Multi Factor Authentication auf IBM i gehört zu den wichtigsten Sicherheitsmaßnahmen für moderne IT-Umgebungen. Besonders Unternehmen, die kritische Anwendungen auf IBM Power i betreiben, schützen damit ihre Systeme deutlich besser gegen unbefugte Zugriffe und Ransomware.
Mit IBM i 7.6 integriert IBM erstmals eine native MFA-Funktion direkt im Betriebssystem. Administratoren können dadurch Multi Factor Authentication ohne zusätzliche Software oder externe Server einsetzen. Der größte Vorteil für IBM i Anwender: Die MFA-Funktion arbeitet direkt mit den bestehenden Sicherheitsmechanismen des Systems zusammen.
Wichtige Eigenschaften der integrierten Lösung:
• MFA ist direkt im Betriebssystem integriert
• keine Zusatzsoftware oder Agenten notwendig
• funktioniert mit ACS, Navigator for i und Telnet
• unterstützt branchenübliche TOTP-Authentifikatoren
• kann pro Benutzerprofil individuell aktiviert werden
Für Unternehmen bedeutet das:
• höhere Sicherheit für Benutzeranmeldungen
• besserer Schutz gegen Passwortdiebstahl
• Unterstützung wichtiger Compliance-Standards
Viele Sicherheitsrichtlinien wie ISO 27001, GDPR oder PCI DSS verlangen heute bereits eine Multi Factor Authentication für kritische Systeme.
Wenn Sie also Ihre IBM i Sicherheit verbessern möchten, sollten Sie sich mit der integrierten MFA-Funktion von IBM i 7.6 unbedingt beschäftigen.
Hintergrund und Nutzen der Multi Factor Authentication auf IBM i
Die klassische Anmeldung auf IBM i erfolgt über Benutzerprofil und Passwort. Dieses Verfahren funktioniert seit Jahrzehnten zuverlässig. Allerdings reicht ein Passwort heute oft nicht mehr aus, um Systeme ausreichend zu schützen.
Genau hier setzt Multi Factor Authentication (MFA) an.
Bei MFA benötigt der Benutzer neben seinem Passwort einen zweiten Authentifizierungsfaktor, zum Beispiel:
• Ein Einmalpasswort aus einer Authenticator-App
• einen Hardware-Token
• eine mobile Authenticator-App
IBM nutzt dafür auf IBM i 7.6 das Verfahren Time Based One Time Password (TOTP).
Beim Login funktioniert der Ablauf folgendermaßen:
- Benutzer gibt sein Passwort ein
- Benutzer öffnet eine Authenticator-App
- Die App erzeugt einen zeitabhängigen Einmalcode
- Dieser Code wird zusätzlich zum Passwort eingegeben
Der große Vorteil:
• Das Passwort allein reicht nicht mehr aus
• gestohlene Passwörter verlieren ihren Wert
• automatisierte Angriffe werden deutlich erschwert
Die MFA-Funktion ist dabei tief im IBM i Sicherheitsmodell integriert:
• Integration in *Benutzerprofile (USRPRF)
• Nutzung der zentralen OS Sicherheitsfunktionen
• Kompatibilität mit System Service Tools (SST/DST)
Damit bleibt die Systemarchitektur sauber und wartbar.
Praxisbeispiel: MFA auf IBM i einrichten (Schritt für Schritt)
In diesem Abschnitt zeige ich Ihnen einen typischen Ablauf, wie Administratoren MFA auf IBM Power i einrichten.
1. Voraussetzungen prüfen
Bevor Sie starten, prüfen Sie folgende Punkte:
• IBM i Version 7.6 oder höher
• Hardware Power10 oder Power11
• TLS für Hostserver konfiguriert
• aktuelle Systemzeit (NTP empfohlen)
2. Sicherheitslevel anpassen
Die MFA-Funktion benötigt bestimmte Systemwerte.
Setzen Sie den Security Level:
CHGSYSVAL SYSVAL(QSECURITY) VALUE(40)
Passwortlevel anpassen:
CHGSYSVAL SYSVAL(QPWDLVL) VALUE(4)
Kennwortlevel 4 nutzt eine modernere Verschlüsselung für Passwörter.
3. MFA im System aktivieren
Jetzt aktivieren Sie die MFA-Funktion im Betriebssystem:
CHGSECA ADLSGNFAC(*ENABLED)
Danach ist ein IPL des Systems erforderlich, damit die Änderungen aktiv werden.
4. Benutzer richtet MFA ein
Der Benutzer erstellt anschließend seinen persönlichen TOTP-Schlüssel.
Beispiel:
CHGTOTPKEY(*GEN)
Der Schlüssel wird anschließend in einer Authenticator-App gespeichert.
Mögliche Apps:
• Google Authenticator
• Microsoft Authenticator
• Authy
Danach benötigt der Benutzer beim Login zusätzlich zum Passwort einen TOTP-Code.
Fortgeschrittene Anwendungen und Sicherheitsideen
Sobald MFA aktiv ist, ergeben sich zusätzliche Möglichkeiten für eine moderne IBM i Sicherheitsstrategie.
Ein besonders interessantes Feature ist der zentrale Authentifizierungs-Exit-Point.
IBM stellt dafür den Exit-Point:
QIBM_QSY_AUTH
zur Verfügung.
Damit können Administratoren zusätzliche Sicherheitsmechanismen integrieren.
Beispiele:
• Push-Authentifizierung auf Smartphones
• Integration mit Enterprise-Identity-Systemen
• zusätzliche Sicherheitsprüfungen beim Login
Ein weiteres Beispiel ist die Nutzung von MFA mit automatisierten Schnittstellen.
Einige Anwendungen können den MFA-Token direkt anhängen:
ssh user@system password:358538
Dabei wird der TOTP-Code einfach an das Passwort angehängt.
Zusätzliche Sicherheitsideen für IBM i Systeme:
• MFA nur für privilegierte Benutzer aktivieren
• Administratorprofile besonders schützen
• Audit-Journal für Login-Überwachung nutzen
• Schnittstellen wie ODBC oder JDBC prüfen
Gerade bei automatisierten Jobs oder Schnittstellen sollten Sie vorher testen, ob die Anwendungen mit MFA kompatibel sind.
Warum MFA auf IBM i jetzt wichtig wird
Multi Factor Authentication ist heute ein zentraler Bestandteil jeder modernen IT-Sicherheitsstrategie.
Mit IBM i 7.6 steht erstmals eine direkt integrierte MFA-Funktion im Betriebssystem zur Verfügung.
Die Vorteile liegen auf der Hand:
• deutlich höherer Schutz gegen Cyberangriffe
• einfache Integration in bestehende IBM i Systeme
• keine zusätzliche Software notwendig
• Unterstützung moderner Sicherheitsstandards
Besonders Unternehmen mit kritischen Anwendungen auf IBM Power i profitieren von dieser Funktion.
Mein Tipp aus der Praxis:
Starten Sie mit einem Pilotprojekt für Administrator-Accounts. Sammeln Sie Erfahrungen und erweitern Sie die MFA-Nutzung anschließend auf weitere Benutzergruppen.
Wenn Sie Ihre Kenntnisse im Bereich IBM i Sicherheit, Administration und moderne Systemfunktionen vertiefen möchten, finden Sie passende Schulungen hier:
Dort lernen Sie praxisnah:
• moderne IBM i Sicherheitskonzepte
• Administration mit Navigator und ACS
• neue Funktionen von IBM i 7.5 und 7.6
• konkrete Best Practices aus realen Projekten.