Definition Passwordless Authentication | Passwortlose Authentifizierung Was ist passwortlose Authentifizierung?

Bei der passwortlosen Authentifizierung lässt sich die Identität eines Nutzers verifizieren, ohne dass ein Passwort genannt und überprüft werden muss. Die kennwortlose Form der Authentifizierung nutzt stattdessen andere Faktoren wie biometrische Merkmale, kryptographische Schlüssel oder Besitzfaktoren.

Der englische Begriff für passwortlose Authentifizierung lautet "Passwordless Authentication". Bei der passwortlosen Authentifizierung handelt es sich um eine kennwortlose Form der Verifizierung einer Nutzeridentität. Um sich bei einem Service anzumelden, einen Dienst zu nutzen oder auf Systemressourcen zuzugreifen, muss kein Passwort erstellt, verwaltet, genannt und überprüft werden. Anstatt eines Passworts werden andere Faktoren zur Authentifizierung des Nutzers verwendet. Je nach Authentifizierungsverfahren sind das beispielsweise biometrische Merkmale, Besitzfaktoren, kryptographische Schlüssel oder digitale Zertifikate. Die passwortlose Authentifizierung gewinnt zunehmend an Bedeutung und wird von immer mehr Services und Diensten angeboten. Sie gilt als sicherer und benutzerfreundlicher als die Anmeldung mit Nutzernamen und Kennwort. Beispiele für eine passwortlose Authentifizierung sind das Entsperren eines Smartphones per Fingerabdruck oder Gesichtserkennung oder das Anmelden bei einem Online-Service per Passkey.

Passwortlos 2023

Bald Schluss mit dem Kennwort-Chaos?

Die Gründe für die Entwicklung passwortloser Authentifizierungsverfahren

Lange Zeit war die Anmeldung mit Usernamen und Passwort auf Rechnern, Servern, Online-Diensten, Websites und in Apps das Standardverfahren zur Authentifizierung eines Benutzers. Doch diese Form der Authentifizierung ist mit vielen Risiken verbunden und gilt heute als nur bedingt sicher, wenig benutzerfreundlich und veraltet. Oft erstellen User aus Bequemlichkeit schwache Passwörter oder verwenden gleiche Passwörter für mehrere Konten oder Services. Dies führt zu erheblichen Sicherheitsrisiken. So lassen sich beispielsweise schwache Passwörter innerhalb von Minuten per Brute-Force-Angriff knacken. Zudem sind Passwörter häufig Ziel von Phishing- und Social-Engineering-Angriffen. Gelangt ein Passwort in die Hände von Cyberkriminellen, sind die Sicherheit der betroffenen Benutzerkonten und unter Umständen ganze IT-Systeme oder IT-Umgebungen und ihre Daten gefährdet. Sensible oder personenbezogene Daten können schnell in falsche Hände geraten. Ein weiterer Nachteil der Authentifizierung mit Usernamen und Kennwörtern ist, dass die Verwaltung, Wartung und der Support dieser Form der Authentifizierung mit hohem Aufwand verbunden ist.

Aus den genannten Gründen wird schon seit geraumer Zeit nach Authentifizierungsverfahren gesucht, die sicherer und benutzerfreundlicher sind. Einige Verfahren wie die Multi-Faktor-Authentifizierung erfordern neben dem Benutzernamen und Passwort einen zusätzlichen Authentifizierungsfaktor. Diese Verfahren basieren aber grundsätzlich nach wie vor auf Passwörtern und sind durch die Verwendung zusätzlicher Faktoren wenig benutzerfreundlich. Aus diesem Grund wurden mittlerweile Authentifizierungsverfahren entwickelt, die komplett ohne Passwörter auskommen. Mit ihnen lassen sich die typischen Nachteile und Schwächen der Benutzername-/Passwortauthentifizierung ausräumen.

Anmelden ohne Kennwörter

Passkeys statt Passwörter

Die prinzipielle Funktionsweise der passwortlosen Authentifizierung und einige Beispielverfahren

Der Begriff der passwortlosen Authentifizierung ist technologie­unabhängig und nicht mit einem bestimmten Authentifizierungsverfahren verknüpft. Er gibt lediglich vor, dass das Authentifizierungsverfahren keine Passwörter zur Verifizierung einer Benutzeridentität verwendet. Die Passwörter können grundsätzlich durch verschiedene andere Authentifizierungsfaktoren ersetzt werden. Diese Faktoren sind nicht wie Passwörter wissensabhängig, sondern basieren beispielsweise auf dem Besitz eines Geräts wie eines Sicherheitstokens oder eines Smartphones, auf dem Besitz eines eindeutigen digitalen Identitätsmerkmals wie eines digitalen Zertifikats oder auf für einen Benutzer einzigartige inhärente Faktoren wie Fingerabdrücke, Aussehen, Stimme oder Iris (auch biometrische Merkmale genannt). Teilweise kombinieren die passwortlosen Authentifizierungsverfahren für die Verifizierung einer Identität mehrere dieser Faktoren.

