Was ist kontinuierliche Authentifizierung?
Kontinuierliche Authentifizierung bewertet Merkmale einer laufenden Sitzung fortlaufend, um möglichen Betrug zu erkennen; sie ist weder eine einmalige Anmeldung noch mit Multi-Faktor-Authentifizierung gleichzusetzen.
Technische Einordnung: NIST bezeichnet dieses Verfahren als „Session Monitoring“. Im Mittelpunkt steht nicht die dauernde erneute Vorlage von Zugangsdaten, sondern die risikobasierte Beurteilung einer bereits laufenden, authentifizierten Sitzung.
Der Normwortlaut
„Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“
„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen.“
„Die Maßnahmen müssen zumindest Folgendes umfassen: […] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.“
„Der von der Europäischen Kommission gemäß Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie erlassene Durchführungsrechtsakt zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 1 genannten Maßnahmen in Bezug auf DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter hat für die vorgenannten Einrichtungsarten Vorrang.“
„Sofern die Europäische Kommission einen Durchführungsrechtsakt gemäß Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie erlässt, in dem die technischen und methodischen Anforderungen sowie erforderlichenfalls die sektoralen Anforderungen der in Absatz 2 genannten Maßnahmen festgelegt werden, so gehen diese Anforderungen den in Absatz 2 genannten Maßnahmen vor, soweit sie diesen entgegenstehen.“
Normtext: Die Auszüge stammen aus § 30 Abs. 1 sowie Abs. 2 Satz 1 und Satz 2 Nr. 10 sowie Abs. 3 und 4 BSIG. Das Modalwort „sollen“ betrifft die Einhaltung des Stands der Technik und die Berücksichtigung einschlägiger Normen; der gefahrenübergreifende Ansatz und die Mindestinhalte sind als „müssen“ formuliert.
Auslegung: Das Wort „oder“ stellt Multi-Faktor-Authentifizierung und kontinuierliche Authentifizierung in Nummer 10 als gesetzliche Alternativen dar. Daraus folgt keine ausnahmslose Pflicht, gerade kontinuierliche Authentifizierung einzusetzen. Die übrigen Bestandteile des Mindestkatalogs und die Anforderungen an Eignung, Verhältnismäßigkeit und Wirksamkeit bleiben bestehen.
Welche rechtliche Grundlage gilt?
§ 30 BSIG verpflichtet die erfassten Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen Risikomanagementmaßnahmen für die informationstechnischen Systeme, Komponenten und Prozesse, die sie zur Erbringung ihrer Dienste nutzen. Diese Maßnahmen sind zu ergreifen, um Störungen ihrer Verfügbarkeit, Integrität und Vertraulichkeit zu vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
Rechtliche Grenze: Für die in § 30 Abs. 3 genannten Einrichtungsarten hat der dort bezeichnete Durchführungsrechtsakt der Europäischen Kommission Vorrang. Nach § 30 Abs. 4 gehen Anforderungen eines dort erfassten Durchführungsrechtsakts vor, soweit sie Anforderungen des § 30 entgegenstehen.
Für wen ist die Vorgabe relevant?
Der gesetzliche Bezug gilt für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Die Einordnung hängt insbesondere von Einrichtungsart, Sektor sowie den gesetzlichen Tätigkeits- und Größenmerkmalen ab. Für Einrichtungen der Bundesverwaltung gelten nach Maßgabe des § 29 Abs. 2 grundsätzlich die Regeln für besonders wichtige Einrichtungen.
Die Vorgabe gilt nicht allgemein für jede Organisation. § 28 Abs. 5 und 6 nimmt die dort bezeichneten Telekommunikations-, Energie-, Finanz- und Telematikinfrastruktur-Sachverhalte von § 30 aus. Nach § 29 Abs. 3 sind außerdem die dort genannten Geschäftsbereiche des Auswärtigen Amts und des Bundesministeriums der Verteidigung sowie BND und BfV von § 30 ausgenommen.
Wann wird kontinuierliche Authentifizierung ausgelöst?
Rechtlicher Auslöser: Entscheidend ist, dass § 30 BSIG auf die Einrichtung anwendbar ist und sie Risikomanagementmaßnahmen für die zur Diensterbringung genutzten Systeme, Komponenten und Prozesse festlegen muss. Das Gesetz bestimmt kein einzelnes technisches Signal als Auslöser.
Autoritative technische Empfehlung: Werden während einer Sitzung mögliche Betrugsanzeichen erkannt, soll die Relying Party nach NIST – gegebenenfalls zusammen mit CSP, IdP und Verifier – erneut authentifizieren, die Sitzung beenden oder zuständiges Personal benachrichtigen. Das sind technische Reaktionen, keine zusätzlichen gesetzlichen Tatbestandsmerkmale oder starren Fristen.
Wie funktioniert Session Monitoring technisch?
NIST nennt als mögliche, nicht abschließende Signale Nutzungsmuster, Geschwindigkeit und Timing, verhaltensbiometrische Merkmale wie Tippkadenz, Geräte- und Browsermerkmale, Geolokation sowie IP-Adressmerkmale. Auffälligkeiten können eine risikobasierte Reaktion auslösen.
