Authentizität bezeichnet im digitalen Kontext die nachweisbare Echtheit einer Information, einer Nachricht, einer Webseite oder einer Identität. Während Authentifizierung den Vorgang der Identitätsprüfung beschreibt, ist Authentizität das Ergebnis: die Gewissheit, dass etwas tatsächlich von dem stammt, der es vorgibt. Im Internet ist Authentizität ein Grundpfeiler des Vertrauens — ob bei der verschlüsselten Kommunikation über HTTPS, bei der Zustellung von E-Mails oder bei der Integrität heruntergeladener Software.
Im Gegensatz zur physischen Welt, in der Unterschriften, Siegel oder persönliche Begegnungen die Echtheit belegen, ist die Identität im Internet nicht unmittelbar erkennbar. Ohne technische Maßnahmen zur Sicherstellung der Authentizität wäre es für Angreifer einfach, sich als eine andere Person, ein anderes Unternehmen oder eine andere Webseite auszugeben. Die Folgen reichen von Phishing-Angriffen über gefälschte E-Mails bis hin zu manipulierten Software-Downloads. Authentizitätsmechanismen schaffen die technische Grundlage dafür, dass Benutzer den Inhalten und Diensten im Internet vertrauen können.
Ein SSL-Zertifikat erfüllt zwei zentrale Aufgaben: Es verschlüsselt die Datenübertragung zwischen Browser und Server, und es bestätigt die Authentizität des Servers. Wenn ein Browser eine HTTPS-Verbindung aufbaut, prüft er das SSL-Zertifikat des Servers und verifiziert, dass es von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority) ausgestellt wurde und zur aufgerufenen Domain passt.
Die drei Validierungsstufen bieten unterschiedliche Grade der Authentizitätsprüfung:
Digitale Signaturen sind ein kryptografisches Verfahren, das die Authentizität und Integrität von Daten sicherstellt. Der Absender signiert eine Nachricht oder ein Dokument mit seinem privaten Schlüssel. Der Empfänger kann die Signatur mit dem öffentlichen Schlüssel des Absenders überprüfen und so zwei Dinge feststellen:
Digitale Signaturen kommen in verschiedenen Bereichen zum Einsatz: bei der Code-Signierung von Software, bei elektronischen Dokumenten, bei SSL-Zertifikaten (die von der Zertifizierungsstelle signiert werden) und bei der E-Mail-Verschlüsselung mittels S/MIME oder PGP.
Im E-Mail-Verkehr ist die Sicherstellung der Authentizität besonders herausfordernd, da das SMTP-Protokoll keine eingebaute Absenderverifizierung besitzt. Drei Protokolle wurden entwickelt, um diese Lücke zu schließen:
Gemeinsam bilden diese drei Protokolle ein mehrstufiges System zur E-Mail-Authentifizierung, das Spoofing und Phishing wirksam erschwert.
Auch bei Software spielt Authentizität eine wichtige Rolle. Code-Signierung ermöglicht es Entwicklern, ihre Software digital zu signieren. Betriebssysteme und Browser prüfen diese Signatur vor der Installation und warnen den Benutzer, wenn die Software nicht signiert ist oder die Signatur ungültig ist. Prüfsummen (Hashes) bieten eine ergänzende Möglichkeit: Der Herausgeber veröffentlicht den Hash-Wert einer Datei, und der Benutzer kann nach dem Download überprüfen, ob die heruntergeladene Datei mit dem Original übereinstimmt.
Das Domain Name System (DNS) ist die Grundlage der Namensauflösung im Internet. Ohne zusätzliche Schutzmaßnahmen können DNS-Antworten gefälscht werden (DNS-Spoofing), sodass Benutzer unbemerkt auf falsche Server umgeleitet werden. DNSSEC (DNS Security Extensions) adressiert dieses Problem, indem DNS-Einträge digital signiert werden. Empfangende DNS-Server können die Signatur prüfen und so die Authentizität der DNS-Antwort verifizieren. DNSSEC schützt damit die Authentizität der Namensauflösung und bildet eine wichtige Vertrauensbasis für alle darauf aufbauenden Dienste.
Die bereitgestellten Informationen dienen ausschließlich der allgemeinen Orientierung. Für Richtigkeit, Vollständigkeit und Aktualität wird keine Gewähr übernommen. Die Inhalte sind nicht rechtsverbindlich und nicht Bestandteil einer Leistungsbeschreibung.