Phishingresistente Authentifizierung Warum Phishing an FIDO2 und Passkeys scheitert

Anbieter zum Thema

Yubico GmbH c/o Regus

cidaas by Widas ID GmbH

Gestohlene Zugangsdaten gehören zu den häufigsten Ursachen von Datenschutzverletzungen. Phishing-resistente Verfahren wie FIDO2 und Passkeys sichern Identitäten kryptografisch und stärken Zero-Trust-Architekturen.

Sicherheitsarchitekturen wurden über Jahrzehnte um feste Grenzen herum gebaut. Innerhalb dieser (Netzwerk-)Grenzen galt Vertrauen, außerhalb Misstrauen. Doch heute existiert diese Geometrie nicht mehr. Anwendungen liegen in der Cloud, Mitarbeiter greifen von überall aus auf unternehmenseigene Ressourcen zu, und Maschinen kommunizieren über betriebliche Grenzen hinweg. Der Netzwerkrand (Edge) hat seine Bedeutung verloren. An dessen Stelle tritt eine neue Grenze, die bei jeder Anmeldung neu gezogen wird: die Identität.

Mit der Verschiebung dieser Grenze ändert sich auch das Ziel der Cyberkriminellen. Der Aufwand, eine Mauer zu durchbrechen, lohnt kaum, solange ein gültiger Zugang denselben Zweck erfüllt und dabei unsichtbar bleibt.

Eine kompromittierte Identität ist der Generalschlüssel zu einem erfolgreichen Cyberangriff. Sie ermöglicht den Zugang zu Postfächern, Finanzsystemen und Entwicklungsumgebungen, ohne einen Alarm auszulösen, da sie sich wie ein berechtigter Nutzer verhält. Diese Logik prägt das aktuelle Geschehen. Hinter fast vier von zehn Datenschutzverletzungen stehen laut aktueller Verizon-Erhebung gestohlene Zugangsdaten. In der Mehrheit der Fälle spielt menschliches Zutun eine Rolle. Es gibt jedoch entscheidende Ansätze, um diesen neuen Cyberbedrohungen zu begegnen und echte Resilienz zu erlangen: Man muss sich darauf konzentrieren, die digitale Identität als neuen Perimeter zu sichern.

Verizon Data Breach Investigations Report 2026

Exploits lösen Zugangsdaten als Einfallstor ab

Das geteilte Geheimnis als Schwachstelle

Die eigentliche Schwäche ist im Anmeldeverfahren angelegt. Passwörter, Einmalcodes und Push-Bestätigungen beruhen auf einem geteilten Geheimnis. Ein solches Geheimnis lässt sich abfangen oder weiterleiten, unabhängig davon, wie sorgfältig die Belegschaft geschult ist. Awareness-Trainings senken zwar das Risiko, können es jedoch nicht beseitigen. Solange ein Mensch eine Information eingibt, die ein unbefugter Dritter abgreifen könnte, bleibt der Kanal verwundbar. Genau an dieser Stelle versagen auch viele Verfahren, die als Multi-Faktor-Authentifizierung (MFA) gelten und dennoch ein übertragbares Geheimnis verlangen.

Die Lösung liegt in einem Verfahren, bei dem nichts mehr preisgegeben wird, das böswillige Außenstehende verwenden könnten. Phishing-resistente Verfahren wie FIDO2 mit WebAuthn-basierter Authentifizierung arbeiten mit kryptografischen Schlüsselpaaren. Der private Schlüssel verlässt das Gerät des Nutzers nie, und die Anmeldung ist fest an die echte Domain gebunden. Eine nachgebaute Login-Seite erhält keine verwertbare Antwort, ein abgefangener Code ist wertlos. Die Wirkung ist messbar. Eine aktuelle Auswertung von Microsoft beziffert den Anteil identitätsbasierter Angriffe, den Phishing-resistente Authentifizierung abwehrt, auf über 99 Prozent.

MFA ist nicht gleich MFA

Warum FIDO2 die Zukunft der Authentifizierung ist

Hinter FIDO2 steht ein offener Standard aus zwei zusammenwirkenden Spezifikationen. WebAuthn, vom W3C verabschiedet, regelt das Zusammenspiel zwischen Webanwendung und Browser. Ein zweites Protokoll verbindet den Browser mit dem Authentifikator, etwa einem Sicherheitsschlüssel oder dem Sicherheitschip im Gerät. Für jeden Dienst entsteht ein eigenes Schlüsselpaar. Bei der Anmeldung sendet der Dienst eine Zufallsaufgabe, die der Au­then­ti­fi­ka­tor signiert und dabei an die Adresse des aufgerufenen Dienstes knüpft. Der Server speichert allein den öffentlichen Schlüssel. Selbst der Diebstahl der vollständigen Anmeldedatenbank liefert Angreifern damit nichts Verwertbares.

