Authentifizierung (AuthN)

Wo Identitäts- und Zugriffsmanagement mit der Identifikation beginnt, ist die Authentifizierung der zweite Schritt. Authentifizierung, oft auch mit einem internationalen Synonym wie „authentication“ oder der Abkürzung „AuthN“ bezeichnet, ist einer der Sicherheitsprozesse innerhalb des IAM-Frameworks. Aber was genau meinen wir mit Authentifizierung in diesem Kontext? Und was ist der Unterschied zu einem verwandten Begriff wie Autorisierung? Lesen Sie weiter für die Antworten.

Was bedeutet Authentifizierung?

Authentifizierung ist ein wichtiger Bestandteil eines Identity and Access Management (IAM) Systems und bezieht sich auf die Prozesse und Mechanismen, die verwendet werden, um die Identität eines Benutzers, einer Anwendung oder eines Geräts zu überprüfen. Mit anderen Worten: Ist der Benutzer, die Anwendung oder das Gerät tatsächlich derjenige, der er vorgibt zu sein? Ein Authentifizierungssystem vergleicht die angegebene digitale Identität mit den Echtheitsmerkmalen und Daten, die Ihnen bekannt sind. Authentifizierung ist der zweite Schritt im IAM-Sicherheitsprozess.

Fast jeder Nutzer, der im Internet unterwegs ist, hat täglich mit Authentifizierung zu tun. Als Beispiel das Einloggen in Ihr geschäftliches oder persönliches Google- oder Outlook-Konto. Nach der Eingabe Ihres Benutzernamens oder Ihrer E-Mail-Adresse (Identifikation) fragen Google und Microsoft nach Ihrem Passwort. Sie geben dieses dann ein. Stimmt das eingegebene Passwort mit dem gespeicherten Passwort überein? Dann geht das System davon aus, dass Sie der korrekte Benutzer sind, und die Authentifizierung ist damit erfolgreich.

Authentifizierungsfaktoren – was steckt dahinter?

Im Rahmen von Identity und Access Management (IAM) ist Authentifizierung (auch Authn genannt) der Prozess, bei dem geprüft wird, ob ein Benutzer tatsächlich derjenige ist, für den er sich ausgibt. Dabei kommen sogenannte Authentifizierungsfaktoren (oder "Credentials") zum Einsatz – also Nachweise, mit denen sich die digitale Identität eines Nutzers verifizieren lässt.

Diese Faktoren lassen sich in vier Kategorien einteilen:

Wissen – etwas, das man weiß (z. B. ein Passwort),
Besitz – etwas, das man hat (z. B. ein Sicherheitstoken),
Eigenschaft – etwas, das man ist (z. B. biometrische Merkmale),
Verhalten – etwas, das man tut (z. B. Tippverhalten auf der Tastatur).

Die häufigsten Authentifizierungsfaktoren im Überblick:

Passwörter
Nach wie vor die am weitesten verbreitete Authentifizierungsfaktor: Der Benutzer gibt einen Benutzernamen und ein passendes Passwort ein. Kennt er die korrekte Kombination, erhält er Zugriff. Für IT-Leiter bedeutet das: ein einfacher Einstieg in Authn, aber mit wachsendem Risiko bei zu schwachen Passwörtern.
Tipp: Passwörter regelmäßig aktualisieren, Komplexitätsrichtlinien durchsetzen und niemals dieselbe Kombination mehrfach verwenden.
Einmalige PIN-Codes (One-Time Passwords, OTPs)
Diese temporären Codes werden beispielsweise per SMS oder über eine Authenticator-App erzeugt. Sie sind nur für eine begrenzte Zeit gültig und bieten daher eine zusätzliche Sicherheitsebene. Ein gängiger Einsatzfall ist das Login-Verfahren mit Zwei-Faktor-Authentifizierung (2FA) – etwa bei Zugriffen auf cloudbasierte Dienste oder bei administrativen Aufgaben im IT-Umfeld.
Biometrische Merkmale
Fingerabdruck, Gesichtserkennung oder Irisscan – all das fällt unter biometrische Authentifizierung, ebenfalls eine Art von Credential – basierend „was Sie sind“. Diese Methode basiert auf eindeutigen, nicht übertragbaren Merkmalen des Nutzers. Besonders in sicherheitskritischen Branchen setzen Unternehmen heute verstärkt auf biometrische Verfahren zur Zugangskontrolle. Im Alltag häufig zum Einsatz bei FaceID auf einem Apple iPhone.

Was bedeutet „starke Authentifizierung“?

Hacker werden immer schlauer und professioneller, weshalb heutzutage immer mehr Organisationen und Softwareanbieter eine starke Authentifizierung verlangen. Starke Authentifizierung – auch als Multi-Faktor-Authentifizierung (MFA) bekannt – geht über die klassische Passwortabfrage hinaus. Ziel ist es, unbefugten Zugriff auf sensible Systeme und Daten zuverlässig zu verhindern – insbesondere in Zeiten zunehmender Cyberangriffe und Social Engineering.

Das Grundprinzip: Ein einzelner Authentifizierungsfaktor reicht nicht mehr aus. Stattdessen müssen zwei oder mehr unabhängige Faktoren kombiniert werden. Wichtig dabei: Die Faktoren sollten unterschiedlichen Kategorien angehören. Zwei Passwörter machen ein System nicht sicherer – ein Passwort plus ein biometrisches Merkmal hingegen schon. Kombinieren Sie völlig unterschiedliche Authentifizierungsfaktoren, verringern Sie die Wahrscheinlichkeit, dass jemand unbefugt Zugang zu Daten, Anwendungen und Systemen erhält.