Ein Beispiel für ein immer beliebter werdendes und häufiger eingesetztes Verfahren zur passwortlosen Authentifizierung ist das auf FIDO2 basierende Passkey-Verfahren. FIDO2 wurde von der FIDO (Fast IDentity Online) Alliance und dem World Wide Web Consortium (W3C) entwickelt. Das Passkey-Verfahren ersetzt Passwörter durch kryptographische Schlüsselpaare, bestehend aus öffentlichen und privaten Schlüsseln, und nutzt zusätzliche Faktoren wie biometrische Merkmale, Wischmuster oder PINs. Passkeys werden mittlerweile von zahlreichen Webservices und gängigen Webbrowsern und Betriebssystemen unterstützt. Grundsätzlich basiert das Verfahren auf der asymmetrischen Verschlüsselung. Es erzeugt bei der ersten Anmeldung ein Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Das erzeugte Schlüsselpaar ist immer nur für den jeweiligen Service oder ein bestimmtes Konto gültig. Der private Schlüssel verbleibt auf dem Endgerät des Anwenders und wird mit einem weiteren Authentifizierungsfaktor wie einem Fingerabdruck verknüpft. Die Gegenstelle erhält den öffentlichen Schlüssel. Private Schlüssel müssen nicht fest an ein bestimmtes Gerät gebunden sein. Sie lassen sich über die Cloud synchronisieren und auch mit anderen Geräten eines Anwenders nutzen. Über den öffentlichen Schlüssel können Systeme, bei denen sich ein Nutzer anmelden möchte, die Nutzeridentität zweifelsfrei verifizieren. Lokal auf seinem eigenen Gerät verifiziert sich der Anwender beispielsweise über ein biometrisches Merkmal, einen Pin oder eine bestimmte Wischgeste.

Neben dem Passkey-Verfahren gibt es noch zahlreiche weitere passwortlose Authentifizierungsverfahren. Beispiele für solche Verfahren sind:

• Magic Links und Einmalcodes: an eine E-Mail-Adresse oder eine Telefonnummer versendete Login-Links oder Einmalcodes

• Push-Benachrichtigung: an ein registriertes Gerät versendeter und zu genehmigender Authentifizierungsantrag

• Entsperren eines Smartphones oder einer App per Fingerabdruck- oder Gesichtserkennung

Neue Standards für Authentifizierung

Die Ära der Passkeys

Die Vorteile der passwortlosen Authentifizierung

Passwordless Authentication bietet gegenüber passwortbehafteten Authentifizierungsverfahren zahlreiche Vorteile. Die passwortlose Authentifizierung senkt das Risiko, Opfer von Phishing-, Social-Engineering- oder Brute-Force-Angriffen und von Passwortdiebstahl zu werden. Die Verwendung vertrauenswürdiger Geräte, eindeutiger digitaler Zertifikate oder biometrischer Merkmale macht passwortlose Authentifizierungsverfahren sicherer und gleichzeitig benutzerfreundlicher. Nutzer müssen sich keine komplexen Passwörter mehr ausdenken und sich diese auch nicht mehr merken oder sie in zusätzlichen Lösungen wie Passwortmanagern verwalten. Anmelde- und Authentifizierungsvorgänge werden insgesamt schneller, einfacher, intuitiver und benutzerfreundlicher. Auch die Aufwände hinsichtlich Verwaltung, Wartung und Support der Benutzeridentitäten und des Anmeldeverfahrens sinken. Aufgaben für den IT-Support, wie das Zurücksetzen vergessener Passwörter, entfallen. Eine passwortlose Authentifizierung verbessert den Datenschutz und trägt zur Einhaltung von gesetzlichen Vorgaben oder Compliance-Richtlinien bei.

Die Nachteile und Herausforderungen der passwortlosen Authentifizierung

Die passwortlose Authentifizierung bietet viele Vorteile, ist aber auch mit einigen Nachteilen und Herausforderungen verbunden. So müssen sich die Benutzer von der jahrelang gewohnten Anmeldung per Nutzernamen und Passwort lösen und sich auf neue Verfahren einstellen. Es ist entsprechende Aufklärungs- und Informationsarbeit zu leisten, um die Anwender mitzunehmen und die Akzeptanz passwortloser Verfahren zu verbessern. Weitere Nachteile und Herausforderungen sind:

• es kann zu Abhängigkeiten von einzelnen Geräten oder Sicherheits-Token kommen

• es sind Wiederherstellungsverfahren für Zugänge und Backup-Optionen beispielsweise für den Verlust von Geräten vorzusehen

• nicht alle Geräte, Betriebssysteme, Anwendungen und Services unterstützen die passwortlose Authentifizierung (es ist kompatible Software und Hardware notwendig)

• Einsatz von biometrischen Daten kann Fragen zum Schutz der Privatsphäre aufwerfen

• kompromittierte biometrische Merkmale lassen sich nicht ersetzen

• die Implementierung einer passwortlosen Authentifizierung ist mit Aufwand und Anfangsinvestitionen verbunden

• passwortlose Authentifizierung kann komplex und technisch anspruchsvoll sein

• auch die passwortlose Authentifizierung bietet keinen hundertprozentigen Schutz vor Missbrauch

• einige passwortlose Authentifizierungsverfahren sind proprietär und nicht standardisiert

(ID:50185564)