Solche Signale ersetzen keinen Authentifizierungsfaktor und verändern nach NIST nicht das Authenticator Assurance Level einer Transaktion. Innerhalb des NIST-Regelungsrahmens müssen CSPs oder Verifier die Erhebung und Verarbeitung solcher Merkmale sowie die Speicherung erwarteter Merkmale in ihre Datenschutz-Risikobewertung einbeziehen. Daraus folgt nicht unmittelbar eine deutsche Rechtspflicht.
Welche Fristen und Schwellenwerte gelten?
§ 30 Abs. 2 Satz 2 Nr. 10 BSIG enthält weder eine eigene Umsetzungsfrist noch einen eigenen quantitativen Schwellenwert für kontinuierliche Authentifizierung. Größen-, Tätigkeits- und Sektorenschwellen können für die Einordnung einer Einrichtung nach § 28 BSIG relevant sein; sie sind keine technischen Betriebsschwellen dieser Maßnahme.
Welche Ausnahmen und Spezialregime sind zu prüfen?
Neben den Bereichsausnahmen des § 28 Abs. 5 und 6 sowie den Vorrangregeln des § 30 Abs. 3 und 4 kann § 37 BSIG relevant sein. Unter den dort geregelten Voraussetzungen kann ein Ausnahmebescheid eine besonders wichtige oder wichtige Einrichtung für bestimmte Tätigkeiten oder Dienste in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung teilweise von den Pflichten nach § 30 befreien; gleichwertige Vorgaben sind Voraussetzung. § 37 Abs. 4 nimmt Vertrauensdiensteanbieter von den Befreiungen nach § 37 Abs. 1 bis 3 aus.
Technisch schreibt § 30 weder bestimmte Signale noch eine permanente biometrische Überwachung vor. Welche Lösung angemessen ist, bleibt anhand der gesetzlichen Anforderungen, des konkreten Risikos und vorrangiger Spezialregelungen zu beurteilen.
Häufige Fehlannahmen
- „Kontinuierliche Authentifizierung ist für jede Organisation Pflicht.“ Nein. § 30 richtet sich an die erfassten besonders wichtigen und wichtigen Einrichtungen sowie nach Maßgabe des § 29 an Einrichtungen der Bundesverwaltung; Ausnahmen bleiben zu beachten.
- „§ 30 verlangt immer kontinuierliche Authentifizierung.“ Nein. Nummer 10 nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung.
- „Session Monitoring ist dasselbe wie MFA.“ Nein. MFA prüft mehrere Authentifizierungsfaktoren; Session Monitoring bewertet Merkmale einer laufenden Sitzung und ersetzt keinen Faktor.
- „Das Verfahren verlangt permanente Biometrie.“ Nein. NIST nennt Verhaltensbiometrie lediglich als eines von mehreren möglichen Signalen; § 30 schreibt keine bestimmte Überwachungstechnologie vor.
- „Jede Auffälligkeit erhöht oder senkt automatisch das AAL.“ Nein. Betrugsindikatoren können Reaktionen auslösen, verändern nach NIST aber nicht das AAL der Transaktion.
Was die Geschäftsleitung tun sollte
Gesetzliche Pflicht: Geschäftsleitungen erfasster Einrichtungen müssen nach § 38 Abs. 1 BSIG die von ihrer Einrichtung nach § 30 zu ergreifenden Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen.
- Anwendungsbereich prüfen: Einordnung nach §§ 28 und 29, Bereichsausnahmen sowie vorrangige Durchführungsrechtsakte und mögliche Spezialregelungen dokumentieren.
- Risikobasiert entscheiden: Nachvollziehbar festlegen, welche der beiden Lösungen – MFA oder kontinuierliche Authentifizierung – für welche betroffenen Dienste eingesetzt wird und wie der jeweilige Einsatz die Kriterien Eignung, Verhältnismäßigkeit und Wirksamkeit erfüllt.
- Reaktionen definieren: Regeln für erneute Authentifizierung, Sitzungsbeendigung und Benachrichtigung bei auffälligen Sitzungen festlegen.
- Datenschutzrisiken bewerten: Verwendete Sitzungsmerkmale, ihre Erhebung, Speicherung und Verarbeitung in die einschlägige Datenschutz-Risikobewertung einbeziehen.
- Wirksamkeit nachweisen: Entscheidung, Umsetzung, Überwachung und überprüfbare Wirksamkeitskriterien in geeigneten Nachweisen festhalten.
Die Schritte zwei bis fünf sind Praxisempfehlungen zur Umsetzung und Nachweisführung; sie erweitern den gesetzlichen Wortlaut nicht um eine bestimmte Technologie.
Für die Geschäftsleitung
Erst ist die Reichweite des BSIG einschließlich Ausnahmen und Spezialregimen zu klären. Danach ist innerhalb der gesetzlichen Alternative risikobasiert über MFA oder kontinuierliche Authentifizierung zu entscheiden. Der Nachweis sollte die Auswahlgründe, Anwendungsfälle, Reaktionen auf Auffälligkeiten, Datenschutzrisiken und die überwachte Wirksamkeit erkennen lassen.
Quellen
- Amtliche Rechtsquelle: Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), insbesondere §§ 28 bis 30, 37 und 38.
- Autoritative technische Quelle: NIST Special Publication 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, insbesondere Abschnitt 5.3 „Session Monitoring“.
