Auch genannt: Authentisierung, AuthN
Authentifizierung ist der Vorgang, mit dem ein System überprüft, ob eine Person, ein Gerät, ein Prozess oder eine Anwendung tatsächlich die behauptete Identität hat. Im digitalen Kontext weist der Anspruchsteller dazu nach, dass er ein oder mehrere zum Konto gehörende Authentifikatoren besitzt und kontrolliert. NIST beschreibt Authentifizierung als Prüfung der Identität eines Nutzers, Prozesses oder Geräts – häufig als Voraussetzung für den Zugriff auf Ressourcen.NIST CSRC: authentication
Eine Eingabe wie ein Nutzername allein genügt dafür nicht: Sie benennt nur ein Konto oder eine Identität. Erst ein überprüfbarer Nachweis ergänzt die Behauptung. Das kann beispielsweise ein Passwort, ein kryptografischer Schlüssel auf einem Sicherheitsschlüssel oder eine lokale biometrische Prüfung auf einem Gerät sein. Welche Methode angemessen ist, hängt unter anderem vom Schutzbedarf, vom Einsatzkontext und vom möglichen Schaden bei einer Fehlentscheidung ab.
An einer digitalen Anmeldung sind mindestens zwei Seiten beteiligt: die Instanz, die eine Identität behauptet, und ein Prüfer, im Englischen Verifier. Nach NIST besteht ein Authentifizierungsprotokoll aus einer festgelegten Nachrichtenfolge, mit der ein Anspruchsteller den Besitz und die Kontrolle gültiger Authentifikatoren nachweist; dabei kann auch geprüft werden, ob der Anspruchsteller mit dem vorgesehenen Verifier kommuniziert.NIST SP 800-63B: Digital Identity Guidelines
Vereinfacht läuft der Ablauf so ab: Eine Person wählt ein Konto aus oder gibt eine Kennung ein. Das System fordert einen Nachweis an, prüft ihn gegen die zum Konto hinterlegte Bindung und entscheidet, ob die Identität für diese Anmeldung als bestätigt gilt. Bei Erfolg entsteht oft eine Sitzung oder ein Token, mit dem die Anwendung spätere Anfragen diesem angemeldeten Kontext zuordnen kann. Ein Zugangstoken kann laut NIST nach einem Authentifizierungsereignis verwendet werden, damit eine Anwendung Dienste im Namen des Kontoinhabers nutzen kann.NIST SP 800-63B: Session Management
Die Prüfung muss nicht bedeuten, dass ein Dienst ein Geheimnis im Klartext speichert oder erneut über das Netz sendet. Das konkrete Verfahren unterscheidet sich je nach Authentifikator. Wichtig bleibt der Zweck: Nicht die Kennung soll „richtig aussehen“, sondern die kontrollierte Nutzung des gebundenen Nachweises soll die Identitätsbehauptung stützen.
Als Faktoren werden verschiedene Arten von Nachweisen unterschieden: etwas, das man weiß, etwa Passwort oder PIN; etwas, das man besitzt, etwa einen kryptografischen Token; und etwas, das man ist, etwa ein biometrisches Merkmal. Diese Einteilung führt NIST ausdrücklich bei der Beschreibung der Authentifizierung auf.NIST CSRC: authentication
Bei einer Mehrfaktor-Authentifizierung, kurz MFA, kombiniert ein Dienst Nachweise aus unterschiedlichen Faktorarten. Passwort und Sicherheitscode aus einer Authenticator-App können beispielsweise zwei unterschiedliche Nachweise darstellen. Zwei Sicherheitsfragen wären dagegen keine MFA, wenn beide lediglich Wissen abfragen: OWASP weist darauf hin, dass zwei Nachweise derselben Kategorie nicht zu Mehrfaktor-Authentifizierung werden.OWASP: Authentication Cheat Sheet
MFA ist kein automatisches Gütesiegel für jeden einzelnen Login. Die konkrete Sicherheit hängt auch davon ab, wie die Faktoren registriert, geprüft, wiederhergestellt und gegen Angriffe geschützt werden. NIST behandelt deshalb neben Authentifikatoren auch deren Bindung an Konten, Wiederherstellung und Verlust oder Kompromittierung.NIST SP 800-63B: Authenticator Event Management Einen Überblick über das Zusammenspiel mehrerer Faktoren bietet der Lexikonbeitrag Multi-Faktor-Authentifizierung.
Eine Kundin öffnet ein Kundenportal und gibt ihre E-Mail-Adresse sowie ihr Passwort ein. Die E-Mail-Adresse ordnet die Anmeldung einem Konto zu; das Passwort dient als erster Nachweis. Ist für das Konto ein zusätzlicher Faktor eingerichtet, fordert das Portal anschließend zum Beispiel eine Bestätigung mit einem Sicherheitsschlüssel oder in einer Authenticator-App an. Erst nach erfolgreicher Prüfung beider Nachweise gilt die Anmeldung für diesen Vorgang als authentifiziert.
Danach kann das Portal eine angemeldete Sitzung führen. Das ist praktisch, weil die Kundin nicht bei jedem Seitenwechsel erneut alle Nachweise liefern muss. Zugleich ist die Sitzung selbst schützenswert: Wer eine aktive Sitzung übernehmen kann, würde nicht erneut die ursprünglichen Faktoren vorlegen. OWASP empfiehlt deshalb unter anderem, nach einer erneuten Authentifizierung Sitzungen zu invalidieren und Tokens zu rotieren.OWASP: Authentication Cheat Sheet
Das Beispiel zeigt auch, dass Authentifizierung nicht mit der ersten Eingabemaske endet. Registrierung zusätzlicher Faktoren, Kontowiederherstellung, Gerätewechsel und Reaktion auf verdächtige Ereignisse gehören zur Lebensdauer einer digitalen Identität. NIST bündelt hierzu Standards, Leitlinien und Praxisressourcen für Identitäts- und Zugriffsmanagement, einschließlich Authentifizierung und Autorisierung.NIST: Identity and access management
Authentifizierung beantwortet die Frage: „Wer oder was versucht, auf das System zuzugreifen?“ Autorisierung beantwortet anschließend eine andere Frage: „Ist diese konkrete Aktion oder Ressource für diese Identität erlaubt?“ NIST definiert Autorisierung unter anderem als Entscheidung, einem Subjekt den Zugriff auf Systemobjekte wie Netzwerke, Daten, Anwendungen oder Dienste zu erlauben oder zu verweigern.NIST CSRC: authorization
Im Kundenportal kann die Kundin daher erfolgreich angemeldet sein und trotzdem keine Rechnung einer anderen Kundin sehen. Die erfolgreiche Anmeldung bestätigt nicht von selbst jede Berechtigung. Erst eine Regel, Rolle oder andere Zugriffsentscheidung erlaubt oder verweigert den einzelnen Abruf. Authentifizierung liefert dafür einen verlässlicheren Ausgangspunkt; sie ersetzt die Rechteprüfung jedoch nicht.
Auch die Identitätsprüfung ist davon abzugrenzen. Sie kann bei der Kontoeröffnung prüfen, ob eine digitale Identität zu einer realen Person gehört. Die spätere Authentifizierung prüft dagegen bei jedem Login, ob der aktuelle Anspruchsteller die zu diesem Konto gebundenen Nachweise kontrolliert. Für den weiteren Kontext gehört der Begriff zur IT-Sicherheit.
Stand der Quellen: 13. September 2026