Sofern Sie nicht über ein fotografisches Gedächtnis verfügen, wird Ihnen dies wahrscheinlich sehr bekannt vorkommen. Stellen Sie sich Folgendes vor: Sie befinden sich nicht an Ihrem Schreibtisch und müssen über Ihr Smartphone auf eine der Anwendungen zugreifen. Sie versuchen, sich anzumelden, und erhalten die gefürchtete Meldung: „Der angegebene Benutzername und das Passwort stimmen nicht mit unseren Unterlagen überein“. So beginnt der zeitaufwändige Prozess der Passwortwiederherstellung, einschließlich der Wahl eines neuen Passworts, das sich von denen unterscheidet, die Sie in der Vergangenheit bereits verwendet haben. Trotz dieser Frustration sind Passwörter seit Jahrzehnten die Eckpfeiler für die Sicherheit unserer Online-Daten. In der heutigen digitalen Welt benötigen wir jedoch mehr als nur Passwörter.

Hier sind einige wichtige Gründe, warum:

Anfälligkeit gegenüber Cyberangriffen

• Passwörter sind häufig das Ziel von Phishing-Angriffen, Brute-Force-Angriffen und dem Ausfüllen von Anmeldedaten.
• Gestohlene Passwörter werden häufig im Dark Web verkauft, wodurch sensible Informationen gefährdet werden.

Menschliche Grenzen

• Es fällt den Menschen schwer, sich komplexe Passwörter zu merken, was zu schwachen oder wiederverwendeten Anmeldedaten führt.
  • Mit der Weiterentwicklung der künstlichen Intelligenz können Hacker Passwörter schneller knacken und herkömmliche Sicherheitsmaßnahmen umgehen.
• Häufig verwendete Passwörter wie „123456“ oder „Passwort“ sind trotz der Aufklärungskampagnen nach wie vor weit verbreitet.
  • Passwortmanager sind zwar nützlich, jedoch nicht absolut sicher und können kompromittiert werden.

Die Frustration der Nutzer

• Passwortwiederherstellungen machen einen erheblichen Teil der IT-Supportanfragen aus, was bei den Nutzern Frustration und bei den Unternehmen Kosten verursacht.

Datenschutzvorfälle

• Allein im Jahr 2023 wurden weltweit mehrere Milliarden Anmeldedaten aufgrund schwacher oder wiederverwendeter Passwörter offengelegt, was zu einem Rekordjahr bei Datenlecks führte.
  • Unternehmen geben jährlich Millionen für Probleme im Zusammenhang mit Passwörtern aus, darunter Passwort-Wiederherstellungen, Support und Sicherheitsmaßnahmen. Laut IBM belaufen sich die durchschnittlichen Gesamtkosten eines Datenlecks auf 4,88 Millionen Dollar.
• Berichten zufolge werden in mehr als 65 % der Hackerangriffe Zugangsdaten kompromittiert.

Passwortlose Authentifizierung

Die passwortlose Authentifizierung dient der Überprüfung der Identität eines Benutzers, ohne auf herkömmliche Passwörter zurückzugreifen. Stattdessen kommen andere Formen der Überprüfung zum Einsatz, wie zum Beispiel:

• Hardware-Token: Sicherheitstoken oder Smartphone.
• Biometrische Daten: Fingerabdruck, Gesichtserkennung oder Netzhautscan.
• Spezielle Links: Links, die mit dem Benutzer geteilt wurden und bei deren Aufruf eine automatische Anmeldung erfolgt.
• Eine Kombination aller Formen der Überprüfung.

Passwortlose Authentifizierungsmethoden stützen sich in der Regel auf eine Kryptografie-Infrastruktur mit öffentlichen Schlüsseln, bei der ein Schlüsselpaar generiert wird. Die Sicherheit der Kryptografie mit öffentlichen Schlüsseln beruht darauf, dass der private Schlüssel geheim gehalten werden muss, während der öffentliche Schlüssel offen verbreitet werden kann, ohne die Sicherheit zu gefährden. Der öffentliche Schlüssel wird daher bei der Registrierung bei dem die Authentifizierung durchführenden Dienst (Remote-Server, Anwendung oder Website) angegeben, während der private Schlüssel auf dem Gerät des Nutzers (Sicherheitstoken, Smartphone) aufbewahrt wird und im Idealfall nur durch die Eingabe eines zusätzlichen Authentifizierungsfaktors (PIN-Code, biometrische Daten) zugänglich ist.

