Alternativen zu schwachen und vermeintlich „starken“ Passwörtern
Die Frage, ob ein Passwort schwach oder stark ist, stellt sich im Grunde gar nicht. Denn über Phishing, Malware, Social Engineering und geleakte Passwort-Datenbanken ist jede Authentifizierung via Passwort mehr oder weniger leicht angreifbar. Erfreulicherweise gibt es mittlerweile Alternativen.
Selbst wenn Nutzer klug und aufmerksam genug sind, nicht auf Fake-Mails hereinzufallen, oder durch effektive Schutzmaßnahmen verhindern, dass Schadsoftware installiert wird – gegen den Passwort-Klau von Datenbanken ist am Ende jeder Nutzer machtlos! Cyber-Kriminelle kennen heute eine Vielzahl von Strategien, um sich Zugang zu fremden Accounts zu verschaffen.
Trotz erhöhter Nutzer-Sensibilisierung und einer deutlich verbesserten Cyber-Security als noch vor einigen Jahren ist die Bedrohung durch Hacker-Angriffe nach wir vor hoch. So schlagen Cyber-Kriminelle zu:
Die Unterscheidung zwischen echten Mails und Fakes wird immer schwieriger: Gut formulierte und in der Optik täuschend echt wirkende Fake-Seiten gibt es nicht nur von Bankfilialen, sondern auch von großen Internet-Dienstleistern und vermeintlichen Angeboten der Öffentlichen Hand.
Selbst wenn auf technischer Ebene ein maximaler Schutz gewährleistet ist, gibt es noch immer das Sicherheitsrisiko Mensch. So lässt sich beispielsweise kaum verhindern, dass ein argloser Mitarbeiter einem vermeintlichen Netzwerk-Administrator des Unternehmens auf den Leim geht, der am Telefon vorgibt, auf Anweisung des Chefs einen dringenden Notfall zu bearbeiten.
Natürlich gibt es unterschiedliche Qualitäten von Passwörtern. Doch je komplexer ein Passwort wird, desto unmöglicher wird es für Nutzer, sich dieses Passwort zu merken. Konsequenterweise entwickelt er Hilfskonstruktionen, wie zum Beispiel eine Passwortliste, die dann wiederum leicht angreifbar ist. Und das starke Passwort, das unter der Tastatur klebt, kann selbst jeder Laie „hacken“.
Nachdem die Internet-Kriminalität in den letzten Jahren spürbar zugenommen hat, wurden auch die Sicherheit von Authentifizierungsverfahren maßgeblich verbessert: Während sich mit „Single Sign-On“ das Passwort-Risiko zumindest reduzieren ließ, kombinieren mittlerweile die Multi-Faktor-Authentifizierung, FIDO-2/WebAuthn und der Passkey ein Höchstmaß an Sicherheit mit einer maximalen Praktikabilität und Nutzerfreundlichkeit.
Grundidee des Single Sign-On (SSO) ist die Authentifizierung eines Nutzers über einen zentralen Service. Nach der einmaligen Registrierung auf einer solchen Plattform eröffnet diese wiederum den Zugang zu weiteren Plattformen. Diesen Service bieten Anbieter wie beispielsweise Google und Facebook. Der Vorteil: Statt sich für jede Anmeldung ein separates Passwort merken zu müssen, kann sich der Nutzer mit einem einzigen möglichst sicheren (!) Passwort bei verschiedensten Diensten anmelden. Nachteil: Das grundsätzliche Passwort-Dilemma bleibt bestehen. Wird der zentrale Zugang gehackt, stehen Angreifern alle nachgelagerten Zugänge offen.
