Balance zwischen regulatorischer Compliance und Sicherheit

Das Management digitaler Identitäten stellt sowohl kommerzielle Unternehmen als auch Behörden vor komplexe Herausforderungen, da sie sich in einem Umfeld ständig weiterentwickelnder Sicherheits-, Datenschutz- und Compliance-Vorgaben bewegen. Für die meisten Organisationen bilden Frameworks des National Institute of Standards and Technology (NIST) wie NIST SP 800-63-3, seit ihrer Veröffentlichung im Juni 2017 die Grundlage für die Governance digitaler Identitäten und dienen als maßgebliche kommerzielle Leitlinien. Mit dem Aufkommen von NIST SP 800-63-4 wurde das traditionelle monolithische Modell jedoch modular aufgebaut und erfordert die Einhaltung klar definierter Assurance Levels.

Dieser Wandel spiegelt den übergeordneten Bedarf an flexiblem, resilientem und skalierbarem Identity and Access Management (IAM) wider, das dynamische Integrationen sowie kontinuierliche und adaptive Verifizierung innerhalb einer einheitlichen Plattform unterstützt. Diese Fähigkeiten sind nicht nur für die regulatorische Compliance entscheidend, sondern auch für die Umsetzung einer sicheren Zero Trust-Architektur, die moderne Initiativen zur digitalen Transformation unterstützt.

Berücksichtigung der Assurance Levels von NIST SP 800-63-4

Identity-Lösungen ermöglichen es Organisationen im öffentlichen und kommerziellen Sektor, die technischen Anforderungen von NIST SP 800-63-4 zu erfüllen, indem sie direkt auf dessen drei voneinander abhängige Assurance Levels eingehen:

• Identity Assurance Level (IAL) — 800-63A-4
• Authenticator Assurance Level (AAL) — 800-63B-4
• Federation Assurance Level (FAL) — 800-63C-4

NIST SP 800-63A, „Identity Proofing and Enrollment“, konzentriert sich auf die technischen Anforderungen, mit denen ein Nutzer seine reale Identität nachweist und als gültiger Abonnent registriert wird. Dieser Prozess, bekannt als Identity Proofing, ist ein grundlegendes Element einer Zero Trust-Architektur, da er das anfängliche Vertrauen in eine Identität etabliert. Ping Identity unterstützt Organisationen bei der Erfüllung der Anforderungen von NIST SP 800-63A mit einer einheitlichen Plattform, die die Erfassung erforderlicher Identitätsattribute und der zugehörigen Assurance Levels ermöglicht.

Jedes der drei Assurance Levels repräsentiert eine entscheidende Dimension des Vertrauens in digitale Identitäten. Gemeinsam bilden sie das Rückgrat der Compliance mit NIST SP 800-63-4, indem sie sicherstellen, dass Nutzer korrekt identifiziert, sicher authentifiziert und nahtlos über Systeme hinweg föderiert werden. Durch die parallele Berücksichtigung dieser Ebenen können Organisationen eine umfassende Identitätsgrundlage schaffen, die nicht nur Compliance-Anforderungen erfüllt, sondern auch ihre Zero Trust-Strategie stärkt. Sehen wir uns an, wie jedes Assurance Level zum Aufbau dieses vertrauenswürdigen Frameworks beiträgt.

Compliance mit den IAL-Richtlinien

Identity-Plattformen unterstützen alle drei IALs:

• IAL1 (Selbstdeklaration): Erfasst vom Antragsteller selbst angegebene Attribute.
• IAL2 (Remote oder persönlich): Erfasst belastbarere Identitätsnachweise und ermöglicht Remote- oder Vor-Ort-Szenarien gemäß NIST SP 800-63A.
• IAL3 (Persönlich oder remote begleitet): Unterstützt die strengen Identity-Proofing-Prozesse, die für das höchste Assurance Level erforderlich sind.

