NIST-Authentifizierungsrichtlinien: Implementierungsleitfaden

Die NIST-Richtlinien zur digitalen Identität (Special Publication 800-63-Serie) bieten den grundlegenden Rahmen für sichere, datenschutzfreundliche digitale Authentifizierung in den Vereinigten Staaten und darüber hinaus. Stand 2026 ist die aktuelle Version Revision 4 (SP 800-63-4), die im Juli/August 2025 abgeschlossen wurde. Dieses große Update ersetzt die Revision 3 von 2017 (SP 800-63-3) und geht auf sich entwickelnde Bedrohungen wie KI-gesteuerte Angriffe (z. B. Deepfakes, Injection-Angriffe), ausgefeilteres Phishing, synchronisierbare Authentifizierer (z. B. Passkeys) sowie verbesserte Nutzbarkeits- und Datenschutzaspekte ein.

Die Suite besteht aus vier Bänden:

SP 800-63-4 — Überblick und Risikomanagement-Rahmen.
SP 800-63A-4 — Identitätsprüfung und Registrierung (Identitätsversicherungsstufen: IAL1–3).
SP 800-63B-4 — Authentifizierung und Authentifikator-Management (Authentifikator-Versicherungsstufen: AAL1–3).
SP 800-63C-4 — Föderation und Assertions (Föderations-Versicherungsstufen: FAL1–3).

Dieser Leitfaden konzentriert sich hauptsächlich auf Authentifizierung (aus SP 800-63B-4), mit Implementierungsschritten, wesentlichen Änderungen gegenüber früheren Versionen und praktischen Empfehlungen für Organisationen.

Verständnis der Authenticator Assurance Levels (AALs)

NIST definiert drei fortschreitende Authenticator Assurance Levels basierend auf der Stärke der Authentifizierungsprozesse und der Widerstandsfähigkeit gegen Angriffe:

Ebene	Beschreibung	Anwendungsfall
AAL1	Geringes Sicherheitsniveau. Eine Einzel-Faktor-Authentifizierung reicht aus (z. B. Passwort oder ein einprägsames Geheimnis).	Geeignet für Anwendungen mit geringem Risiko.
AAL2	Mittleres Sicherheitsniveau. Multi-Faktor-Authentifizierung (MFA) erforderlich, wobei mindestens eine phishing-resistente Option dringend empfohlen wird.	Üblich für die meisten Unternehmens- und Verbraucherdienste.
AAL3	Hohes Sicherheitsniveau. Phishing-resistente MFA + Schutz gegen Kompromittierung des Verifizierers (z. B. Hardware-Kryptografie-Authentifikatoren oder FIDO2 mit starken Schlüsseln).	Erforderlich für Systeme mit hoher Auswirkung (z. B. Finanzwesen, kritische Infrastruktur).

Schlüsselprinzip: Wählen Sie AAL basierend auf einer Risikobewertung aus — kein Einheitsansatz für alle.

Wesentliche Änderungen in SP 800-63B-4 (2025)

Überarbeitung 4 bewegt sich hin zu risikobasierter, ergebnisorientierter Anleitung anstelle starrer Checklisten. Zu den bemerkenswerten Aktualisierungen gehören:

Starke Förderung von Phishing-resistenten Authentifikatoren (z. B. FIDO2-Passkeys, sowohl gerätegebunden als auch synchronisierbar) als Basis für AAL2/AAL3.
Integration von synchronisierbaren Authentifikatoren (z. B. über Geräte hinweg synchronisierte Passkeys) mit spezifischen Sicherheitskontrollen.
Verbesserte Abwehr gegen automatisierte Angriffe, Deepfakes/Manipulationen bei der Registrierung und Komprimittierung des Verifizierers.
Fortgesetzte Betonung auf keine verpflichtenden periodischen Passwortänderungen, es sei denn, es gibt Hinweise auf Kompromittierung.
Fokus auf Benutzerfreundlichkeit, Zugänglichkeit und Datenschutz (z. B. faire biometrische Leistung, reduzierte Reibung).
Aktualisierte Bedrohungsmodelle unter Berücksichtigung von KI-gestütztem Betrug.

Key Authentifizierungsanforderungen und Implementierungsschritte

Befolgen Sie diese Schritte, um eine NIST-konforme Authentifizierung umzusetzen:

1. Durchführung einer Risikobewertung und Auswahl von AAL

Führen Sie einen Digital Identity Risk Management (DIRM)-Prozess gemäß SP 800-63-4 durch.
Ordnen Sie potenzielle Auswirkungen (z. B. Vertraulichkeit, Integrität, Verfügbarkeit) zu, um initiale IAL/AAL/FAL auszuwählen.
Passen Sie Kontrollen basierend auf zusätzlichen Bedrohungen an (z. B. fügen Sie Phishing-Schutz für den Fernzugriff hinzu).

