{"id":10401,"date":"2023-09-19T12:19:31","date_gmt":"2023-09-19T10:19:31","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=10401"},"modified":"2023-09-19T12:19:31","modified_gmt":"2023-09-19T10:19:31","slug":"fido2-passkeys-die-passwortlose-zukunft","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/fido2-passkeys-die-passwortlose-zukunft\/","title":{"rendered":"FIDO2 & Passkeys: Die Passwortlose Zukunft hat begonnen"},"content":{"rendered":"

Passw\u00f6rter sind in unserer Welt ein notwendiges \u00dcbel: Sie sind einerseits eine der wichtigsten Schutzma\u00dfnahmen f\u00fcr unsere Online-Identit\u00e4ten, jedoch auch oft kompliziert und schwer zu merken. Alternativ verwenden deshalb (viel zu) viele Menschen schwache oder leicht zu erratende Passw\u00f6rter, was Cyberkriminellen T\u00fcr und Tor \u00f6ffnet. Was w\u00e4re also, wenn wir uns nie wieder an ein Passwort erinnern m\u00fcssten und trotzdem unsere pers\u00f6nlichen und gesch\u00e4ftlichen Daten vor unbefugtem Zugriff sch\u00fctzen k\u00f6nnten?<\/p>\n

Genau daran arbeiten die gro\u00dfen Tech-Riesen seit ein paar Jahren und haben mit FIDO2 eine L\u00f6sung entwickelt. In unserem heutigen Blogartikel m\u00f6chten wir einen Einblick in die Zukunft der passwortlosen Logins geben, in diesem Zusammenhang erkl\u00e4ren, was FIDO2 ist und wie es dazu beitragen kann, die Online-Sicherheit zu verbessern. Abschlie\u00dfend wollen wir dar\u00fcber informieren, was jetzt auf Unternehmen mit Passekeys zukommt und worauf sie sich einstellen sollten.<\/p>\n

Was ist FIDO2?<\/h2>\n

FIDO2 steht f\u00fcr „Fast Identity Online 2“ und handelt sich um einen offenen Authentifizierungsstandard, der entwickelt wurde, um das traditionelle Passwort-System zu ersetzen oder zu erg\u00e4nzen. FIDO2 ist ein gemeinsames Projekt des W3C (World Wide Web Consortium) und der „FIDO Alliance“<\/a>, einer gemeinn\u00fctzigen Organisation, die sich aus verschiedenen Technologieunternehmen zusammensetzt. Zu den Mitgliedern dieser 2012 gegr\u00fcndeten Allianz geh\u00f6ren Gr\u00f6\u00dfen wie Microsoft, Google, Apple, PayPal, Intel und viele andere.<\/p>\n

Der Hauptzweck von FIDO2 ist es, eine sicherere und benutzerfreundlichere Methode der Authentifizierung f\u00fcr Online-Dienste bereitzustellen. Anstatt sich auf Passw\u00f6rter zu verlassen, verwendet FIDO2 eine Kombination aus biometrischen Merkmalen wie Fingerabdr\u00fccken oder Gesichtserkennung, hardwarebasierten Sicherheitsschl\u00fcsseln, Smart-Cards oder TPM-Module (Trusted Platform Module), um Benutzer zu verifizieren. Dies macht es wesentlich schwieriger f\u00fcr Angreifer, Zugriff auf Benutzerkonten zu erlangen, da sie physischen Zugang zu den Sicherheitsschl\u00fcsseln oder den biometrischen Merkmalen des Benutzers ben\u00f6tigen. Wer sich \u00fcbrigens f\u00fcr biometrische Verfahren zur Authentifizierung interessiert, dem empfehlen wir unseren Blogartikel Biometrische Daten und Sicherheit<\/a>.<\/p>\n

Vorl\u00e4ufer FIDO U2F<\/h3>\n

Schon vor Gr\u00fcndung der FIDO Alliance haben im Jahr 2011 die Unternehmen Yubico und Google die Initiative ergriffen, um den offenen Authentifizierungsstandard FIDO Universal Second Factor (FIDO U2F) zu entwickeln. Dieser innovative Ansatz basiert auf der Verschl\u00fcsselung mit \u00f6ffentlichen Schl\u00fcsseln und der Verwendung von Hardwaresicherheits-Tokens. Anstatt sich auf ein komplexes Passwort zu verlassen, um ein Konto zu sch\u00fctzen, verwendet FIDO U2F ein physisches Sicherheitselement, wie zum Beispiel einen USB-Token, der in Verbindung mit einem Endger\u00e4t verwendet wird.<\/p>\n