Benutzerregistrierung und Profiling

Funktionen für Benutzerregistrierung, Onboarding, progressives Profiling und Self-Service, die mit führenden Identity-Proofing-Services (z. B. Ping Verify, ID.me, Socure) sowie IDPs (z. B. Login.gov) zusammenarbeiten und Assurance Levels für jedes Attribut erfassen und dokumentieren, sind entscheidend für die Einhaltung der IAL-Richtlinien. Ping kann Attribute mit Metadaten speichern, die das bestätigte IAL der autoritativen Quelle ausweisen.

NIST SP 800-63B, „Authentication and Authenticator Management“, definiert die technischen Anforderungen, um sicherzustellen, dass ein Anspruchsteller die Kontrolle über die Authenticatoren besitzt, die an seine digitale Identität gebunden sind. Diese AALs sind entscheidend für die Bewertung der Robustheit des Authentifizierungsprozesses. In einer Zero Trust-Architektur bilden AALs ein zentrales Element und liefern starke Identitätssignale als Grundlage für kontinuierliche Verifizierungsrichtlinien.

• AAL1: Erzwingt eingeschränkten Zugriff und stellt sicher, dass Kommunikationskanäle geschützt sind, während in einem Zero Trust-Kontext kontinuierlich weitere kontextuelle Signale bewertet werden.
• AAL2: Orchestriert eine Multi-Faktor-Authentifizierungsreise, indem nach Benutzername/Passwort eine FIDO-konforme und/oder biometrische Authentifizierung erforderlich ist.
• AAL3: Erzwingt hardwarebasierte Authenticatoren wie PIV/CAC-Karten, die Schutz auf FIPS 140-Niveau und Widerstandsfähigkeit gegen Verifier-Impersonation bieten. Ping unterstützt passwortlose Lösungen, die diese Authentifizierungsmethoden zusätzlich erweitern können. Selbst mit den stärksten Authenticatoren gewährleistet Ping kontinuierliche Autorisierungsrichtlinien und stellt sicher, dass Vertrauen niemals statisch ist.

Compliance mit den AAL-Richtlinien

Eine moderne Identity-Plattform bietet alle notwendigen Komponenten und eine flexible Architektur, um die Compliance mit NIST SP 800-63B über alle AALs hinweg zu erreichen. Die Plattform stellt über 100+ Nodes zur Unterstützung von Authentifizierung, Autorisierung und Lifecycle-Management von Identitäten bereit, einschließlich OTP, Multi-Faktor-Authentifizierung (MFA), FIDO und WebAuthN.

Adaptive Authentifizierung und Policy-Orchestrierung ermöglichen dynamische, risikobasierte Authentifizierungsabläufe durch die Auswertung digitaler Signale wie bekannter Standort und Geräte-Fingerprint. Dadurch kann bei Erkennung eines Hochrisikosignals bzw. einer Anomalie automatisch eine Step-up-Authentifizierung ausgelöst werden, wodurch das Zero Trust-Prinzip der kontinuierlichen Verifizierung gestärkt wird. Beispielsweise kann Ping basierend auf Signalen oder Verhalten zusätzliche AAL-Stufen für weitergehende Authentifizierungsentscheidungen durchsetzen.

Umfangreiches Authenticator-Portfolio

Eine einheitliche Identity-Plattform kann eine breite Palette von Authenticator-Typen unterstützen, wie sie von NIST SP 800-63B zugelassen sind, darunter wissensbasierte Geheimnisse, Out-of-Band-Geräte sowie verschiedene kryptografische Authenticatoren und FIDO-basierte Tokens.