Beispiel: Ein Benutzer meldet sich mit seinem Passwort (Wissen) an und muss zusätzlich einen Einmalcode aus einer App (Besitz) eingeben. Alternativ kann eine Kombination aus Zugangskarte und Gesichtserkennung verwendet werden.

Authentifizierungsarten im Vergleich

Im IAM-Kontext lassen sich verschiedene Authentifizierungsarten unterscheiden – abhängig davon, wie viele und welche Faktoren eingesetzt werden (die letzten beiden fallen unter „starke Authentifizierung“ ):

Single-Factor-Authentifizierung: Dies ist die einfachste, aber auch unsicherste Form der Authentifizierung. Der Benutzer muss nur ein Credential oder „Faktor“ angeben, um seine Identität zu verifizieren. Dies ist meist ein Passwort, kann aber auch so etwas wie ein einmaliger PIN-Code sein, der über eine verknüpfte Smartphone-App abgerufen werden kann.
Zwei-Faktor-Authentifizierung: Diese Form der Authentifizierung ist stark im Kommen und erfordert, dass der Benutzer zwei Nachweise erbringt, um seine Identität zu verifizieren. Dies ist oft eine Kombination aus etwas, das der Benutzer weiß (wie ein Passwort), und etwas, das der Benutzer hat (wie eine Zugangskarte oder ein einmaliger Code, der an sein Telefon gesendet wird, SMS-TAN oder Token). Diese Methode ist inzwischen Standard in vielen Unternehmen – besonders beim Zugriff auf Cloud-Dienste oder VPNs.
Multi-Faktor-Authentifizierung: Dies ist eine Art der Authentifizierung, bei der der Benutzer mehr als zwei Nachweise erbringen muss, um seine Identität zu verifizieren. Dies kann beispielsweise eine Kombination aus etwas, das der Benutzer weiß, etwas, das der Benutzer hat, und etwas, das der Benutzer ist (wie ein biometrischer Faktor wie ein Fingerabdruck oder ein Irisscan), sein. MFA ist die sicherste Form der Authentifizierung – empfohlen für Unternehmen mit hohen Compliance-Anforderungen oder stark regulierten Branchen.

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Was ist Authentifizierung?

Die Authentifizierung ist der erste Schritt im IAM-Prozess. Hier wird die digitale Identität eines Benutzers überprüft – also festgestellt, ob die Person tatsächlich diejenige ist, die sie vorgibt zu sein.
Dies geschieht mithilfe sogenannter Authentifizierungsfaktoren, etwa durch:

Eingabe eines Benutzernamens und Passworts
Verwendung eines Einmalpassworts (OTP)
Authenticator-Apps oder biometrische Merkmale (z. B. Fingerabdruck)

Nur wenn die Authentifizierung erfolgreich ist, kann der Benutzer überhaupt ins System gelangen. Vergleichbar ist das mit einer Eingangskontrolle: Wer einen gültigen Ausweis vorzeigt, darf das Gebäude betreten – oder im digitalen Raum: die Anwendung aufrufen.

Was ist Autorisierung?

Im Kontext von Identity und Access Management (IAM) begegnet man zwei Begriffen, die häufig gemeinsam genannt, aber zu oft miteinander verwechselt werden: Authentifizierung (auch Authn genannt) und Autorisierung. Beide Prozesse sind grundlegend für die Steuerung von Zugriffsrechten, erfüllen aber jeweils eine ganz eigene Funktion im Sicherheitskonzept moderner IT-Infrastrukturen.

Nach erfolgreicher Authentifizierung folgt die Autorisierung. Dieser Schritt legt fest, welche Ressourcen, Funktionen oder Daten dem Benutzer im System zur Verfügung stehen.
Es handelt sich dabei also nicht mehr um das „Wer bist du?“, sondern um das „Was darfst du tun?“.

Die Autorisierung entscheidet beispielsweise:

Ob ein Benutzer nur Lesezugriff auf sensible Kundendaten erhält – oder auch Schreibrechte
Ob ein Mitarbeiter Zugang zum Rechnungsarchiv bekommt – oder nur zu seinem eigenen Benutzerprofil
Ob eine externe Fachkraft lediglich ein Projekt-Dashboard sehen darf – oder auch Berechtigungen ändern kann

Eine anschauliche Analogie

Stellen Sie sich Ihr Unternehmen als ein Bürogebäude vor. Nach Feierabend kommt ein externes Reinigungsteam.
Der Dienstausweis, den die Reinigungskräfte dem Sicherheitsdienst vorzeigen, ist die Authentifizierung – der Nachweis, dass sie legitim sind. Was sie im Gebäude tun dürfen, also z. B. Büroräume reinigen, aber nicht den Serverraum betreten oder Geräte nutzen, fällt unter die Autorisierung.

Der Sicherheitsdienst in dieser Metapher übernimmt die Rolle Ihres IAM-Systems: Es prüft erst die Identität und legt danach die Berechtigungen fest.

Fazit: Zwei Schritte, ein Ziel – sichere Zugriffe

Im Zusammenspiel sorgen Authentifizierung und Autorisierung für kontrollierte, nachvollziehbare und gesetzeskonforme Zugriffe in jeder modernen IT-Umgebung. Besonders für IT-Leiter und Geschäftsführer ist das Verständnis dieser Unterscheidung essenziell, um fundierte Entscheidungen im Bereich IAM-Strategie, Compliance und Cybersecurity treffen zu können.

Zusammengefasst:

Begriff	Funktion im IAM	Beispiel
Authentifizierung	Verifiziert die Identität eines Benutzers	Login mit Passwort + OTP
Autorisierung	Bestimmt die Zugriffsrechte innerhalb eines Systems	Zugriff auf bestimmte Dateien, Systeme oder Funktionen