Bei den Trends 2023 in Cybersecurity findet man auch den passwortlosen Login oder die passwortlose Authentifizierung. Was bedeutet das eigentlich und warum braucht man das überhaupt?
Noch immer ist eine Anmeldung mit Benutzername und Passwort in vielen Bereichen, auf vielen Plattformen, für Anwendungen oder in Unternehmen der Standard.
Inhaltsverzeichnis
Warum ist eine Anmeldung mit Benutzername und Passwort ein Risiko?
Unsichere Passwörter
Fasst man sich an die eigene Nase, dann weiß man, wie Passwörter gewählt werden. Komplexität wird vermieden, wenn sie nicht auf Biegen und Brechen technisch erzwungen wird. Sogar dann findet der kreative Anwender noch Möglichkeiten, die Komplexität so zu lösen, damit man sich das Passwort merken kann.
Nichtsdestotrotz ist das beliebteste Passwort immer noch 123456. Mit Brut Force oder Dictionary Angriffen werden solche Passwörter in Sekundenbruchteilen „gehackt“. Ohne zu sehr ins Detail zu gehen: Diese Angriffe basieren darauf, dass das verschlüsselt gespeicherte Passwort in Form eines Hash-Wertes erraten wird. Der Angreifer kreiert verschiedene Passwörter, verschlüsselt diese mit dem Hash-Algorithmus und vergleicht dann den Hash-Wert des Userpassworts mit dem kreierten Passwort. Stimmen beide Hash-Werte überein, wurde das Passwort richtig erraten.
Je einfacher das Passwort oder wurde es einfach aus einem Klarnamen gewählt, umso schneller wird es nach diesem Prinzip erraten.
Werden mit diesen Zugangsdaten dann noch sensible Informationen wie Zahlungsdaten oder im Job Einkaufs- oder Finanzdaten geschützt, ist das Risiko sehr hoch, da es sich ja bekanntermaßen aus Schaden = hoch und Eintrittswahrscheinlichkeit = sehr wahrscheinlich zusammensetzt.
Phishing Angriffe
Bei den bekannten Phishing Angriffen geht es eigentlich gar nicht wirklich um Cybersecurity. Unter IT- oder Cybersecurity stellt man sich immer den Angreifer vor, der über das Darknet komplexe Angriffe ausführt. Bei Phishing wird lediglich die Schwachstelle Anwender und dessen Gutgläubigkeit ausgenutzt.
Eine gute gemachte E-Mail im Posteingang, ein Klick darauf und dann noch die Zugangsdaten eingegeben. Was will der Angreifer mehr? Er braucht sich ja gar nicht mehr die Hände schmutzig machen. Die Authentifizierungsdaten werden ihm quasi auf dem Silbertablett präsentiert.
Ich falle doch nicht auf Phishing-Angriffe rein! Alter Hut, das passiert doch nur ungeschulten, unerfahrenen Anwendern. Leider nicht nur. Die E-Mails sind inzwischen so gut gemacht, dass selbst dem geschulten Auge der Angriff auf den ersten Blick nicht mehr auffällt. Es ist auch (noch) nicht so schlimm, wenn Sie auf den Link in der E-Mail klicken. Spätestens dann ist aber Vorsicht geboten! Wenn Sie auf der Webseite Ihre Zugangsdaten eingeben, ist es zu spät.
Laut BSI Jahresbericht 2022 waren 69% aller Spam-Mails Phishing und Betrugsmails. Davon wiederum waren 90% der Mails Finanz-Phishing E-Mails. Es geht wie immer ums Geld…
Auch hier ist das Risiko sehr hoch, da der Schaden sehr hoch ist und die Eintrittswahrscheinlichkeit ebenfalls als sehr wahrscheinlich eingestuft werden kann. Das belegen die Zahlen des BSI und die Fälle, die inzwischen jedem aus seinem Umfeld bekannt geworden sind.
Passwortlose Authentifizierung
Da die Risiken in der Verwendung einfacher Passwörter sehr hoch sind, geht der Trend dazu, nicht nur auf eine reine Anmeldung über Benutzername und Passwort zu setzen.
Die nichtkommerzielle FIDO-Allianz (Fast Identity Online) soll lizenzfreie und offene Standards entwickeln, die eine sichere und internationale Authentifizierung ermöglichen. In diesem Gremium wurde nun FIDO2 entwickelt.
FIDO2 basiert grundsätzlich auf dem Prinzip der Zwei-Faktor-Authentifizierung. Diese kann in zwei Varianten umgesetzt werden. Entweder mit einem Passwort + Token (wie wir es schon kennen) oder eben über die komplett passwortlose Authentifizierung.
FIDO2 mit Passwort und Token
Diese Zwei-Faktor-Authentifizierung wird inzwischen häufiger eingesetzt. Vor allem für Zugänge zu sensiblen Informationen. Im Anforderungskatalog der VDA ISA / TISAX® ist eine 2FA sogar als feste Anforderung bei externen Zugängen enthalten.
Das Prinzip basiert auf wissen und besitzen. Das heißt, ich kenne meinen Usernamen und mein Passwort, benötige aber noch eine weitere Komponente, die ich besitzen muss. Häufig ist es ein zeitlich gesteuerter Einmalcode, der über eine App am Handy generiert wird. Manche Unternehmen setzen aber auch einen eigenen Hardware-Token ein, der ein Einmalpasswort generiert.