Adaptive Authentifizierung und Policy-Orchestrierung

Ein Grundpfeiler sowohl der NIST-Richtlinien als auch von Zero Trust ist die Orchestrierung. Die Low-Code/No-Code-Orchestrierungs-Engine von Ping ermöglicht Administratoren die Gestaltung individueller und konformer User Experience (UX). Die Plattform von Ping nutzt eine fortschrittliche Policy-Engine zur Erstellung dynamischer, risikobasierter Authentifizierungsabläufe. Sie kann eine Vielzahl kontextueller digitaler Signale wie Gerätezustand, Geolokalisierung und IP-Reputation bewerten. Zudem kann sie sowohl RBAC- als auch ABAC-Authentifizierungsentscheidungen auf Basis von Echtzeitanalysen durchsetzen. Entscheidungs-Nodes innerhalb anpassbarer Authentifizierungsabläufe können automatisch eine Step-up-Authentifizierung für hochwertige Anwendungen und/oder bei Erkennung eines Hochrisikosignals auslösen.

Föderation & Assertions

NIST SP 800-63C, „Federation and Assertions“, definiert Anforderungen an Identity Provider (IdPs) und Relying Parties (RPs). Ping Identity beteiligt sich aktiv an der Entwicklung und Weiterentwicklung von Standards im Bereich Föderation.

Die Ping Identity Platform integriert nativ leistungsstarke Föderationsfunktionen, die grundlegend dafür sind, Zero-Trust-Prinzipien über verteilte Anwendungen und Partnerökosysteme eines Unternehmens hinweg zu erweitern.

FAL-Richtlinienkonformität

Es ist wichtig, dass Ihre IAM-Plattform über eine leistungsfähige Föderations-Engine verfügt, die offene Standards wie SAML 2.0, OpenID Connect (OIDC) und OAuth 2.0 unterstützt. Dadurch wird sichergestellt, dass Assertions strikt gemäß NIST SP 800-63C erzeugt und geschützt werden. Alle Assertions werden kryptografisch signiert, um Integrität und Authentizität sicherzustellen. Für FAL2 und FAL3 verschlüsselt die Plattform den Inhalt der Assertions.

Moderne Funktionen stellen sicher, dass Assertions strikt gemäß NIST SP 800-63C erzeugt und geschützt werden, einschließlich:

• Digitale Signaturen: Assertions werden mithilfe von Schlüsseln oder Message Authentication Codes (MACs) kryptografisch signiert, um ihre Integrität und Authentizität sicherzustellen.
• Verschlüsselung: Für FAL2 und FAL3 sowie immer dann, wenn Assertions über nicht vertrauenswürdige Zwischenstellen übertragen werden, wird der Inhalt der Assertions verschlüsselt. Dies schützt sensible Attribute während der Übertragung und wahrt die Datenschutzprinzipien von Zero Trust.
• Audience Restriction: Erzeugte Assertions enthalten explizite Audience Restrictions, die das Einschleusen und Wiederverwenden von Assertions verhindern, die für eine Relying Party bestimmt sind, bei einer anderen. Dies stärkt den sicherheitspolitischen Grundsatz.

Back- und Front-Channel-Präsentation

Es ist wichtig, dass Ihre Identity-Plattform sowohl Back- als auch Front-Channel-Präsentationsmodelle gemäß NIST unterstützt. Das Back-Channel-Modell wird für FAL2 und höher empfohlen, da es die Offenlegung von Informationen über den Browser des Benutzers minimiert. Zero Trust erfordert, dass vertrauenswürdige Assertions kontinuierlich bewertet werden, und Pings granulare Attributnutzung sowie Richtliniendurchsetzung stellen sicher, dass Zugriffsentscheidungen selbst über föderierte Grenzen hinweg auf Grundlage der aktuellsten Kontextinformationen getroffen werden.

