Das Office of Management and Budget (OMB) des Weißen Hauses hat kürzlich eine wichtige Richtlinie herausgegeben und die Führung der US-Bundesbehörden darin angewiesen, Login.gov als primäre Authentifizierungsoption für alle öffentlich zugänglichen Websites des Bundes einzusetzen.
Die Richtlinie sieht ehrgeizige Fristen für die Umsetzung vor: Die Behörden müssen innerhalb von 60 Tagen eine Bestandsaufnahme der authentifizierungspflichtigen Portale durchführen, innerhalb von 240 Tagen umfassende Risikobewertungen für digitale Identitäten vornehmen und die vollständige operative Einführung innerhalb von zwei Jahren abschließen.
Die Richtlinie des OMB macht die Konsolidierung digitaler Identitäten von einem langfristigen Ziel der Behörden zu einer konkreten Compliance-Vorgabe und zwingt Führungskräfte dazu, veraltete Architekturen zu modernisieren und zugleich öffentlich zugängliche Systeme zu schützen.
Operative Hürden
Die Vorgabe verpflichtet Behörden dazu, Login.gov als standardmäßigen Identitätsanbieter (IdP) für die Authentifizierung von Bürgerinnen und Bürgern zu etablieren und zugleich weiterhin zugelassene kommerzielle Anbieter von Berechtigungsnachweisen (Credential Service Providers, CSPs) für spezifische behördliche Anforderungen zu unterstützen.
Für CIOs, CISOs und Enterprise-Architekten von Behörden stellt dies eine doppelte Herausforderung dar: Sie müssen strenge Fristen einhalten und zugleich einen modernen Identitätsanbieter für OpenID Connect (OIDC) und SAML in eine komplexe Infrastruktur integrieren.
“F5 vereinfacht die Compliance durch eine Architektur für Identitätsvermittlung und Edge-Sicherheit, die direkt in die F5 Application Delivery and Security Platform (ADSP) integriert ist.”
Der Großteil der digitalen Infrastruktur von US-Bundesbehörden ist nicht für eine direkte OIDC-Integration ausgelegt. Tausende geschäftskritische Anwendungen basieren auf veralteten Authentifizierungsmechanismen (wie Kerberos, HTTP-Header-Injection und proprietären Sitzungstoken), die Assertions moderner IdPs nicht ohne umfangreiche Überarbeitung des Codes nativ verarbeiten können.
Gleichzeitig entstehen durch die Bündelung des Datenverkehrs von Bürgerinnen und Bürgern in öffentlichen Authentifizierungsabläufen besonders attraktive Ziele für KI-gestützte und automatisierte Angriffe wie Credential Stuffing, Kontoübernahmen und Betrug mit synthetischen Identitäten. Diese Angriffe richten sich gegen die Registrierungsendpunkte von Behörden, noch bevor der Authentifizierungs-Handshake überhaupt stattfindet.
Der Fahrplan zur Compliance
Die OMB-Richtlinie legt vier entscheidende Meilensteine für die Umsetzung innerhalb eines Zeitraums von zwei Jahren fest:
- Innerhalb von 60 Tagen (Erfassung von Websites und APIs): Die Behörden müssen dem OMB ein validiertes Verzeichnis aller öffentlich zugänglichen Websites, Webanwendungen und APIs vorlegen, für die eine Benutzerauthentifizierung erforderlich ist.
- Innerhalb von 240 Tagen (Risikobewertung der digitalen Identität): Behörden müssen die Widerstandsfähigkeit der Authentifizierung, die Abläufe zur Identitätsprüfung und die Betrugsrisiken an allen öffentlich zugänglichen Zugangspunkten bewerten.
- Innerhalb eines Jahres (Koexistenz mehrerer Anbieter): Die Behörden müssen die Best Practices der General Services Administration für Login.gov übernehmen, Login.gov als Standardoption festlegen und für spezialisierte Nutzergruppen weiterhin parallel zugelassene kommerzielle CSPs (wie ID.me oder CLEAR) anbieten.
- Innerhalb von zwei Jahren (vollständige operative Einführung): Die Behörden müssen sicherstellen, dass Login.gov in allen betroffenen öffentlich zugänglichen IT-Systemen des Bundes vollständig implementiert wird.
Diese Übergänge mit F5 meistern
F5 vereinfacht die Einhaltung von Vorschriften durch eine Identitätsvermittlung und eine Edge-Sicherheitsarchitektur, die direkt in die F5 Application Delivery and Security Platform (ADSP) integriert sind. Anstatt Behörden zu zwingen, die Architektur ihrer Anwendungen manuell neu zu gestalten, fungiert F5 direkt im Datenpfad als zentrale Stelle zur Durchsetzung von Richtlinien und als Protokollbrücke. So unterstützt F5 Behörden dabei, Folgendes zu erreichen:
- Automatisierte Erkennung und Erfassung der Angriffsfläche (60-Tage-Meilenstein): F5 API security und F5 Distributed Cloud Web App Scanning können öffentlich zugängliche Webanwendungen, Endpunkte und Schatten-APIs in Hybrid- und Multi-Cloud-Umgebungen automatisch erkennen und katalogisieren. In Kombination mit Telemetriedaten von F5 Insight for ADSP können Behörden umfassende, geprüfte Bestandsverzeichnisse authentifizierter Angriffsflächen erstellen, ohne den zugrunde liegenden Code zu ändern.
