Sicherheit klingt gut

Viele Nutzerinnen und Nutzer verzichten zu Gunsten von Bequemlichkeit auf angebotene Security-Lösungen. Futurae versucht einen neuen Ansatz: Sicherheit durch den Vergleich von Umgebungsgeräuschen ohne Einschränkung der Bequemlichkeit.

Google Mail illustriert das Dilemma: Obwohl Zwei-Faktor-Authentifizierung (2FA) möglich ist, haben nur 6,4 Prozent der Nutzenden die Funktion aktiviert, wie das Sicherheitskonsortium Necoma berichtet. Gängige Lösungen sind vielfach unpraktisch, unsicher oder beides. Eine Alternative zu Varianten wie M-Tan, Biometrie oder Tokens kommt vom aus der ETH entstandenen Start-up Futurae: Soundproof vergleicht Umgebungsgeräusche von Computer und Handy und nutzt hochfrequente Tonmuster. Ein Match entsperrt den angesprochenen Dienst oder die Webseite. Dafür muss der Nutzer vorher eine App herunterladen. Ausser einer aktiven Bestätigung bei der Erstnutzung läuft der Vorgang anschliessend automatisch.

2FA ohne Hand anzulegen

So geht es: Nach Eingabe des ersten Faktors (z. B. Name, Passwort, Vertragsnummer) kontaktiert der angesprochene Dienst das durch die Erstanmeldung bekannte Handy. Zeitgleich aktivieren Computer und Handy ihre Mikrofone und machen eine Sekundenaufnahme der Umgebungsgeräusche. Die Computeraufnahme wird an das Smartphone übermittelt, wo der Vergleich der beiden Samples erfolgt. Die Daten werden nicht gespeichert und der Vorgang ist verschlüsselt. Ausser einer Bestätigung verlassen keine Daten das Handy. Die Nutzerin muss dabei weder das Smartphone aus der Tasche nehmen noch Zahlenfolgen eingeben oder QR-Codes scannen. Das System «weiss» einfach, dass sie sich in der Nähe des Computers befindet, und reagiert entsprechend. Auch preislich kann Futurae so punkten, da keine Kosten für teure Hardware-Tokens oder SMS-Gebühren für M-TANs anfallen. Ebenfalls abgedeckt ist der Trend zu Sprachassistenten wie Google Alexa oder Siri. Kritische Funktionen in der Sprachsteuerung können mit demselben Verfahren abgesichert werden. «Absolute Sicherheit gibt es nicht. Wir haben aber die Latte um einige Sprossen angehoben, und zwar, ohne die Usability einzuschränken», bestätigt Sandra Tobler, Mitgründerin von Futurae.

Eine Suite möglicher Verfahren

Dabei setzt das Unternehmen aber nicht nur auf Soundproof, sondern bietet eine ganze Suite verschiedener Authentifizierungsoptionen an – inklusive QR-Code, Transaktionssignatur oder M-Tan und Zahlenblocks. «Wir geben dem Kunden Optionen», so Tobler. Dies ist auch nötig, damit eine Authentifizierung erfolgen kann, wenn das Handy keine Verbindung zum Internet hat. In diesem Fall liefert die App als Alternative One-Time-Codes. Zudem gibt es eine reine Mobil-Lösung. Zu guter Letzt dürfte Futurae von den 2018 und 2019 einzuführenden EURichtlinien PSD2 oder GDPR profitieren. Unter anderem müssen dann alle EU-Transaktionen ab 30 Euro via 2FA bestätigt werden.

Christian Walter, swiss made software