2. Authentifikatoren auswählen und bereitstellen

Merkt euch Geheimnisse (Passwörter/PINs):

Mindestens 8 Zeichen für vom Benutzer gewählte; 6 für systemgenerierte.
Keine Zusammensetzungsregeln (z. B. keine erzwungenen Großbuchstaben/Symbole/Zahlen).
Überprüfung gegen Listen kompromittierter Passwörter (z. B. Integration von Have I Been Pwned).
Leerzeichen/Unicode erlauben; Passphrasen empfehlen.

Mehrfachfaktor (AAL2+):

MFA für AAL2/AAL3 erforderlich.
Bevorzugen Sie phishing-resistente Optionen: FIDO2/WebAuthn (Passkeys), zertifikatbasiert oder Hardware-Token.
Synchronisierbare Passkeys werden jetzt ausdrücklich mit Bindungs- und Widerrufskontrollen unterstützt.

Biometrie:

Verwendung als Teil von Multi-Faktor (nicht als einziger Faktor).
Sicherstellen von Präsentationsangriffserkennung (Lebenderkennung) und demografischer Fairness.
Vermeiden Sie SMS-OTPs für hohe Sicherheitsstufen aufgrund von SIM-Swapping-Risiken; bevorzugen Sie app-basierte TOTP oder Push-Benachrichtigungen nur, wenn sie phishing-resistent sind.

3. Anforderungen des Prüfers umsetzen

Speichern Sie Geheimnisse gehasht mit genehmigten Algorithmen (z.B. PBKDF2, Argon2, bcrypt) und hohen Iterationszahlen/Salz.
Verwenden Sie Ratenbegrenzung, CAPTCHA oder adaptive Authentifizierung, um Brute-Force-/Credential-Stuffing-Angriffe zu verhindern.
Geben Sie niemals Klartext-Geheimnisse weiter; verwenden Sie sichere Kanäle (TLS 1.3+).

4. Authenticator-Lebenszyklus verwalten

Bindung: Authentifikatoren sicher mit Benutzerkonten verknüpfen.
Verlust/Diebstahl/Komprimittierung: Unterstützung von Widerruf, erneuter Bindung und Benachrichtigungen.
Ablauf/Erneuerung: Keine erzwungenen Passwortänderungen; Änderung nur bei Nachweis eines Verstoßes.
Backup/Wiederherstellung: Sichere Prozesse für verlorene Authentifikatoren (z. B. Wiederherstellungscodes, vertrauenswürdige Kontakte).

5. Föderation aktivieren (falls zutreffend)

Verwenden Sie SP 800-63C-4, um Identität über Domänen hinweg zu bestätigen.
Bevorzugen Sie phishing-resistente Föderationsprotokolle (z. B. OpenID Connect mit FIDO).

6. Überwachen, Prüfen und Verbessern

Protokollieren Sie Authentifizierungsereignisse ohne sensible Details.
Implementieren Sie kontinuierliche Bewertungsmetriken (neu in Version 4).
Führen Sie regelmäßige Tests durch (z. B. Red-Team-Phishing-Simulationen).

Praktische Umsetzungstipps für 2026

Mit Passkeys beginnen: Auf FIDO2/Passkeys für AAL2+ umsteigen — sie beseitigen geteilte Geheimnisse und widerstehen Phishing.
Passwortmanager: Ermutigen Sie die Nutzung zur Erstellung/Speicherung langer, einzigartiger Geheimnisse.
Gestufte Einführung: Beginnen Sie mit der Durchsetzung von AAL2-MFA und fügen Sie dann den Phishing-Schutz hinzu.
Werkzeuge und Standardskonformität:
- Verwenden Sie Bibliotheken, die WebAuthn/FIDO2 unterstützen (z. B. in Browsern, mobilen SDKs).
- Integrieren Sie Dienste zur Überprüfung von Datenverletzungen.
- Für Bundes-/hochgesicherte Anwendungen: Richten Sie sich nach FedRAMP- oder CMMC-Anforderungen unter Bezugnahme auf NIST 800-63.

Häufige Fallstricke, die vermieden werden sollten:

Beibehalten von alten Komplexitätsregeln oder erzwungenen Rücksetzungen.
Übermäßige Abhängigkeit von SMS/E-Mail für MFA.
Ignorieren von Risiken bei synchronisierbaren Authentifikatoren (z. B. ordnungsgemäße End-to-End-Verschlüsselung).

Durch die Befolgung von NIST SP 800-63B-4 erreichen Organisationen eine stärkere, benutzerfreundlichere Authentifizierung und verringern gleichzeitig das Risiko von Verstößen durch Diebstahl von Anmeldedaten und Phishing – was in einer Ära von KI-unterstützten Angriffen entscheidend ist.

Quellen

Übernehmen Sie diese Richtlinien schrittweise, priorisieren Sie phishing-resistente MFA und bewerten Sie das Risiko regelmäßig neu. Sichere Authentifizierung ist die Grundlage für modernes Vertrauen.