Passwörter sind ein notwendiges Übel: Sie sind einerseits eine der wichtigsten Schutzmaßnahmen für unsere Online-Identitäten, jedoch auch oft kompliziert und schwer zu merken. Alternativ verwenden deshalb viele Menschen schwache oder leicht zu erratende Passwörter, was Cyberkriminellen Tür und Tor öffnet. Was wäre also, wenn wir uns nie wieder an ein Passwort erinnern müssten und trotzdem unsere persönlichen und geschäftlichen Daten vor unbefugtem Zugriff schützen könnten?
»Genau daran arbeiten die großen Tech-Riesen seit ein paar Jahren und haben mit FIDO2 bereits eine Lösung entwickelt«, informiert Patrycja Schrenk, Geschäftsführerin der PSW GROUP ( www.psw-group.de ). FIDO2 steht für »Fast Identity Online 2« und ist ein offener Authentifizierungsstandard, der das traditionelle Passwort-System ersetzen oder ergänzen soll. Die IT-Sicherheitsexpertin erklärt: »Der Hauptzweck von FIDO2 ist es, eine sicherere und benutzerfreundlichere Methode der Authentifizierung für Online-Dienste bereitzustellen. Anstatt sich auf Passwörter zu verlassen, verwendet FIDO2 eine Kombination aus biometrischen Merkmalen wie Fingerabdrücken oder Gesichtserkennung, hardwarebasierten Sicherheitsschlüsseln, Smart-Cards oder TPM-Module, um User zu verifizieren. Dies macht es wesentlich schwieriger für Angreifende, Zugriff auf Benutzerkonten zu erlangen, da sie ja keinen physischen Zugang zu den Sicherheitsschlüsseln oder den biometrischen Merkmalen des Users haben.«
FIDO2 basiert auf dem »Public Key Prinzip« und funktioniert in drei Schritten: Zunächst registriert sich eine Person bei einem Online-Dienst, der FIDO2 unterstützt. Während dieses Prozesses erstellt der Dienst ein kryptografisches Schlüsselpaar, bestehend aus einem öffentlichen und einem privaten Schlüssel. Der private Schlüssel wird sicher auf dem Gerät des Anwendenden oder einem hardwarebasierten Sicherheitsschlüssel gespeichert. Wenn diese Person sich später bei dem Online-Dienst anmeldet, wird sie aufgefordert, sich zu authentifizieren. Anstatt ein Passwort einzugeben, verwendet sie ihr biometrisches Merkmal, beispielsweise einen Fingerabdruck oder den Sicherheitsschlüssel. Der Dienst fordert die Person nun auf, eine kryptografische Signatur mit dem privaten Schlüssel zu erstellen und diese zu senden. Erst nach erfolgreicher Überprüfung dieser Signatur mithilfe des öffentlichen Schlüssels wird Zugriff auf das Benutzerkonto gestattet.
»Eine der großen Stärken von FIDO2 ist die Tatsache, dass entsprechende Authentisierungslösungen ohne großen Aufwand in die bestehende Softwarearchitektur integriert werden können. Unternehmen müssen nicht von Grund auf neu entwickeln, um von den Vorteilen von FIDO2 zu profitieren. Stattdessen können sie auf Out-of-the-Box-Integrationen zurückgreifen, die die Implementierung erleichtern und beschleunigen«, so Patrycja Schrenk. Als Cloudlösungen bieten Authentisierungslösungen auf FIDO2-Basis Unternehmen zudem die Gewissheit, mit der Weiterentwicklung der FIDO-Sicherheitsstandards Schritt halten können, ohne sich um regelmäßige Updates der Authentisierungskomponenten kümmern zu müssen – ein entscheidender Faktor, um die Sicherheit der Systeme aufrechtzuerhalten und neue Bedrohungen abzuwehren.
Die Entwicklung von FIDO2 geht Hand in Hand mit den Bemühungen von Webbrowsern und webbasierten Anwendungen, die Zukunft der passwortfreien Logins zu gestalten. Dropbox, Mozilla Firefox, Microsoft Edge und Google Chrome unterstützen bereits FIDO2: Anwendende mit einem FIDO2-fähigen Gerät, können sich dort schon ohne die Eingabe von Passwörtern sicher in ihre Konten einloggen. »Angesichts der Bedeutung von FIDO2 ist es auch für andere Unternehmen, allen voran Online-Dienstleister und -Händler, an der Zeit, sich mit der innovativen Technologie, die eine benutzerfreundliche Authentifizierung ohne Passwörter möglich macht, vertraut zu machen und zu überlegen, wie sie FIDO2 in ihren Betrieb oder ihr Online-Angebot integrieren können. Um den neuen Standard herumkommen wird langfristig ohnehin kaum jemand, denn die FIDO-Allianz und andere Organisationen werden voraussichtlich weiterhin an der Verbesserung der FIDO2-Sicherheitsstandards arbeiten«, so Patrycja Schrenk.
Weitere Informationen unter: https://www.psw-group.de/blog/fido2-passkeys-die-passwortlose-zukunft/10401
FIDO2
Passwörter sind ein notwendiges Übel im Internet. Sie schützen unsere persönlichen Daten, Online-Konten und Finanztransaktionen vor unbefugtem Zugriff. Aber sie sind auch anfällig für Phishing, Hacking und Vergessen. Außerdem müssen wir uns oft viele verschiedene Passwörter merken oder verwalten, was Zeit und Nerven kostet.
Doch es gibt eine bessere Lösung: FIDO2. FIDO2 ist ein neuer Authentifizierungsstandard, der es ermöglicht, sich ohne Passwörter bei Websites und Apps anzumelden. Stattdessen nutzt FIDO2 biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung oder externe Geräte wie Smartphones oder Sicherheitsschlüssel als Anmeldemittel. Diese werden direkt mit dem Dienstanbieter kommunizieren, ohne dass ein Passwort übermittelt wird. Das erhöht die Sicherheit und den Komfort für die Nutzer.
FIDO2 basiert auf den offenen Standards WebAuthn und CTAP, die von der FIDO Alliance und dem World Wide Web Consortium (W3C) entwickelt wurden. Die FIDO Alliance ist eine branchenübergreifende Organisation, die sich für die Förderung einer passwortlosen Zukunft einsetzt. Das W3C ist das internationale Gremium für Web-Standards. WebAuthn ist der Standard für die Web-Authentifizierung, der die Schnittstelle zwischen dem Browser und dem Dienstanbieter definiert. CTAP ist der Standard für das Client-to-Authenticator Protocol, der die Kommunikation zwischen dem Browser und dem Anmeldemittel regelt.
FIDO2 ist bereits von vielen großen Unternehmen wie Microsoft, Google, Facebook, Amazon und PayPal unterstützt und implementiert. Auch viele kleinere Dienste bieten FIDO2 als Option an oder planen dies in naher Zukunft. Um FIDO2 zu nutzen, braucht man nur einen kompatiblen Browser wie Chrome, Firefox, Edge oder Safari und ein Anmeldemittel wie einen Fingerabdrucksensor oder einen Sicherheitsschlüssel. Dann kann man sich einfach bei den unterstützten Websites und Apps registrieren und anmelden, ohne ein Passwort einzugeben oder zu erstellen.
FIDO2 ist ein wichtiger Schritt in Richtung einer passwortlosen, sicheren und benutzerfreundlichen Online-Welt. Mit FIDO2 kann man sich von den Nachteilen der Passwörter verabschieden und gleichzeitig seine digitale Identität schützen.