Eine wesentliche Grundlage für höhere Sicherheit ist die Multi-Faktor-Authentifizierung. Sie bietet einen wichtigen Ansatz zur Verbesserung des antiquierten Identitätsnachweises mittels Benutzername und Kennwort. Bei diesem Verfahren werden mindestens zwei von drei grundsätzlich verschiedenen Faktoren miteinander kombiniert, um eine Anmeldung abzusichern, zum Beispiel:
Da bei klassischen Authentifizierungsverfahren nicht nur der Nutzer, sondern auch eine „Gegenstelle“ über den Code (PIN, Passwort, Fingerabdruck) verfügen muss, gibt es gleich zwei Schwachstellen (Nutzer und Webseiten-Betreiber), um den Code abzugreifen. Bei der asymmetrischen Kryptographie ergänzen sich ein öffentlicher Schlüssel („Public Key“) und ein privater Schlüssel („Private Key“) zu einem Paar aus zwei verschiedenen Schlüsseln, die nur im Zusammenspiel einen Zugang öffnen können. Dieses Prinzip ist die Basis für Authentifizierungsverfahren, die beispielsweise für „FIDO-2“, WebAuthn und den Passkey genutzt werden.
In der „FIDO-Allianz“ („Fast Identity Online“) haben sich Hersteller von Betriebssystemen (Apple, Google, Microsoft), zahlreiche kommerzielle Anbieter (z.B. Amazon, Master-Card oder PayPal) und nicht zuletzt auch das deutsche Bundesamt für Informationstechnik (BSI) zusammengeschlossen, um den Sicherheitsstandard im Web zu erhöhen. WebAuthn ist ein offizieller Standard des W3Cs, der bereits heute von allen relevanten Browsern und Betriebssystemen unterstützt wird. Darüber hinaus ist in den meisten modernen Endgeräten ein Kryptochip eingebaut, der eine Authentifizierung über den WebAuthn-Standard ermöglicht.
Der Chip erzeugt einerseits einen privaten Schlüssel, der geheim bleibt, und andererseits einen öffentlichen Schlüssel, der an den Dienst gesendet wird. Bei einem späteren Log-In benötigen man nur den Benutzernamen und das Endgerät, mit dem man sich registriert hat. Der Server versendet eine Kontroll-Abfrage an das Gerät, das dieses mit Hilfe des privaten Schlüssels richtig beantwortet. Grundlage für dieses Verfahren ist die Programmierschnittstelle WebAuthn. Darüber hinaus ist es auch möglich, sich unabhängig vom Endgerät (PC, Smartphone) mit einem separaten Kryptochip (z.B. Security-Token) bei einem WebAuthn-fähigen Dienst anzumelden.
Passkeys nutzen ebenfalls Schlüsselpaare, die einen Nutzer identifizieren, ohne sensible Informationen preiszugeben. Sie schaffen damit die Grundlage für eine sichere und zugleich einfach handhabbare Authentifizierung.
Bei der Erstellung des Passkeys werden zwei kryptografische Schlüssel generiert:
Das Gerät erstellt bei jeder Anmeldung eine zeitbasierte Signatur, die kurz nach ihrer Erstellung abläuft. Selbst wenn sie abgefangen wird, ist sichergestellt, dass sie kein zweites Mal verwendet werden kann.
Passwörter – ob schwach oder scheinbar stark – bieten keinen verlässlichen Schutz mehr gegen moderne Cyberangriffe wie Phishing, Social Engineering oder Datenbank-Leaks. Die zunehmende Komplexität von Angriffsmethoden zeigt: Die klassische Passwort-Authentifizierung ist überholt. Die Zukunft liegt in sichereren, benutzerfreundlichen Alternativen wie der Multi-Faktor-Authentifizierung, FIDO2/WebAuthn und Passkeys. Diese Verfahren setzen auf kryptografische Schlüsselpaare und biometrische Merkmale, um Identitäten zuverlässig zu schützen – ohne dass der Nutzer sich komplizierte Passwörter merken muss. Damit wird ein wichtiger Schritt hin zu mehr digitaler Sicherheit und Nutzerkomfort gemacht.
Inhalt
Auf lange Sicht betrachtet, stehen wir erst am Anfang einer vernetzten digitalen Kommunikation in allen Bereichen der Wirtschaft. Die wirklich großen Sprünge digitaler Technologien liegen noch vor uns.
