Das Portal id.ac-versailles.fr/arena basiert für einen Großteil seiner Nutzer weiterhin auf einer Authentifizierung mit einer einzigen Benutzerkennung und einem Passwort. Diese Architektur hält den aktuellen Angriffstechniken nicht mehr stand: Credential Stuffing, gezieltes Phishing auf akademische E-Mail-Konten, Abfangen von Sitzungen über offene WLAN-Netzwerke in Bildungseinrichtungen. Die Sicherheit der Authentifizierung bei id.ac-versailles.fr arena vor 2026 zu stärken, erfordert Maßnahmen in drei spezifischen technischen Bereichen, ohne auf einen hypothetischen zentralen Rollout zu warten.
Protokollbeschränkungen des akademischen SSO und tatsächliche Angriffsfläche
Der von ARENA verwendete CAS (Central Authentication Service) bündelt den Zugang zu mehreren Dutzend Anwendungen: SIAM, LSU, I-Prof, akademische E-Mail. Ein kompromittiertes CAS-Sitzungstoken gewährt daher gleichzeitig Zugang zu all diesen Diensten. Die Angriffsfläche beschränkt sich nicht auf das Anmeldeformular: Sie umfasst das Sitzungscookie TGT (Ticket Granting Ticket) und dessen Lebensdauer, die oft auf mehrere Stunden konfiguriert ist.
Wir beobachten, dass die Mehrheit der gemeldeten Vorfälle auf akademischen Portalen nicht auf eine Schwachstelle des CAS-Servers selbst zurückzuführen ist, sondern auf die Wiederverwendung kompromittierter Passwörter auf anderen Diensten. Ein Lehrer, der dasselbe Passwort für seine persönliche E-Mail und für ARENA verwendet, gefährdet den gesamten beruflichen Bereich.
Die Authentifizierung bei id.ac-versailles.fr arena zu stärken, beginnt zunächst mit der Reduzierung der Lebensdauer der TGT-Token und der systematischen Ungültigmachung von Sitzungen nach Schließen des Browsers, zwei serverseitige Einstellungen, die keine Benutzeraktion erfordern.
MFA-Rollout auf ARENA: Was NIS2 und die CNIL konkret vorschreiben
Die Multifaktor-Authentifizierung ist mittlerweile das Referenzmaß für den Zugang zu personenbezogenen Daten in großem Umfang. Die CNIL betrachtet es als Nachlässigkeit im Hinblick auf die DSGVO und die NIS2-Richtlinie, MFA bei kritischen Zugängen (E-Mail, zentrale Informationssysteme) nicht zu aktivieren.
Für ein Portal, das die Daten von mehreren Hunderttausend Mitarbeitern und Schülern bündelt, hat diese Position direkte Konsequenzen. Bis 2026 ist MFA keine optionale Best Practice mehr, sondern eine Voraussetzung für die Konformität, um ein ausreichendes Sicherheitsniveau gegenüber den Aufsichtsbehörden nachzuweisen.
OTP-Optionen, die mit dem akademischen Kontext kompatibel sind
Der Rollout von MFA auf ARENA muss spezifische Einschränkungen berücksichtigen: Nicht alle Mitarbeiter verfügen über ein dienstliches Smartphone, die mobile Netzabdeckung ist in einigen Einrichtungen ungleichmäßig, und der Bestand an iOS- oder Android-Geräten ist heterogen.
- Der OTP-Code über die TOTP-Anwendung (FreeOTP, Google Authenticator) funktioniert offline nach der initialen Registrierung, was ihn auch ohne mobile Netzverbindung in der Einrichtung nutzbar macht.
- Das Versenden von OTP über akademische E-Mail (Webmail Versailles) schafft eine zirkuläre Abhängigkeit, wenn die E-Mail selbst über dasselbe SSO CAS läuft, was es zu einer zu vermeidenden Wahl für den zweiten Faktor macht.
