Die Zukunft der Nutzerauthentifizierung Passwortloser Login auch in Deutschland auf dem Vormarsch

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Ping Identity Inc.

Nach wie vor kommen in wie außerhalb Deutschlands bei der Nutzerauthentifizierung in großem Umfang Passwortverfahren zum Einsatz. Doch ihr Ende ist absehbar. Laut einer kürzlich von Ping Identity und Yubico veröffentlichten internationalen Umfrage zur Zukunft der Authentifizierungsverfahren geht die überwiegende Mehrheit der IT-Entscheider mittlerweile von einem Ende der Nutzername-Passwort-Kombination als Norm aus – auch in Deutschland.

Wenn es um den Zugang zu und den Zugriff auf ihre IT-Systeme, ihre digitalen Services und Online-Präsenzen geht, setzt die Mehrzahl der Unternehmen nach wie vor auf Nutzername-Passwort-Verfahren – weltweit, auch in Deutschland. Dabei gelten die Verfahren unter IT-Sicherheitsexperten schon lange als anfällig für Cyberangriffe – und seit der Einführung passwortloser Alternativverfahren auch als veraltet. Die vergleichsweise geringe Nutzerfreundlichkeit von Passwortverfahren motiviert Anwender, möglichst einfach zu merkende Buchstaben/Zahlen/Zeichen-Kombinationen zu nutzen, dasselbe Passwort für mehrere Konten zu verwenden und möglichst lange beizubehalten. ‚123456‘, ‚passwort‘, ‚12345‘, ‚hallo‘ und ‚123456789‘, dies waren, laut einer Untersuchung des Potsdamer Hasso-Plattner-Instituts, die beliebtesten Passwörter Deutschlands – im vergangenen Jahr, aber auch, in leicht abgewandelter Form, in den Jahren zuvor.

Gleichzeitig nutzen 29 Prozent der deutschen Anwender, so eine aktuelle Bitkom-Untersuchung zum Passworteinsatz in Online-Diensten, dasselbe Passwort für verschiedene Nutzerkonten. Lediglich 7 Prozent setzen auf verschiedene – vor allem aber: verschieden starke – Passwörter für unterschiedlich gefährdete Konten. Und nur 38 Prozent der deutschen Anwender ändern ihre Passwörter regelmäßig. Kein Wunder, dass sich Nutzername-Passwort-Verfahren längst zum Angriffsziel Nr. 1 für Cyberkriminelle entwickelt haben. Laut der aktuellen Bitkom-Präsentation Wirtschaftsschutz 2022 sind rund ein Viertel der deutschen Unternehmen in den vergangenen zwölf Monaten Opfer eines Angriffs geworden, der die Kompromittierung ihrer Zugangsdaten zum Ziel hatte.

Aktuelle Ping Identity/Yubico-Umfrage: auch in Deutschland noch viel zu tun

Access Management-Experte Ping Identity und der Authentifizierungsanbieter Yubico haben diesen bedenklichen Sachstand zum Anlass für eine Globalumfrage zur Zukunft der Authentifizierungs­verfahren unter IT-Entscheidern genommen. In „Our Passwordless Future: A New Era of Security“ kamen auch deutsche IT-Entscheider zu Wort. Die Studie zeigt: Auch in Deutschland weiß man, dass bei Anmeldeverfahren in Punkto Sicherheit und Nutzerfreundlichkeit nach wie vor erheblicher Verbesserungsbedarf besteht.

Passwortnutzung im deutschen Unternehmensalltag

12-mal, jeden Tag – so häufig müssen deutsche Arbeitnehmer derzeit im Schnitt ihren Nutzernamen und ihr Passwort eingeben, um sich in die IT-Systeme ihrer Arbeitgeber einzuwählen. Rund zwei Stunden Arbeitszeit fließen damit im Schnitt pro Woche in die Passworteingabe. Im Jahr macht das 120 Arbeitsstunden, die der produktiven Arbeit verlorengehen. Pro Arbeitnehmer! Dabei ist ein wirkliches Mehr an Sicherheit bei diesem enormen Aufwand längst nicht garantiert. Ganze 95 Prozent der deutschen IT-Entscheider geben in der Umfrage zu Protokoll, dass die Sorgfalt ihrer Mitarbeiter im Umgang mit ihren Passwörtern in den vergangenen Jahren stark abgenommen habe. 91 Prozent erklären, dass ihre Abteilung schon einmal für ein Mitglied der Geschäftsführung die unternehmensinterne Passwort-Compliance ausgehebelt habe. 46 Prozent geben sogar an, um Führungskräften ihre Arbeit zu erleichtern schon mehrfach Sicherheit zu Gunsten der Nutzerfreundlichkeit geopfert zu haben.