Datenschutzfördernde Techniken

IAM-Lösungen sollten datenschutzfördernde Techniken unterstützen, die mit den Prinzipien der geringsten Privilegien und des Datenschutzes von Zero Trust im Einklang stehen, darunter:

• Attributminimierung: Ermöglicht die Anforderung nur der minimal erforderlichen Attribute oder abgeleiteter Attribute, um die Offenlegung personenbezogener Daten (PII) zu minimieren, im Einklang mit dem Zero-Trust-Prinzip des „Least-Privilege-Zugriffs auf Daten“. Identity APIs ermöglichen das Abrufen von Attributen nur bei Bedarf und reduzieren so unnötige Datenexposition.
• Explizite Einwilligung & Benachrichtigung: Unterstützt Mechanismen für eine explizite Benutzereinwilligung vor der Übermittlung von Attributen an Relying Parties und gewährleistet so Vorhersehbarkeit und Steuerbarkeit während des gesamten Prozesses. Dies gibt Benutzern Kontrolle über ihre Daten und schafft das Vertrauen, das für die Einführung sicherer Zero-Trust-Umgebungen entscheidend ist.
• Benutzergesteuerte Wallets: Die Unterstützung benutzergesteuerter Wallets (digitale Wallets) entspricht dem Fokus von NIST SP 800-63C auf dieses aufkommende Modell. Diese Wallets, die als vom Subscriber kontrollierte Identity Provider fungieren, ermöglichen die selektive Offenlegung von Attributen von einem Provider an eine Relying Party. Dadurch erhält der Subscriber direkte Kontrolle und Einwilligung über die Offenlegung seiner Attribute.

Tabelle 1 — Federation Assertion Levels

Tabelle 2 — NIST Special Publication 800-63C

Unterstützung für Legacy-Anwendungen

Die Unterstützung für Legacy-Anwendungen wird für Systeme bereitgestellt, die auf Header-Authentifizierung oder formularbasierte Authentifizierung angewiesen sind, und gewährleistet Compliance, ohne eine vollständige Modernisierung bestehender Umgebungen zu erfordern.

Zero Trust & Kritische Vertrauensniveaus

Die Digital Identity Guidelines NIST SP 800-63-4 sind nicht nur eine Ergänzung zu Zero Trust, sondern essenziell dafür. Als eines der maßgeblichsten Frameworks im Bereich digitaler Identität legt NIST 800-63-4 die technische Grundlage für die Implementierung von Zero Trust, indem drei entscheidende Vertrauenskomponenten formalisiert werden: starke Identitätsprüfung (IAL), MFA (AAL) und sichere Föderation (FAL). Diese Elemente stehen in direktem Einklang mit den Kernprinzipien von Zero Trust – „Verify Explicitly“ und „Continuous Verification“ – und stärken diese.

Ping Identity unterstützt NIST SP 800-63-4 mit modernem IAM

Ping Identity bietet eine einheitliche Plattform, die darauf ausgelegt ist, die Anforderungen von NIST SP 800-63-4 durch die folgenden zentralen Funktionen zu erfüllen.

Intelligente Benutzerregistrierung & Self-Service

Umfassende Funktionen für die Benutzerregistrierung, die Wiederherstellung vergessener Benutzernamen/Passwörter und Progressive Profiling sind zentrale Komponenten, um Sicherheit und Nutzererlebnis optimal aufeinander abzustimmen. Diese Funktionen sind so konzipiert, dass sie direkt in Authentifizierungsprozesse integriert werden können, wodurch Reibungsverluste und Verwirrung für Benutzer minimiert und gleichzeitig wesentliche Identitätsattribute erfasst werden. Durch die Erhebung dieser Attribute innerhalb der User Journey etabliert Ping erste Vertrauenssignale und reichert das Benutzerprofil an, das anschließend für adaptive Authentifizierung und kontinuierliche Autorisierung in einem Zero-Trust-Modell genutzt werden kann.