Die Idee hinter FIDO U2F ist einfach, aber wirkungsvoll: Statt sich auf das Wissen (ein Passwort) allein zu verlassen, kombiniert es Wissen mit einem physischen Objekt (ein Token). Dies macht es f\u00fcr Angreifende erheblich schwieriger, auf fremde Nutzerkonto zuzugreifen. Das bedeutet doppelte Sicherheit: Selbst wenn jemand Ihr Passwort kennt, ben\u00f6tigt er oder sie immer noch Ihr physisches Token, um sich anzumelden.<\/p>\n

Die Weiterentwicklung dieses Ansatzes f\u00fchrte zur Entwicklung von FIDO2, sozusagen einer erweiterten Version von FIDO U2F. FIDO2 erweitert die Idee der passwortlosen Authentifizierung, indem es webbasierten Diensten und Anwendungen erm\u00f6glicht, auf eine sichere Art und Weise auf biometrische Daten und physische Tokens zuzugreifen.<\/p>\n

Die technische Grundlage von FIDO2<\/h3>\n

FIDO2 besteht aus den beiden Hauptkomponenten WebAuthn und CTAP2. WebAuthn steht f\u00fcr Web Authentication und ist das Web-API von FIDO2, das es webbasierten Anwendungen erm\u00f6glicht, die Passwortauthentifizierung zu ersetzen. WebAuthn erm\u00f6glicht es Benutzern, sich sicher \u00fcber biometrische Daten oder physische Tokens wie USB-Sicherheitsschl\u00fcssel anzumelden. CTAP2 (kurz f\u00fcr Client-to-Authenticator-Protocol) ist das Protokoll, das die Kommunikation zwischen dem Benutzerger\u00e4t (z. B. Laptop oder Smartphone) und dem Authentifizierungsger\u00e4t (z. B. einem Fingerabdruckscanner oder einem Sicherheitsschl\u00fcssel) erm\u00f6glicht. Es stellt sicher, dass die Authentifizierung sicher und zuverl\u00e4ssig abl\u00e4uft.<\/p>\n

Wie funktioniert FIDO2?<\/h3>\n

Die Funktionsweise von FIDO2 basiert auf dem „Public Key Cryptography“ (\u00f6ffentlicher Schl\u00fcssel-Kryptografie) Prinzip. Ganz vereinfacht erkl\u00e4rt, funktioniert FIDO2 in der Praxis in drei Schritten: Zuerst registriert sich ein\/ eine User*in bei einem Online-Dienst, der FIDO2 unterst\u00fctzt. W\u00e4hrend dieses Prozesses erstellt der Dienst ein kryptografisches Schl\u00fcsselpaar, bestehend aus einem \u00f6ffentlichen und einem privaten Schl\u00fcssel. Der private Schl\u00fcssel wird sicher auf dem Ger\u00e4t des Anwendenden oder einem hardwarebasierten Sicherheitsschl\u00fcssel gespeichert.<\/p>\n

Wenn der Benutzer sich dann bei dem Dienst anmelden m\u00f6chte, wird er aufgefordert, sich zu authentifizieren. Anstatt ein Passwort einzugeben, verwendet der\/ die User*in sein biometrisches Merkmal (z. B. Fingerabdruck oder Gesicht) oder den Sicherheitsschl\u00fcssel. Der Dienst fordert den oder die Benutzer*in auf, eine kryptografische Signatur mit dem privaten Schl\u00fcssel zu erstellen und sendet diese an den Dienst.<\/p>\n

Der Dienst \u00fcberpr\u00fcft abschlie\u00dfend die Signatur mithilfe des \u00f6ffentlichen Schl\u00fcssels, den er bei der Registrierung erhalten hat. Wenn die Signatur erfolgreich \u00fcberpr\u00fcft wird, erh\u00e4lt der oder die Benutzer *in Zugriff auf sein\/ ihr Konto.<\/p>\n

Webbrowser und Webanwendungen r\u00fcsten bereits auf<\/h3>\n

Die Entwicklung von FIDO2 geht Hand in Hand mit den Bem\u00fchungen von Webbrowsern und webbasierten Anwendungen, die Zukunft der passwortfreien Logins zu gestalten. So haben Unternehmen wie Dropbox, Mozilla Firefox, Microsoft Edge und Google Chrome bereits Support f\u00fcr WebAuthn implementiert. Dies bedeutet, dass Anwendende, die FIDO2-f\u00e4hige Ger\u00e4te besitzen, in der Lage sind, sich ohne die Eingabe von Passw\u00f6rtern sicher in ihre Konten einzuloggen. Gleichzeitig bedeutet die Integration von FIDO2 in Webbrowser und Anwendungen auch, dass die Technologie schnell an Bedeutung gewinnt und die Vorteile der passwortlosen Authentifizierung f\u00fcr immer mehr Menschen zug\u00e4nglich werden.<\/p>\n

