Doktorand forscht zu risikobasiertem Login

Im Rahmen seiner Promotion führte Wiefling eine Studie an über 500 Probanden durch. Er befasst sich mit einem Loginverfahren, welches erst nach zusätzlicher Authentifizierung fragt, wenn ein Hackingangriff vermutet wird. Große Onlinedienste wie Google, LinkedIn und Amazon setzen die Technologie bereits ein. Auch die US-Bundesbehörde für Technologiestandards NIST empfiehlt diese sogenannte risikobasierte Authentifizierung seit einigen Jahren. In Deutschland ist sie noch nicht Standard.

Konkret untersuchten Wiefling und sein Team, wie Nutzerinnen und Nutzer die beschriebene Re-Authentifizierung wahrnehmen und ob sich die aktuell genutzten Verfahren der großen Onlinedienste verbessern lassen. Sie verglichen dazu die Authentifizierung über einen Link, über einen Code via E-Mail und über einen Code, der sowohl im Betreff als auch im Text der E-Mail erschien.

Es stellte sich heraus, dass durchaus Verbesserungspotenzial vorhanden ist:

User fühlten sich signifikant ängstlicher bei der Verwendung sogenannter "Magic Links", also individuell erstellter, zeitlich begrenzter Bestätigungs-Links im Vergleich zur Verwendung von Codes. Die doppelte Verwendung in Betreffzeile und Text gab ihnen gefühlt zusätzliche Sicherheit.