Adaptive Authentifizierung & Richtlinienorchestrierung

Moderne IAM-Lösungen nutzen fortschrittliche Richtlinien-Engines und Orchestrierungsfunktionen, um dynamische, risikobasierte Authentifizierungsprozesse zu erstellen. Dies umfasst:

Bewertung digitaler Signale

Ihr System muss in der Lage sein, eine Vielzahl kontextueller digitaler Signale zu erfassen und auszuwerten, wie z. B. den Gerätezustand (z. B. ob ein Gerät verwaltet, gepatcht oder jailbroken ist), Geolokalisierung, IP-Reputation und Verhaltensanalysen (z. B. ungewöhnliche Zugriffsmuster oder Abweichungen im Nutzerverhalten).

Entscheidungsknoten

Entscheidungsknoten verarbeiten diese Signale in Echtzeit innerhalb anpassbarer Authentifizierungsprozesse. Dadurch können die Authentifizierungsanforderungen dynamisch angepasst werden. Wird beispielsweise ein Hochrisikosignal erkannt, kann automatisch eine Step-up-Authentifizierung (die einen zusätzlichen Faktor erfordert) ausgelöst werden.

Risikobewertung

Die Plattform weist jedem Zugriffsversuch oder jeder laufenden Sitzung auf Grundlage der aggregierten Kontextinformationen einen dynamischen Risikowert zu. Dieser Wert ist entscheidend für explizite Autorisierungsentscheidungen innerhalb eines Zero-Trust-Frameworks.

Information von nachgelagerten Anwendungen

Das im Authentifizierungsprozess gesammelte Wissen und die abgeleiteten Risikowerte können an RPs und andere nachgelagerte Anwendungen übermittelt werden. Dies liefert entscheidenden Kontext für granulare, Echtzeit-Zugriffsentscheidungen und die Durchsetzung von Zero-Trust-Richtlinien wie dem Least-Privilege-Prinzip.

Umfassende Föderation & API-Sicherheit

Ping bietet umfassende Unterstützung für alle wichtigen Föderations- und Autorisierungsstandards und ermöglicht so eine sichere, interoperable Identität über unterschiedliche Ökosysteme hinweg, darunter:

• SAML 2.0: Für den sicheren Austausch von Authentifizierungs- und Autorisierungsdaten zwischen unterschiedlichen Identitätsdomänen zur Ermöglichung von Single Sign-on (SSO).
• WS-Federation: In erster Linie für Unternehmens-Identitätsföderation in Microsoft-zentrierten Umgebungen.
• OAuth 2.0: Als weit verbreitetes Autorisierungs-Framework für delegierten Zugriff, das es Benutzern ermöglicht, Drittanbieteranwendungen begrenzten Zugriff auf ihre Ressourcen zu gewähren, ohne Anmeldedaten weiterzugeben.
• OpenID Connect (OIDC): Baut auf OAuth 2.0 auf und stellt eine Identitätsschicht bereit, die die Verifizierung der durch einen Authorization Server durchgeführten Authentifizierung sowie den Abruf grundlegender Profilinformationen über den Endbenutzer ermöglicht. Dies ist entscheidend für die Aktivierung von SSO und verifizierbaren Identitätsansprüchen.

Vorteile für die NIST SP 800-63-4-Compliance & die Implementierung von Zero Trust

Moderne IAM-Plattformen bieten überzeugende Vorteile für Behörden und Unternehmen, die die Compliance mit NIST SP 800-63-4 erreichen und gleichzeitig eine Zero-Trust-Architektur aufbauen und stärken möchten.

Bereitstellungsflexibilität

Durch die Wahrung der Funktionsparität über IL5, FedRAMP High und traditionelle Softwarebereitstellungen hinweg können Behörden einmal konfigurieren und überall bereitstellen – selbst in DDIL-Umgebungen. Diese Anpassungsfähigkeit stellt sicher, dass Identität als Grundpfeiler jeder Zero-Trust-Architektur dienen kann.