Apple schafft Passw\u00f6rter ab<\/h2>\n

Apple hat bereits einen entscheidenden Schritt in Richtung einer sichereren und benutzerfreundlicheren Online-Authentifizierung unternommen und die \u201ePasswort-\u00c4ra\u201c zu beenden: Mit der Einf\u00fchrung von „Passkeys“ setzt das Unternehmen die Ziele der FIDO Alliance um und d\u00fcrfte damit die Art und Weise revolutionieren, wie wir uns online authentifizieren.<\/p>\n

Die Idee von Passkeys basiert auf einer Kombination aus starker Verschl\u00fcsselung und biometrischen Daten, die von den Sensoren in Laptops und mobilen Endger\u00e4ten erfasst werden. Im Gegensatz zu herk\u00f6mmlichen Passw\u00f6rtern bieten Passkeys damit eine h\u00f6here Sicherheit und Benutzerfreundlichkeit.<\/p>\n

Einmalige Erstellung und ger\u00e4te\u00fcbergreifende Nutzung<\/h3>\n

Der Prozess der Passkey-Erstellung ist denkbar einfach. Benutzer m\u00fcssen lediglich einmalig mittels Apples Gesichtserkennung „FaceID“ oder dem Fingerabdruckscanner „TouchID“ auf ihrem Ger\u00e4t einen digitalen Autorisierungsschl\u00fcssel erstellen. Dieser Schl\u00fcssel ist ausschlie\u00dflich f\u00fcr die jeweilige Website oder App g\u00fcltig, f\u00fcr die er erstellt wurde, was die Sicherheit zus\u00e4tzlich erh\u00f6ht.<\/p>\n

Mit der Integration der „iCloud Keychain“ wurde Passkeys dann so richtig gut: Der Passkey kann sicher \u00fcber die iCloud Keychain an andere Ger\u00e4te eines Anwenders bzw. einer Anwenderin weitergegeben werden. Dies erm\u00f6glicht eine ger\u00e4te\u00fcbergreifende Autorisierung, ohne dass der oder die User*in eine erneute Anmelde-Prozedur durchlaufen muss. Das bedeutet: Wenn Sie sich beispielsweise auf Ihrem Smartphone f\u00fcr eine Website authentifizieren, steht Ihnen derselbe Passkey auch auf Ihrem Laptop oder Tablet zur Verf\u00fcgung.<\/p>\n

Passkeys: Unabh\u00e4ngig von Plattform und Browser<\/h3>\n

Ein weiterer entscheidender Vorteil von Passkeys ist ihre Unabh\u00e4ngigkeit. Sie sind nicht auf Apples Produkt-\u00d6kosystem beschr\u00e4nkt. Das bedeutet, dass Passkeys auf verschiedenen Endger\u00e4ten, Betriebssystemplattformen und Browsern funktionieren. Sie stellen sicher, dass digitale Schl\u00fcssel ger\u00e4te\u00fcbergreifend sicher geteilt werden und den Nutzern so ohne erneute Anmelde-Prozedur auf allen Ger\u00e4ten zur Verf\u00fcgung stehen.<\/p>\n

Was jetzt auf Unternehmen zukommt<\/h2>\n

Angesichts der Bedeutung von FIDO2 ist es f\u00fcr Unternehmen an der Zeit, sich mit der innovativen Technologie, die eine benutzerfreundliche Authentifizierung ohne Passw\u00f6rter m\u00f6glich macht, vertraut zu machen und zu \u00fcberlegen, wie sie diese Technologie in ihren Betrieb integrieren k\u00f6nnen. Die Tatsache, dass f\u00fchrende Unternehmen wie Apple, Google, Microsoft und andere zusammenarbeiten, um FIDO2 zu f\u00f6rdern und zu implementieren, unterstreicht die Aktualit\u00e4t des Themas und fordert Unternehmen zum Handeln auf.<\/p>\n

