Was ist der Authentication Assurance Level (AAL)?

Was ist der AAL (Authentication Assurance Level)?#

Authentication Assurance Level (AAL) bezeichnet eine Klassifizierung, die verwendet wird, um die Stärke und Zuverlässigkeit von Authentifizierungsprozessen zu beschreiben. Definiert in der Special Publication SP 800-63-3 des NIST, hilft der AAL Organisationen dabei, das angemessene Sicherheitsniveau für ihre digitalen Interaktionen zu bestimmen.

Es gibt drei Stufen des AAL:

AAL1: Grundlegende Sicherheit#

• Bietet ein gewisses Vertrauen in die Benutzerauthentifizierung.
• Umfasst typischerweise eine Ein-Faktor-Authentifizierung, wie z. B. ein Passwort oder ein OTP-Gerät.

AAL2: Hohe Sicherheit#

• Erfordert zwei verschiedene Faktoren für die Authentifizierung.
• Diese Stufe berücksichtigt zusätzliche Sicherheitsmaßnahmen wie Replay-Resistenz und kürzere Reauthentifizierungszeiten.
• Synchronisierte Passkeys sind AAL2-konform.

AAL3: Sehr hohe Sicherheit#

• Beinhaltet eine Multi-Faktor-Authentifizierung unter Verwendung eines hardwarebasierten Authenticators.
• Umfasst strenge Sicherheitsanforderungen, einschließlich Resistenz gegen Verifier-Impersonation und Resistenz gegen Verifier-Kompromittierung.
• Gerätegebundene Passkeys sind AAL3-konform.

Jede Stufe ist auf unterschiedliche Sicherheitsanforderungen zugeschnitten, von Umgebungen mit geringem Risiko bei AAL1 bis hin zu hohen Sicherheitsanforderungen bei AAL3.

---

Hier ist ein tieferer Einblick in die Authentication Assurance Levels und ihre Auswirkungen:

AAL1: Zugänglichkeit und Risiken#

• Ausgerichtet auf Anwendungen mit geringer Sicherheit, bei denen die Benutzerfreundlichkeit im Vordergrund steht.
• Anfällig für gängige Sicherheitsbedrohungen aufgrund der Abhängigkeit von einfachen Authentifizierungsformen wie Passwörtern (z. B. Phishing, Man-in-the-Middle-Angriffe, Credential Stuffing, …)

AAL2: Erweiterte Sicherheitsmaßnahmen#

• Geeignet für Transaktionen, die eine höhere Sicherheit erfordern.
• Kombiniert physische (z. B. Sicherheitstoken) und wissensbasierte Faktoren (z. B. Passwörter), um die Sicherheit zu erhöhen.

AAL3: Höchste Sicherheitsstandards#

• Entwickelt für Hochrisikoumgebungen, um maximale Sicherheit zu gewährleisten.
• Nutzt fortschrittliche kryptografische Maßnahmen und Hardware-Resistenz gegen physische Manipulation.

Verbesserungen bei AAL im Zusammenhang mit Passkeys#

• NIST stuft synchronisierte Passkeys (z. B. über den iCloud-Schlüsselbund) als AAL2-konform ein, was den Sicherheitsrahmen für digitale Entitäten verbessert und den Weg für eine breitere Akzeptanz von Passkeys ebnet.
• Passkeys können auch in Szenarien mit höherem Risiko als AAL3-konforme Authentifizierung verwendet werden, wenn es sich um gerätegebundene Passkeys handelt, die keine Synchronisierung von Passkeys über Geräte hinweg wie bei AAL2 erlauben.

Lesen Sie mehr über die AAL-Konformität von Passkeys in diesem Blog.

---

Häufig gestellte Fragen (FAQs) zum Authentication Assurance Level (AAL)#

Was ist AAL1 und wann wird es verwendet?#

AAL1 bietet grundlegende Authentifizierungssicherheit und wird häufig in Umgebungen mit geringem Risiko eingesetzt, in denen die Benutzerfreundlichkeit im Vordergrund steht.

Wie verbessert AAL2 die Sicherheit gegenüber AAL1?#

AAL2 erfordert zwei verschiedene Authentifizierungsfaktoren, was das Risiko eines unbefugten Zugriffs im Vergleich zu AAL1 erheblich reduziert.

Was sind die Anforderungen für AAL3?#

AAL3 ist die höchste Stufe der Authentifizierungssicherheit und umfasst hardwarebasierte Authenticators sowie strenge Sicherheitsmaßnahmen wie die Resistenz gegen Verifier-Impersonation.

Wie wirken sich Passkeys auf die AAL-Klassifizierungen aus?#

Synchronisierte Passkeys (z. B. über den iCloud-Schlüsselbund) werden als AAL2-konform eingestuft, während gerätegebundene Passkeys als AAL3-konform klassifiziert werden. Lesen Sie mehr darüber in diesem Blog.

Über Corbado

Corbado ist die Passkey Intelligence Platform für CIAM-Teams, die Consumer-Authentifizierung im großen Maßstab betreiben. Wir zeigen Ihnen, was IDP-Logs und generische Analytics-Tools nicht sehen können: welche Geräte, OS-Versionen, Browser und Credential-Manager Passkeys unterstützen, warum Enrollments nicht zu Logins werden, wo der WebAuthn-Flow scheitert und wann ein OS- oder Browser-Update den Login still und leise unterbricht – und das alles, ohne Okta, Auth0, Ping, Cognito oder Ihren In-House-IDP zu ersetzen. Zwei Produkte: Corbado Observe ergänzt Observability für Passkeys und jede andere Login-Methode. Corbado Connect bringt Managed Passkeys mit integrierter Analytics (neben Ihrem IDP). VicRoads betreibt Passkeys für über 5 Mio. Nutzer mit Corbado (+80 % Passkey-Aktivierung). Mit einem Passkey-Experten sprechen →