Inwiefern trägt die passwortlose Authentifizierung dazu bei, häufige Cybersicherheitsbedrohungen zu mindern?

Das Hauptproblem bei der Wiederverwendung von Passwörtern liegt in der Wiederverwendung von Anmeldedaten, was bedeutet, dass ein Passwort, das bei einem Datenleck auf einer Website kompromittiert wurde, erneut verwendet wird, um auf Konten anderer Websites zuzugreifen. Nutzer verwenden Passwörter in der Regel auf mehreren Websites erneut, sodass ein Datenleck alle ihre Konten gefährden kann. Bei der passwortlosen Authentifizierung werden keine Passwörter verwendet, sodass die Nutzer nicht dazu aufgefordert werden, ihre Anmeldedaten einzugeben.

Phishing ist eine Form des Social Engineering und ein Betrugsversuch, bei dem Angreifer Personen dazu verleiten, sensible Informationen preiszugeben. In dem von uns untersuchten Anwendungsfall handelt es sich bei diesen sensiblen Informationen um einen Authentifizierungsfaktor, beispielsweise ein Passwort, ein Hardware-Token oder einen Anmeldelink. Wie zu erwarten ist, gibt es in einem passwortlosen Arbeitsablauf kein Passwort, und auch die Nutzer zögern erheblich, ihre Sicherheitsschlüssel oder biometrischen Daten weiterzugeben.

Ein Brute-Force-Angriff gleicht einem digitalen Rammbock – Angreifer versuchen, Zugriff auf ein Konto oder ein System zu erlangen, indem sie alle möglichen Passwortkombinationen ausprobieren, bis sie die richtige gefunden haben. Diese Methode basiert auf dem Prinzip von Versuch und Irrtum und stützt sich eher auf reine Rechenleistung als auf ausgeklügelte Tricks. In einer passwortlosen Umgebung sind solche Angriffe nahezu wirkungslos, da die Kryptografie mit öffentlichen Schlüsseln wesentlich schwieriger zu knacken ist als ein Passwort; der für den Erfolg eines Brute-Force-Angriffs erforderliche Rechenaufwand macht diesen Angriff nämlich wesentlich schwieriger. Darüber hinaus macht das Vorhandensein von mehr als einem Authentifizierungsfaktor, beispielsweise eines biometrischen Scanners oder eines Sicherheitsschlüssels, die Durchführung solcher Angriffe praktisch unmöglich.

Zusammenfassend lässt sich sagen, dass viele der in passwortbasierten Umgebungen auftretenden Angriffe auf ein Minimum reduziert oder sogar vollständig verhindert werden können, wenn ein passwortloser Authentifizierungsprozess verwendet wird.

Warum lohnt es sich, von einem Passwort auf eine passwortlose Authentifizierung umzusteigen?

Es gibt mehrere Gründe für die Umstellung auf eine passwortlose Authentifizierung. Tatsächlich haben einige große Unternehmen, wie beispielsweise Mastercard, bereits angekündigt, dass sie beabsichtigen, auf das passwortlose Modell umzusteigen und stattdessen biometrische Daten zu verwenden. Wenn Unternehmen prüfen, ob sie diesen Schritt gehen sollten, lassen sich die wichtigsten Vorteile in folgende Kategorien einteilen:

Erhöhte Sicherheit

• Passwortlose Verfahren (Biometrie, Passwortschlüssel oder Hardware-Token) beseitigen Schwachstellen wie Phishing und Brute-Force-Angriffe.
• Dabei stützen wir uns auf sicherere Systeme wie beispielsweise die Kryptografie mit öffentlichen Schlüsseln, die nahezu unknackbar ist.
• Die Authentifizierung erfolgt nicht über Passwörter, sondern unter Verwendung der individuellen physischen oder verhaltensbezogenen Merkmale einer Person, beispielsweise ihres Fingerabdrucks, ihres Gesichts oder ihrer Stimme. Mit anderen Worten: Die natürlichen Eigenschaften der Person dienen als Zugangsschlüssel und nicht ein auswendig gelerntes Passwort.