- Betrugs- und Bot-Management vor der Authentifizierung (240-Tage-Meilenstein): F5 Distributed Cloud Bot Defense nutzt KI-gestützte Verhaltenstelemetrie am Anwendungsrand, um automatisiertes Credential Stuffing, Brute-Force-Angriffe und gefälschte Registrierungsversuche zu stoppen, bevor der Datenverkehr Login.gov oder die Server der Behörden erreicht. F5 WAAP überwacht kontinuierlich den Datenverkehr und prüft API-Authentifizierungsabläufe. Dabei werden quantifizierbare Telemetriedaten für die Risikobewertungen der Behörden bereitgestellt.
- Identitätsvermittlung und Multi-IdP-Föderation (Meilenstein nach einem Jahr): F5 BIG-IP Zero Trust Access fungiert als intelligentes Gateway für die Identitätsföderation. Die Lösung leitet neue Benutzer standardmäßig zu Login.gov weiter, während bestimmte Workflows mit hohem Vertrauensniveau oder Legacy-Workflows an zugelassene kommerzielle CSPs weitergeleitet werden. Dabei setzt sie einheitliche Autorisierungsrichtlinien für unterschiedliche vorgelagerte Anbieter durch.
- Überbrückung von Legacy-Protokollen ohne Neugestaltung der Architektur (Zweijahresmeilenstein): BIG-IP Zero Trust Access terminiert OIDC- und SAML-Assertions von Login.gov am Ingress-Proxy und übersetzt sie in Kerberos (KCD), HTTP-Header oder RADIUS-Sitzungen, die von Legacy-Backends benötigt werden. Für Behörden mit hohen Sicherheitsanforderungen sowie Verteidigungs- und Nachrichtendienste bieten F5 VELOS und F5 rSeries-Chassis eine nach FIPS 140-2/3 und DoDIN APL zertifizierte Leistung für souveräne und physisch isolierte Bereitstellungen.
Die richtigen Tools für den Zeitplan
Das OMB-Mandat macht eines deutlich: Die Konsolidierung digitaler Identitäten hat unmittelbar operative Priorität. Behörden, die sich frühzeitig vorbereiten, indem sie Authentifizierungsendpunkte erfassen, den Bot-Schutz am Netzwerkrand automatisieren und identitätsbewusste Protokollbrücken implementieren, werden diese Umstellungen bereits lange vor Ablauf der Compliance-Fristen reibungslos bewältigen.
Erfahren Sie, wie diese und weitere F5-Lösungen für den öffentlichen Sektor Bundesbehörden dabei unterstützen, sich weiterentwickelnde Compliance-Vorgaben zu erfüllen und die Modernisierung ihrer Infrastruktur zu beschleunigen.
Über den Autor
Ähnliche Blogbeiträge
Vier Gründe, warum Sie den F5 Post-Mythos Security Summit nicht verpassen sollten
Holen Sie sich Expertenrat, um Ihre Apps, APIs und Modelle in der Post-Mythos-Welt zu schützen.
Von einer App zu einer ganzen Agentenflotte: Ein 90-Tage-Framework für KI-Sicherheit
Vermeiden Sie den kostspieligen Ansatz „Jetzt bereitstellen, später absichern“ – mit einem umfassenden Framework zum Schutz von KI-Modellen, Anwendungen und autonomen Agenten.
Fünf Stufen antifragiler Cyberresilienz verwandeln Praxis in Ergebnisse
Erfahren Sie, wie fünf Stufen antifragiler Resilienz Störungen in adaptive Verhaltensweisen überführen, die Ausfälle begrenzen und hybride Multicloud-Architekturen stärken.
Warum Ihre KI-Richtlinien, Governance und Leitplanken nicht warten können
KI-Richtlinien und -Governance dürfen nicht länger als reine Formalitäten oder Zukunftsthemen betrachtet werden. Sie müssen durch praktische, durchsetzbare Leitplanken ergänzt werden.
Wenn „privat“ nicht privat ist: Wie ChatGPT-Unterhaltungen öffentlich wurden
KI verändert die Arbeitsabläufe in Unternehmen, doch eine übersehene Einstellung hat bereits Tausende vertraulicher Unterhaltungen öffentlich zugänglich gemacht
KI-Nutzung verstehen: Warum Unternehmen Transparenz brauchen
Anstatt einen zu laxen oder zu strengen Ansatz zu verfolgen, können Unternehmen durch mehr Transparenz bei der KI-Nutzung fundierte und durchsetzbare Entscheidungen treffen.