Vereinfachte, granulare Compliance

Fortschrittliche Identity-Ökosysteme sind so konzipiert, dass sie direkt dem komponentenbasierten IAL-, AAL- und FAL-Framework von NIST entsprechen. Sie bieten granulare Kontrolle sowie klare, auditierbare Compliance-Pfade und reduzieren den Aufwand und die Komplexität erheblich. Durch die Bereitstellung der von NIST geforderten detaillierten Assurance-Levels und technischen Mechanismen liefert Ping die notwendigen Signale für eine präzise Durchsetzung von Zero Trust-Richtlinien.

Verbesserte Sicherheitslage & kontinuierliche Verifizierung

Stärken Sie Ihre gesamte Sicherheitslage, indem Sie starke Authentifizierungsfaktoren vorschreiben und durchsetzen, zugelassene kryptografische Verfahren nutzen und sichere Kommunikationsprotokolle (z. B. TLS/HTTPS, FIPS 140-validierte Module) gewährleisten. Nutzen Sie eine Identity-Plattform mit adaptiven Authentifizierungsfunktionen, um Benutzer, Geräte und Kontext während der gesamten Sitzung zu verifizieren und Risiken durch ausgeklügelte Angriffe wie Identitätsdiebstahl, Replay, Phishing und Insider-Bedrohungen zu minimieren.

Verbesserte UX & höhere Akzeptanz

Trotz der zugrunde liegenden technischen Komplexität bietet Ping eine reibungslose und intuitive UX. Adaptive Authentifizierungs-Journeys, optimierte Self-Service-Funktionen (Self-Registration und Passwort-Reset) sowie nahtlose Föderation (SSO) reduzieren Reibungspunkte. Dies steigert nicht nur die Zufriedenheit, sondern fördert auch die stärkere Akzeptanz sicherer Identity-Praktiken, verringert die Versuchung unsicherer Workarounds und reduziert den Bedarf an Helpdesk-Support.

Anpassungsfähigkeit bei sich weiterentwickelnden Bedrohungen

Mit einem auf offenen Standards basierenden Ansatz stellen Sie Interoperabilität sicher und vermeiden Vendor Lock-in. Die hochgradig konfigurierbare Policy-Engine von Ping ermöglicht es Unternehmen, sich schnell an neue Bedrohungen anzupassen, neue Authenticator-Technologien (z. B. zukünftige FIDO-Standards) zu integrieren und veränderte regulatorische Anforderungen zu erfüllen. Diese integrierte Agilität gewährleistet langfristige Compliance und Zukunftssicherheit in einer dynamischen Bedrohungslandschaft.

Privacy by Design

Mit integrierten Funktionen für Datenminimierung, Pseudonymität und explizites Einwilligungsmanagement unterstützt Ping Unternehmen dabei, Datenschutz von Grund auf in ihre Identity-Architektur zu integrieren. Dies steht im direkten Einklang mit dem Fokus von NIST auf den Schutz personenbezogener Daten und stärkt das Zero Trust-Prinzip des „Least Privilege“-Zugriffs, indem sichergestellt wird, dass sensible Informationen nur bei Bedarf und mit Wissen des Benutzers abgerufen und verarbeitet werden.

Never Trust, Always Verify

Als anerkannter Marktführer im Bereich IAM und Identity Governance unterstützt Ping Identity Unternehmen dabei, die Komplexität digitaler Identitäten souverän zu bewältigen. Die Plattform wurde speziell entwickelt, um die drei von NIST SP 800-63-4 vorgeschriebenen Assurance-Levels zu erfüllen: IAL-A, AAL-B und FAL-C.

Durch die Ausrichtung an den Kernprinzipien von Zero Trust – „never trust, always verify“ – und kontinuierlicher Verifizierung ermöglicht Ping es Unternehmen, ihre Sicherheitslage zu verbessern, Compliance zu vereinfachen und die UX durch adaptive, risikobasierte Identity-Journeys zu optimieren. Die erweiterbare und standardbasierte Architektur gewährleistet langfristige Agilität und Interoperabilität und macht die Lösung zukunftssicher angesichts sich wandelnder Anforderungen.