Damit erhöht sich bereits die Sicherheit von Zugängen. Selbst wenn ein Angreifer nun die Faktoren des Usernames und Passworts kennt, fehlt ihm immer noch der Baustein des Einmalpassworts, der fest an ein Gerät gebunden ist.
FIDO2 als passwortloser Login
Bei der komplett passwortlosen Authentifizierung wird ein sicherer, unabhängiger Online-Dienst benötigt. Dieser verbindet mich, also meinen Client und den Server, auf dem ich mich anmelden möchte, sicher.
Dazu ist es notwendig, dass ich mich als User für jede Webseite, auf der ich mich sicher und passwortlos anmelden möchte, bei diesem Online-Dienst registriere und ein Schlüsselpaar erstellen lasse. Das ganze basiert auf dem gängigen Private and Public Key Prinzip.
Diesen Private Key kenne nur ich, bzw. nur mein Client. Dieser Schlüssel wird auf meinem Client (und sicherheitshalber im Passwortmanager) gespeichert. Der Public Key liegt auf dem Webserver, auf dem ich mich anmelden möchte.
Die passwortlose Authentifizierung muss dann beim Besuchen der Webseite trotzdem noch einmal durch den User bestätigt werden. Dazu gibt es verschiedene Optionen. Entweder über einen einfachen Klick auf einen Button, einen PIN-Code, biometrische Merkmale oder doch nochmal ein Hardware-Token. Das hängt sicherlich auch mit der Sensibilität der Daten zusammen, die über diese Webseite erreichbar sind.
Was sind die Vorteile eines passwortlosen Logins mit FIDO2?
Hier berufe ich mich auf die Punkte, die die FIDO-Allianz auf ihrer Webseite nennt:
Security
Natürlich, it´s all about security. Das erzeugte Schlüsselpaar ist eindeutig für jede Webseite und jeden User. Da der private Schlüssel ausschließlich auf dem Clientgerät des Users gespeichert ist, laufen Phishing-Angriffe oder Passwortdiebstahl ins Leere.
Datenschutz
Die Schlüssel sind eindeutig für jede Webseite. Das heißt, ein Tracking über Webseiten hinweg ist überhaupt nicht möglich. Ein User kann nicht über seine Anmeldedaten auf verschiedenen Webseiten identifiziert werden.
Anwenderfreundlich
Da alle Zugangsinformationen auf dem Gerät gespeichert sind, muss der User keine komplexen Passwörter im Kopf haben und sich nicht einmal einen Usernamen zur Anmeldung merken.
Wie kann man die Sicherheit bei der Anmeldungen mit Benutzername und Passwort erhöhen?
Mir ist klar, dass nicht jeder und jedes Unternehmen sofort auf passwortlose Authentifizierung umstellen kann.
Trotzdem ist dann nicht gleich alles verloren. Es gibt auch weitere Möglichkeiten, die Sicherheit zu erhöhen.
Für uns ist daher ein Passwortsafe oder Passworttresor (welchen Namen man ihm auch geben mag), unumgänglich.
Was ist ein Passwortsafe?
Ein Passwortsafe ähnelt einem physikalischen Schlüsseltresor. Alle Schlüssel hängen im Schlüsselkasten. Dieser wiederum ist durch einen Schlüssel oder sicheren Code gesichert. Auf diesen einen Zugangsschlüssel muss ich natürlich gut aufpassen und vermeiden, dass er in die falschen Hände gerät.
Ein Passworttresor funktioniert nach dem selben Prinzip. Es handelt sich um eine Software, die alle Passwörter und Usernamen speichert.
Zusätzliches Feature: Sichere Passwörter
Das ist eine tolle Funktion. Der Safe enthält sogar einen Passwort-Creator. Man gibt an, wie viele Stellen das Passwort haben soll, welche Komplexitätsvoraussetzungen es hat und bekommt ein kryptisches Passwort vorgeschlagen, das im Idealfall dann auch gleich noch in die Maske eingefügt wird und im Passwortsafe gespeichert wird.
Damit entfällt die Schwachstelle des Users, der gar nicht in der Lage ist, so komplexe Passwörter und vor allem unterschiedliche Passwörter zu wählen.
Zusätzliches Feature: Schutz vor Phishing
Durch die Browserintegration des Passwortsafes erkennt die Software, auf welcher Internetseite ich mich bewege und zeigt mir nur die Zugangsdaten an, die auf dieser Seite eingefügt werden dürfen. Das heißt, bei einer Phishing-Seite bewege ich mich auf einer anderen URL, die der Passwortsafe nicht kennt. Selbst wenn die Seite optisch aussieht wie die meiner Bank, ist es für den Passwortsafe eine total unbekannte Seite. Allerspätestens an dieser Stelle sollte jeder merken, dass hier etwas faul ist und dass keine Daten eingegeben werden sollten.
Die Verwendung eines Passwortsafes ist alternativlos
Solange Sie in Ihrem Unternehmen mit Passwörtern arbeiten, sollten Sie einen Passwortsafe verwenden. Damit reduzieren Sie das Risiko des Identitätsdiebstahls erheblich. Die Kosten für die Lizenzen sind dagegen vernachlässigbar – aus unserer Sicht!
Wie melden Sie sich an?
Tippen Sie noch oder sind Sie schon darüber hinweg? Wie ist Ihre Erfahrung mit passwortlosem Login? Wir freuen uns über Ihren Kommentar mit Ihren Erfahrungen.
