (DAS), von Prof. Dr.-Ing. Luigi Lo Iacono am Fachbereich Informatik der Hochschule Bonn-Rhein-Sieg (H-BRS), arbeitet an Methoden, mit denen legitime Nutzer beim Einloggen als solche erkannt werden, Gauner jedoch ihr Ziel nicht erreichen.
  "Es geht um risikobasierte Authentifizierung, kurz RBA", sagt Wiefling und erklärt das Prinzip. Demnach akzeptiert eine Webseite die Eingaben von Nutzername und Passwort, solange das System keine Auffälligkeiten erkennt. Erst wenn es sich aufgrund des Verhaltens nicht sicher ist, dass sich die legitime Person einloggen möchte, fragt es nach einer zweiten Autorisierung. Verdächtig ist sogenanntes abweichendes Verhalten. Verwendet eine Person beispielsweise ein bislang ungenutztes Gerät, meldet sich an einem ungewöhnlichen Ort und vielleicht zu einer noch ungewöhnlicheren Zeit an, interpretiert das System dies als abweichendes Verhalten und verlangt eine Bestätigung über die legitime Anmeldung.
  Damit nicht genug untersucht Wiefling in seinem Forschungsvorhaben RBA im Vergleich zur Zwei-Faktor-Authentifizierung (2FA), bei der sich Nutzer grundsätzlich immer zweimal mit zwei verschiedenen Merkmalen - beispielsweise Passwort und Einmal-PIN - authentifizieren müssen, damit das System sie akzeptiert. Bei gleichem Sicherheitsgefühl werde RBA zwar deutlich besser akzeptiert als 2FA, berichtet Wiefling, aber es gebe eine Ausnahme: Bei Webseiten mit sehr hohen Sicherheitsanforderungen wie beim Online-Banking wird die Zwei-Faktor-Authentifizierung noch bevorzugt.
  Doktorand Stephan Wiefling nennt die beiden kritischen Situationen. Zu der ersten gehören massive sogenannte Datenbankleaks. Dabei werden - wie in der Vergangenheit geschehen - beispielsweise bei LinkedIn, Adobe oder MySpace - Kundendaten einschließlich des Passworts gestohlen. Mit E-Mail-Adresse und Passwort probieren die Hacker dann mit automatisierten Verfahren, ob diese Kombination auch auf anderen Webseiten funktioniert. "Credential Stuffing" heißt diese Vorgehensweise, die allein von Online-Dienstleister Akamai täglich 250 Millionen Mal registriert wird.
  Positives Echo von IT-Sicherheitsexperten
  Im Zuge seiner Forschungsarbeit veröffentlichte Doktorand Wiefling schon einige Paper und Aufsätze mit Ergebnissen, die große Aufmerksamkeit in der Branche hervorgerufen haben. So hat beispielsweise der international renommierte IT-Sicherheitsexperte Bruce Schneier die neueste Studie in seinem Blog empfohlen. Auch die RBA-Entwickler bei Google zeigten sich von seiner Arbeit sehr angetan. Deshalb ist er sich sicher, dass die Ergebnisse für einen größeren Einsatz von RBA sorgen können. "In der Folge können noch mehr Nutzerinnen und Nutzer von den Vorteilen dieser Technologie profitieren", sagt Wiefling.
  Informationssicherheit können an der H-BRS bereits Studierende im Bachelor-Studium Informatik als Spezialgebiet wählen. Ab dem Wintersemester 2021/22 soll dann der Studiengang "Cybersecurity and Privacy" an den Start gehen.
  . RBA-Publikation von Stephan Wiefling: https://riskbasedauthentication.org/usability/perceptions/
  . Gruppe für Daten- und Anwendungssicherheit (DAS): https://das.h-brs.de
  . Blog von Bruce Schneier: https://www.schneier.com/blog/archives/2020/10/on-risk-based-authentication.html
  . Kontrolle der eigenen E-Mail-Adresse und Passwörter in Datenbankleaks: https://haveibeenpwned.com/
  . Spezialisierung Informationssicherheit im Studiengang Informatik: www.h-brs.de/inf/spezialisierungen-den-bachelorstudiengaengen-informatik-und-wirtschaftsinformatik
  Funktionsweise von risikobasierter Authentifizierung bei als hoch eingestuftem Risiko. Illustration: Stephan Wiefling