Enterprise Access Management ohne Passwort Das Passwort bleibt der wunde Punkt der Multi-Faktor-Authentifizierung

Anbieter zum Thema

Imprivata, Inc.

cidaas by Widas ID GmbH

FTAPI Software GmbH

Ein unbedachter Klick auf eine Push-Bestätigung reicht, und Angreifer sind trotz Zwei-Faktor-Authentifizierung im System. Denn solange ein Passwort Teil der Anmeldung bleibt, funktionieren Phishing und Credential Stuffing weiter. Wie sich dieser Angriffsweg technisch schließen lässt, entscheidet über das tatsächliche Sicherheitsniveau von Unternehmen.

Die Multifaktor-Authentifizierung (MFA) gilt mittlerweile sowohl in Unternehmen als auch im privaten Umfeld als Standardverfahren zur Identitätsprüfung beim Login. Allerdings zeigen die gängigen Implementierungen strukturelle Schwächen, die aktuelle Angriffsmethoden gezielt ausnutzen, dazu gehört auch das Verwenden von Passwörtern. Bei der Zugriffsverwaltung sollten deshalb passwortlose Verfahren MFA ergänzen, um ein höheres Sicherheitsniveau zu erreichen.

MFA-Aushebelung auf dem Vormarsch

SSO-Phishing-Kampagne trifft 18 US-Universitäten

MFA und passwortlose Authentifizierung im Vergleich

Unter MFA versteht man einen Mechanismus, der mindestens zwei unterschiedliche Authentifizierungsfaktoren aus den Kategorien Wissen, Besitz und Biometrie miteinander kombiniert. Zahlreiche verbreitete Varianten basieren dabei weiterhin auf dem Passwort als erstem Faktor und erweitern diesen um eine Authenticator-App, E-Mail, SMS, Biometrie oder vergleichbare Verfahren. Genau hier liegt die Schwachstelle: Das dauerhaft verwendete Passwort bleibt der neuralgische Punkt.

Passwortlose Authentifizierung verfolgt demgegenüber ein Architekturprinzip, das von aktuellen Sicherheitsvorgaben ausdrücklich empfohlen wird. Anstelle manuell eingegebener Passwörter als ein Authentisierungsfaktor, kommen Verfahren wie FIDO2-Sicherheitsschlüssel, Passkeys oder biometrische Merkmale zum Einsatz. Bei FIDO2 generiert ein Sicherheitsschlüssel – etwa ein USB-Stick oder ein Badge – ein asymmetrisches Schlüsselpaar: Der private Schlüssel bleibt auf dem Gerät, der öffentliche wird im System hinterlegt. Passkeys lassen sich in System-Keychains unter iOS, Android oder ChromeOS sichern oder auf Hardware-Tokens speichern. Bei der biometrischen Authentifizierung per Fingerabdruck oder Gesichtserkennung verlässt das biometrische Merkmal das Gerät zu keinem Zeitpunkt. Im Gesundheitswesen sowie in weiteren Bereichen kritischer Infrastrukturen haben sich zudem gerätegebundene Smartcards und Badges etabliert, die eine Anmeldung per Tap-and-Go ermöglichen.

Infostealer liefern die Token für Entra-ID-Angriffe

So umgehen Angreifer mit gestohlenen Token die MFA

Bekannte Schwachstellen passwortbasierter MFA

Das BSI rät dazu, passwortlose Verfahren überall dort einzusetzen, wo es die technischen Voraussetzungen der jeweiligen Dienste zulassen. Der Grund dafür liegt auf der Hand: Passwortbasierte MFA bietet trotz des zweiten Faktors keine zuverlässige Sicherheit. Passwörter und Einmalcodes können abgefangen werden – die US-Sicherheitsbehörde NIST hält im Authenticator-Teilband SP 800-63B-4 der Digital Identity Guidelines ausdrücklich fest, dass Verfahren mit Passwörtern und Einmalpasswörtern nicht phishing-resistent sind. Vorfälle auch im deutschsprachigen Raum belegen übereinstimmend, dass MFA insbesondere dann versagt, wenn Anwender Einmalpasswörter unbedacht weitergeben, Tokens entwendet werden oder Recovery-Prozesse unterwandert sind.

Die Schwachstellen der Zwei-Faktor-Authentifizierung zeigen sich besonders bei Push-Benachrichtigungen: Durch sogenanntes Prompt Bombing bestätigen Nutzer Anfragen mitunter unbeabsichtigt. SMS-basierte MFA lässt sich durch SIM-Swap-Angriffe kompromittieren, auch E-Mail-Codes sind phishing-anfällig. Hinzu kommt Credential Stuffing: Mehrfach verwendete Passwörter werden in großem Umfang im Darknet gehandelt und zählen zu den bedeutendsten Angriffsvektoren überhaupt.