- Die FIDO2/WebAuthn-Schlüssel bieten den besten Schutz gegen Phishing, aber ihre Stückkosten und die Logistik der Verteilung im Maßstab einer Akademie dieser Größe bremsen den schnellen Rollout.
Wir empfehlen einen schrittweisen Ansatz: TOTP verpflichtend für Profile mit hohen Privilegien (SIAM-Manager, Einrichtungsadministratoren) ab dem neuen Schuljahr, gefolgt von einer Ausweitung auf alle Mitarbeiter im ersten Semester 2026.
Sitzungshygiene und Browsereinstellungen auf der Benutzerseite
Die Stärkung auf der Serverseite entbindet nicht von einer strengen Konfiguration auf der Clientseite. In einem gemeinsam genutzten Browser im Lehrerzimmer ermöglicht ein nicht abgelaufenes CAS-TGT dem nächsten Benutzer den Zugang zu ARENA, ohne erneut Anmeldedaten eingeben zu müssen.
Die explizite Abmeldung über die Schaltfläche zum Beenden der Sitzung in ARENA sollte zu einem systematischen Reflex werden. Das bloße Schließen des Tabs reicht nicht aus: Das Sitzungscookie bleibt bestehen, solange der Browser geöffnet bleibt. Auf mobilen Geräten (iOS oder Android) birgt die Anmeldung über den integrierten Browser einer Drittanbieteranwendung dasselbe Risiko, da der Cache nicht automatisch geleert wird.
Zu überprüfende Browsereinstellungen
- Das automatische Speichern von Passwörtern für die Domain id.ac-versailles.fr in den Browsereinstellungen deaktivieren. Integrierte Passwortmanager speichern Anmeldedaten im Klartext in bestimmten älteren Versionen.
- Die Löschung von Cookies beim Schließen des Browsers konfigurieren, mindestens für die Domains *.ac-versailles.fr.
- Auf einem gemeinsam genutzten Arbeitsplatz immer den privaten Modus für jede Verbindung zum ARENA-Portal verwenden.
- Überprüfen, dass das IMAP-Protokoll der akademischen E-Mail mit TLS-Verschlüsselung konfiguriert ist und nicht im Klartext auf lokalen E-Mail-Clients läuft.
Passwortpolitik und Erkennung kompromittierter Anmeldedaten
Die aktuelle akademische Passwortpolitik schreibt eine Mindestlänge und eine regelmäßige Erneuerung vor. Dieses Modell wird heute von den aktuellen Sicherheitsstandards als unzureichend angesehen, die Länge und die Überprüfung gegen Datenbanken mit kompromittierten Passwörtern bevorzugen, anstatt eine erzwungene Erneuerung.
Ein 16-stelliges Passwort, das nicht anderswo wiederverwendet wird, schützt mehr als ein 8-stelliges Passwort, das alle 90 Tage erneuert wird. Häufige Erneuerungen führen dazu, dass Benutzer am Ende der Zeichenkette eine Ziffer erhöhen, was die tatsächliche Entropie auf fast nichts reduziert.
Der automatische Vergleich von Passwort-Hashes mit bekannten Leak-Datenbanken (wie HaveIBeenPwned) würde es ermöglichen, bereits exponierte Anmeldedaten proaktiv zu blockieren. Dieser Mechanismus, der in das akademische LDAP-Verzeichnis integrierbar ist, bleibt die effektivste Ergänzung zu MFA für Konten, die noch nicht davon profitieren.
Der Zeitrahmen 2026 lässt ein enges Fenster. Akademien, die bereits die Zwei-Faktor-Authentifizierung auf ihren Portalen generalisiert haben, zeigen, dass der technische Rollout weniger Zeit in Anspruch nimmt als die Begleitung der Benutzer. Die Priorität für Versailles besteht darin, schrittweise MFA, die Reduzierung der Lebensdauer der CAS-Sitzungen und die Kontrolle kompromittierter Passwörter zu kombinieren, ohne darauf zu warten, dass jeder Baustein perfekt ist, um die nächsten zu aktivieren.