Bedenken der IT-Entscheider wiegen schwer – auch in Deutschland

Kein Wunder, dass 84 Prozent der IT-Entscheider weltweit Nutzername-Passwort-Kombinationen als zu schwach für eine effektive Zugangssicherung ansehen. In Deutschland sind es sogar 89 Prozent. Für 66 Prozent der deutschen IT-Entscheider stellen dabei die durch den Passworteinsatz entstehenden Helpdesk-Kosten das größte Problem dar. Die Verwaltung, vor allem das Zurücksetzen eines gesperrten Nutzerkontos aufgrund der Eingabe eines falschen Passworts, was häufig vorkommt, nimmt viel Zeit in Anspruch. Weitere 53 Prozent sehen in der technischen Schwäche des Verfahrens das größte Problem. Jahrzehnte haben Cyberkriminelle Zeit gehabt, effektive Tools, Angriffstechniken und Tauschbörsen zu entwickeln, mit denen sich die Nutzerzugänge ihrer Opfer leicht infiltrieren lassen. Mit Social Engineering, Phishing und Spear Phishing stehen ihnen langjährig erprobte Angriffsmethoden zur Verfügung. Im Darknet können viele Nutzername-Passwort-Kombinationen mittlerweile auch einfach käuflich erworben werden.

Die Passwortlose Nutzerauthentifizierung – eine echte Alternative

Passwortlose Authentifizierungsverfahren bieten hier einen echten Ausweg. Denn im Gegensatz zu einfachen Buchstaben/Zahlen/Zeichen-Kombinationen können hochkomplexe biometrische Informationen und Hardware-Token nicht einfach über Standard-Angriffe kompromittiert werden. Nutzerfreundlicher sind sie auch. Statt sich umständlich unterschiedliche, in Intervallen zu ändernde Zugangsdaten merken zu müssen, genügt ein Scan des Fingerabdrucks oder des Gesichts, genügt eine kurze Bestätigung auf einer App des eigenen Mobiltelefons oder der Anschluss eines persönlichen Hardwaresicherheitsschlüssels an das System. Weit mehr als die Hälfte der deutschen IT-Entscheider, 57 Prozent, geht davon aus, dass diese Verfahren in weniger als zehn Jahren die Norm sein werden. Und die überwiegende Mehrheit glaubt, dass auch ihr Unternehmen in naher Zukunft auf passwortlose Verfahren umstellen wird. 56 Prozent halten dies sogar für sehr wahrscheinlich. Für das eigene Unternehmen präferieren 67 Prozent der deutschen IT-Entscheider dabei biometrische Verfahren, 42 Prozent Hardware-Sicherheitsschlüssel und 33 Prozent PIN-Verfahren. Im weltweiten Vergleich setzen deutschen IT-Entscheider damit deutlich stärker auf Hardwaresicherheitsschlüssel – und weniger auf PIN-Verfahren. Die Vorteile solcher passwortlosen Verfahren liegen auf der Hand.

Die Vorteile passwortloser Verfahren – Nutzerfreundlichkeit, Kosteneffizienz und Sicherheit

Im Schnitt können passwortlose Authentifizierungsverfahren zu einem Wegfall von 28 Minuten unproduktiver Arbeitszeit pro Tag führen – je Arbeitnehmer! Weiterhin können mit ihrer Hilfe die Helpdesk-Kosten reduziert werden. Die Verwaltung passwortloser Verfahren erfordert wesentlich weniger Arbeitseinsatz von IT-Sicherheitsexperten. Und schließlich steigern sie, wie schon erwähnt, Sicherheit und Schutz von Systemen und Daten. Selbstverständlich können auch biometrische Daten entwendet, auch Hardwarekomponenten gestohlen, kompromittiert und missbraucht werden. Doch ist dies für die Cyberkriminellen mit deutlich mehr Aufwand als im Fall einer Passwort-Kompromittierung verbunden, fällt das Risiko, hier zum Opfer zu werden, für Unternehmen deutlich geringer aus.

Die Ping Identity/Yubico-Umfrage zeigt: auch deutsche IT-Entscheider gehen davon aus, dass passwortlosen Anmeldeverfahren die Zukunft gehört. Nur mit ihnen lassen sich Kosten reduzieren, lässt sich die Nutzerfreundlichkeit steigern, lässt sich die Sicherheit erhöhen. Bis sie Passwörter als Norm abgelöst haben werden, wird sicherlich noch einige Zeit verstreichen. Mittel- und langfristig ist ihr Ende aber, dies zeigt die Umfrage mehr als deutlich, auch in Deutschland absehbar.

Über den Autor: Yalcin Dincer ist Sr. Account Executive bei Ping Identity.

(ID:49205617)