Das allerdings sollte ihnen nicht schwerfallen, denn FIDO2 bietet Unternehmen die M\u00f6glichkeit, die Sicherheit ihrer Online-Plattformen und Dienste erheblich zu verbessern und gleichzeitig die Benutzererfahrung zu optimieren.<\/p>\n

Zukunftssichere Login-Prozesse f\u00fcr Online-Dienstleister und -H\u00e4ndler<\/h3>\n

Gerade Online-Dienstleister und -H\u00e4ndler stehen vor der Herausforderung, die Sicherheit ihrer Login-Prozesse kontinuierlich zu verbessern. Dreh- und Angelpunkt sind dabei ausgerechnet Passw\u00f6rter, denn entweder werden sie von Kunden und Kundinnen h\u00e4ufig vergessen oder sie k\u00f6nnen von Angreifenden viel zu einfach geknackt werden. Passwortprobleme und Zur\u00fccksetzungsanfragen k\u00f6nnen jedoch einen erheblichen Aufwand f\u00fcr den IT-Support eines Unternehmens bedeuten. Mit FIDO2 kann dieser Aufwand erheblich reduziert werden, da Nutzenden Zugang ohne Passwort erm\u00f6glicht wird.In der Folge sinken die Supportkosten und Ressourcen stehen f\u00fcr wichtigere Aufgaben zur Verf\u00fcgung.<\/p>\n

Out-of-the-Box-Integrationen f\u00fcr eine einfache Implementierung<\/h3>\n

Eine der gro\u00dfen St\u00e4rken von FIDO2 ist die Tatsache, dass entsprechende Authentisierungs-L\u00f6sungen ohne gro\u00dfen Aufwand in die bestehende Softwarearchitektur integriert werden k\u00f6nnen. Unternehmen m\u00fcssen nicht von Grund auf neu entwickeln, um von den Vorteilen von FIDO2 zu profitieren. Stattdessen k\u00f6nnen sie auf Out-of-the-Box-Integrationen zur\u00fcckgreifen, die die Implementierung erleichtern und beschleunigen.<\/p>\n

Cloudl\u00f6sungen f\u00fcr Aktualit\u00e4t und Sicherheit<\/h3>\n

Die meisten Unternehmen setzen ohnehin bereits auf Cloud-Technologien \u2013 und Authentisierungs-L\u00f6sungen auf FIDO2-Basis bilden da keine Ausnahme. Als Cloudl\u00f6sungen bieten sie Unternehmen die Gewissheit, dass sie mit der Weiterentwicklung der FIDO-Sicherheitsstandards Schritt halten k\u00f6nnen, ohne sich um regelm\u00e4\u00dfige Updates der Authentisierungs-Komponenten k\u00fcmmern zu m\u00fcssen \u2013 ein entscheidender Faktor, um die Sicherheit der Systeme aufrechtzuerhalten und neue Bedrohungen abzuwehren.<\/p>\n

Allerdings wollen wir nicht unerw\u00e4hnt lassen, dass Unternehmen sicherstellen m\u00fcssen, dass ihre IT-Infrastruktur und ihre Anwendungen FIDO2 unterst\u00fctzen. Dies erfordert m\u00f6glicherweise Investitionen in neue Hardware oder Software.<\/p>\n

Fazit: Mit FIDO2 zu mehr Sicherheit bei der Online-Authentifizierung<\/h2>\n

Der „Fast IDentity Online 2“-Standard markiert einen bedeutenden Meilenstein in der Welt der Online-Authentifizierung. Dieser innovative Ansatz, der auf biometrischen Daten und physischen Tokens basiert, verspricht nicht nur eine erheblich h\u00f6here Sicherheit, sondern auch eine erhebliche Verbesserung der Benutzerfreundlichkeit.<\/p>\n

Unternehmen sollten FIDO2 in ihre Authentifizierungssysteme integrieren, um ihren Benutzenden eine sichere und benutzerfreundliche Anmeldemethode anzubieten. Wer zus\u00e4tzlich Schulungen und Sensibilisierungsma\u00dfnahmen durchf\u00fchrt, um seine Mitarbeitenden und Kunden \u00fcber die Vorteile und Verwendung von FIDO2 aufzukl\u00e4ren, tr\u00e4gt gleichzeitig zur Akzeptanz bei und f\u00f6rdert das Vertrauen in diese Technologie. Um FIDO2 herumkommen wird ohnehin kaum jemand, denn die FIDO-Allianz und andere Organisationen werden voraussichtlich weiterhin an der Verbesserung der FIDO2-Sicherheitsstandards arbeiten.<\/p>\n