Prüfschritt 3.3.8 Zugängliche Authentifizierung (Minimum)

2.1 Prüfung von Anmelde-Vorgängen

• Prüfen, ob das Kopieren und Einfügen eines Passworts in das entsprechende Textfeld möglich ist oder die Anmeldung mithilfe der autocomplete-Funktion (des Browsers) durchgeführt werden kann. Es gibt andere Optionen, die diesen Prüfschritt erfüllen:

  • Anmeldung über einen Drittanbieter mittels OAuth (Open Authorization) Methode

  • Bei Login auf dem eigenen Gerät: die biometrische Authentifizierung (über Iris-Scan, Gesichtserkennung oder Fingerabdruck)

  • Der Scan eines QR-Codes der auf einem anderem Gerät angezeigt wird

2.2 Prüfen einer 2-Faktor-Authentifizierung

• Prüfen, ob eine Transkription (etwa das Abschreiben eines Codes) zwingend notwendig ist. Wenn ein zugesandtes Passwort oder ein Verifizierungscode (Einmal-Passcode) kopiert und in das entsprechende Feld eingefügt werden kann, gilt der Prüfschritt als erfüllt.

2.3 Prüfung von Sicherheitsabfragen (CAPTCHAs)

• Prüfen, ob es sich bei einem CAPTCHA-Test im Rahmen einer Authentifizierung um einen kognitiven Funktionstest handelt. Lediglich Objekterkennung gilt als Ausnahme im Sinne des Prüfschritts (z.B. alle Bilder mit einer Ampel auswählen). Objekterkennung ist nicht nur auf die Erkennung von Bildern beschränkt, sondern umfasst auch Video- oder Audioinhalte.

3.1 Beschränkung der Authentifizierung auf Anmeldung bei bestehenden Konten

Das Understanding-Dokument bezieht Authentifizierung auf Login-Situationen, d.h., ein Nutzerkonto besteht bereits. Registrierungs-Prozesse sind nicht erfasst, denn hier liegen ja noch keine persönlichen Daten vor, die bei der Authentifizierung abgeglichen werden könnten.

3.2 Definition "kognitiver Funktionstest"

Ein kognitiver Funktionstest ist eine Aufgabe, bei der sich Nutzende an Informationen erinnern, diese bearbeiten oder abschreiben müssen. Beispiele für kognitive Funktionstests sind:

• Auswendig lernen (das Merken eines Benutzernamens, eines Passworts, einer Reihe von Zeichen, Bildern oder Mustern).

• Transkription (z. B. das Abschreiben und Eintippen von Zeichen, etwa zugesandten Einmal-Passcodes)

• Verwendung der korrekten Schreibweise

• Lösen von Rechenaufgaben

• Lösen von Rätseln (z. B. welcher der folgenden Begriffe ist kein Tier?)

Zwei-Faktor-Systeme, die nicht auf Codes beruhen, einschließlich Hardware-Authentifizierung, etwa über USB-Security-Tokens, nutzen keine kognitiven Funktionstests.

3.3 Zwei-Faktor-Authentifizierung

Es gibt Situationen, in denen ein Verifizierungscode auf einem zweiten Gerät empfangen oder erzeugt werden muss. Zum Beispiel erfordert die Authentifizierung in einem Webbrowser auf einem Laptop einen Verifizierungscode, der als SMS an ein Mobiltelefon gesendet wird. In den meisten Fällen ist es jedoch möglich, den Code direkt an das primäre Gerät zu senden, wo er dann kopiert und eingefügt werden kann. Nutzende können beispielsweise den Code auf dem sekundären Gerät kopieren und per E-Mail an das primäre Gerät senden. Eine andere Möglichkeit wäre, wenn der Code an eine gemeinsame geräteübergreifende Zwischenablage gesendet werden kann und damit das Kopieren von Inhalten auf dem sekundären Gerät und das Einfügen auf dem primären Gerät möglich wird.

Die Bewertung, ob der Code nahtlos vom sekundären Gerät auf das primäre Gerät übertragen werden kann oder nicht, liegt außerhalb des Anwendungsbereichs dieser Anforderung. Die Bewertung dieses Kriteriums erfordert daher nur die Überprüfung, ob der Webinhalt das Einfügen des Inhalts der Zwischenablage in das entsprechende Authentifizierungsfeld erlaubt.

Nicht erfüllt

Ein Authentifizierungsverfahren ist nur mit Hilfe eines kognitiven Funktionstests durchführbar (ausgenommen sind die Objekterkennung und das Wiedererkennen von selbst hinterlegten Inhalten). Es steht weder eine Alternative noch ein unterstützender Mechanismus (z. B. Kopieren und Einfügen auf dem gleichen Endgerät) zur Verfügung.

Guidelines

• 3.3 Input Assistance

Success Criterion

• 3.3.8 Accessible Authentication (Minimum) (AA)

Techniques