MFA unter Beschuss

Angreifer umgehen MFA mit gefälschten Microsoft OAuth Apps

Phishing-resistente Authentifizierung

Ein höheres Sicherheitsniveau bietet phishing-resistente Authentifizierung, die auf drei technischen Grundprinzipien basiert. Erstens überprüft der Authentifikator mittels Origin Binding, ob die Anmeldung an der korrekten Domain erfolgt – FIDO/WebAuthn verknüpfen den privaten Schlüssel dabei kryptografisch mit dem Origin (Schema, Host und Port), nicht mit der vollständigen URL. Zweitens verbleibt der private Schlüssel bei geräte-gebundenen FIDO-Implementierungen in geschützter Hardware wie Secure Enclave, TPM oder Hardware-Token und kann nicht exportiert werden; NIST schreibt dies für die höchste Authentifizierungsstufe AAL3 vor. Synchronisierte Passkeys erreichen dieses Niveau nicht, da der Schlüssel technisch exportierbar ist. Drittens muss der Zugriff lokal durch den Nutzer freigegeben werden, etwa per Biometrie oder PIN.

FIDO2 und Passkeys setzen diese Grundprinzipien technisch um. Bei der Registrierung entsteht ein Schlüsselpaar, dessen privater Teil auf dem Gerät verbleibt und durch Biometrie oder Geräte-PIN abgesichert wird. Dabei ist zu unterscheiden: Geräte-gebundene (device-bound) Passkeys speichern den privaten Schlüssel ausschließlich in geschützter Hardware und erfüllen damit AAL3. Synchronisierte Passkeys legen das Schlüsselpaar verschlüsselt in der System-Keychain oder einer Passwort-Wallet ab und übertragen es zwischen mehreren Geräten. Sie bieten hohen Phishing-Schutz, entsprechen aber AAL2.

Passwortlose Authentifizierung

Passkeys statt Passwörter und Phishing

Einführung von Enterprise Access Management in Unternehmen

Die Einführung passwortloser Authentifizierung mit MFA erfolgt in Unternehmen üblicherweise in mehreren Phasen.

Im ersten Schritt wird Single Sign-On mit einer starken initialen Authentisierung über Zweifaktor-Authentifizierung eingerichtet. Die erstmalige Anmeldung gewährt damit Zugang zu sämtlichen Systemen und Anwendungen.

Im zweiten Schritt wird die passwortlose Anmeldung gezielt für kritische Anwendungen ausgerollt. Dabei wird die berührungslose Authentifizierung mit der Multi-Faktor-Authentifizierung verbunden, etwa über Gesichtserkennung oder Fingerabdruck. Im Anschluss kommen Technologien wie der FIDO-Sicherheitsschlüssel zum Einsatz. Beide Methoden sind phishing-resistent und steigern das Sicherheitsniveau erheblich.

Im dritten Schritt kommen Token und Biometrie zum Einsatz. Der Anwender muss sich kein Passwort mehr merken. Die Einhaltung der Passwortrichtlinien wird dank SSO vom IT-System selbst überwacht, Passwörter werden bei Bedarf ohne Zutun des Nutzers geändert. Dadurch können Passwörter komplexer ausfallen und häufiger geändert werden, während klassisches Credential-Phishing wirkungslos wird. Die Wahrscheinlichkeit eines illegalen Zugriffs über ausgespähte Passwörter sinkt damit erheblich – Restrisiken wie manipulierte Recovery-Prozesse oder Social Engineering gegen den lokalen Freigabeschritt bleiben bestehen.

Im vierten und letzten Schritt werden schließlich sämtliche Anwendungen in Single Sign-On integriert, wofür moderne Authentifizierungsstandards wie OAuth (Open Authorization) oder OIDC (OpenID Connect) unterstützt werden müssen.

Fünf Wege zu MFA in Active Directory im Vergleich

MFA in Active Directory umsetzen und im Betrieb absichern

Passwortlosigkeit als Weiterentwicklung der MFA-Strategie

Passwortlose Authentifizierung stellt keine Alternative zur MFA dar, sondern deren konsequente Weiterentwicklung. In der DACH-Region zeigt sich dies besonders deutlich: Das BSI empfiehlt hardwarebasierte FIDO-Tokens als besonders sichere Lösung. Bei der ID Austria mit Vollfunktion werden SMS-TANs nicht mehr als Anmeldeverfahren akzeptiert; stattdessen kommen FIDO-Sicherheitsschlüssel oder die App „Digitales Amt“ zum Einsatz. Eine zukunftsfähige Identity- und Enterprise-Access-Management-Strategie verbindet MFA mit passwortlosen, phishing-resistenten Verfahren – und macht das Passwort dadurch überflüssig.

Über den Autor: Nils Hondong ist Director Engineering bei Imprivata.

privacyIDEA Workshop – Teil 1

So geht Mehr-Faktor-Authentifizierung mit Open Source

(ID:50954927)