Bessere Benutzererfahrung

• Die Nutzer müssen sich nun keine weiteren Passwörter mehr merken und müssen ihre Passwörter auch nicht mehr zurücksetzen oder ändern.
• Die Authentifizierung wird schneller und benutzerfreundlicher, was die Zufriedenheit erhöht und die Abwanderung verringert.
• Umfragen zeigen, dass Nutzer aus Gründen des Komforts und der Sicherheit passwortlose Optionen wie die biometrische oder gerätebasierte Authentifizierung bevorzugen.
• Nutzer vertrauen eher einem System, das die Sicherheit ihrer Daten gewährleistet, ohne dass sie sich bei der Erstellung sicherer Passwörter darauf verlassen müssen.

Branchenweite Akzeptanz

• Regulierungsbehörden wie beispielsweise NIS2 legen Wert auf strengere Sicherheitsmaßnahmen und empfehlen häufig Alternativen zu Passwörtern.

Warum lohnt es sich, Sicherheit mehrschichtig anzugehen?

Die Herausforderungen im Bereich der Identitätsverwaltung und Zugriffskontrolle lassen sich nicht mit einem einzigen Ansatz oder einer einzigen Lösung bewältigen. Stattdessen ist ein mehrstufiger Ansatz wichtig, der häufig durch den kombinierten Einsatz verschiedener Instrumente und Lösungen erreicht wird. Bei der passwortlosen Authentifizierung lässt sich dies durch den Einsatz der Multi-Faktor-Authentifizierung (MFA) und des Single Sign-On (SSO) noch weiter verbessern. Wir möchten diese Begriffe zunächst erläutern, bevor wir die Gründe dafür näher ausführen.

Was ist MFA?

MFA ist ein Sicherheitssystem, das mehr als eine Authentifizierungsmethode erfordert, um die Identität des Benutzers zu überprüfen. Anstatt sich ausschließlich auf das Passwort zu verlassen, nutzt MFA eine Kombination aus zwei oder mehr der folgenden Faktoren:

• Besitzfaktoren („Etwas, das der Benutzer besitzt“), beispielsweise ein Sicherheitstoken, ein Telefon oder eine Smartcard.
• Wissensfaktoren („Etwas, das der Benutzer weiß“), beispielsweise ein Passwort oder ein PIN-Code.
• Anmeldefaktoren („Etwas, das den Benutzer ausmacht“), wie beispielsweise Fingerabdruck, Netzhautscan, Gesichts- oder Stimmerkennung sowie andere biometrische Identifikatoren.

Was ist SSO?

SSO ist ein Verfahren zur Benutzerauthentifizierung, das es ermöglicht, mit einem einzigen Anmelde-ID auf mehrere Anwendungen oder Dienste zuzugreifen. Anstatt sich bei jedem einzelnen Dienst separat anzumelden, bietet SSO ein einheitliches Anmeldeerlebnis. Es sorgt für einen einfacheren Zugriff, da der Nutzer nach der Authentifizierung auf alle verbundenen Dienste zugreifen kann, ohne seine Anmeldedaten erneut eingeben zu müssen.

Sicherheitsfreischaltung: passwortlos + MFA + SSO

Durch den Verzicht auf herkömmliche Passwörter wird der Schutz vor Sicherheitsverletzungen verstärkt, während gleichzeitig der Anmeldevorgang vereinfacht wird. Die Integration von MFA bietet eine zusätzliche Sicherheitsebene und stellt sicher, dass nur berechtigte Benutzer Zugriff erhalten. Gleichzeitig verbessert SSO die Benutzererfahrung, da es einen einfacheren Zugriff auf mehrere Anwendungen mit einer einzigen Anmeldung ermöglicht. Zusammen bieten diese Technologien eine robuste und benutzerfreundliche Lösung für moderne Sicherheitsumgebungen.