Im Detail lohnt eine Unterscheidung zwischen den heute verfügbaren Passkey-Optionen, die für die Praxis entscheidend sind: synchronisierte Passkeys und hardwaregestützte Passkeys. Synchronisierte Passkeys lassen sich über ein Plattformkonto auf mehrere Geräte verteilen und erleichtern Wiederherstellung und Komfort. Hardwaregebundene Schlüssel bleiben dauerhaft an die Hardware gebunden und bieten das höchste Sicherheitsniveau. Für besonders schüt­zens­werte und privilegierte Zugänge ist die gerätegebundene Variante die naheliegende Wahl, während der synchronisierte Passkey die breite Belegschaft niedrigschwellig erreicht.

Authentifizierungsbarotmeter der FIDO Alliance

Verbraucher haben keine Lust auf Passwörter

Zero Trust beginnt bei der Identität

Das ist der Grundgedanke von Zero Trust: Das Modell verzichtet auf die Annahme, dass ein Standort Vertrauen begründet. Jede Anfrage wird geprüft, unabhängig davon, ob sie aus dem Rechenzentrum oder aus einem Hotel-WLAN kommt. Eine Architektur, die jedem Zugriff zunächst misstraut, steht und fällt mit der Qualität der Identitätsprüfung. Schwache Authentifizierung lässt Zero Trust zur bloßen Behauptung werden. Phishing-resistente Authentifizierung hingegen macht das Versprechen überprüfbar.

Daraus folgt eine strategische Entscheidung, die in vielen Organisationen noch aussteht. Authentifizierung sollte als eigenständige Schicht der Sicherheitsarchitektur verstanden werden und nicht als Funktion einer einzelnen Identitätsplattform. Bindet ein Unternehmen den Authentifikator fest an einen Anbieter, entstehen Abhängigkeiten und blinde Flecken, etwa bei älteren Anwendungen oder beim Wechsel der Plattform. Ein Verfahren, das über die gesamte Systemlandschaft hinweg trägt, vom Cloud-Dienst bis zur Altanwendung, verkleinert die Angriffsfläche und den Betriebsaufwand zugleich. Yubico vertritt diese Haltung seit der Mitgründung der FIDO-Allianz und sieht in der Bindung des Schlüssels an dedizierte Hardware den belastbaren Anker einer solchen Schicht.

Der regulatorische Rahmen weist in dieselbe Richtung. NIS2 und DORA verlangen von einer Vielzahl an Unternehmen verlässliche Zugriffskontrolle und Mehr-Faktor-Authentifizierung. Das BSI bewertet moderne, passwortlose Verfahren als besonders sicher, ohne eine bestimmte Technik vorzuschreiben. Und Cyberversicherer setzen Phishing-resistente Authentifizierung für privilegierte Zugänge bereits voraus. Der Markt behandelt sie als Mindeststandard, bevor der Gesetzgeber sie ausdrücklich zur Pflicht erhebt.

Wie Hardware-Sicherheitsschlüssel gegen Phishing helfen

Ohne Phishing-resistente Nutzer geht nichts!

Vom Prinzip zur Umsetzung

Für die Praxis ergibt sich eine überschaubare Reihenfolge. Den Anfang macht eine ehrliche Bestandsaufnahme der Identitäten, der Zugriffswege und der eingesetzten Verfahren. Privilegierte Konten, administrative Zugänge und der Fernzugriff verdienen Vorrang, da ihr Verlust den größten Schaden verursacht. Der Umstieg gelingt schrittweise, beginnend bei den wertvollsten Konten, und muss den laufenden Betrieb nicht unterbrechen. Entscheidend ist, dass keine Hintertür offenbleibt.

Eine Phishing-resistente Anmeldung verliert ihren Wert, sobald sich daneben ein schwächeres Verfahren als Rückfallebene hält, denn Cyberkriminelle suchen stets den bequemsten Weg. Ebenso zählt der gesamte Lebenszyklus einer Identität. Registrierung und Konto-Wie­der­her­stel­lung sind beliebte Einfallstore, da sie oft noch über Telefon, E-Mail oder Einmalcodes laufen.

Eine starke Anmeldung neben einer ungeschützten Wiederherstellung sichert lediglich die Vordertür. Auch der Blick über die eigene Belegschaft hinaus gehört dazu, denn externe Dienstleister, Partner und zunehmend auch maschinelle Identitäten erreichen dieselben Systeme und benötigen denselben Schutz.

Der Aufwand zahlt sich aus, sobald der teuerste Angriffspfad geschlossen ist. Für IT-Entscheider verschiebt sich die zentrale Aufgabe damit von der Abschottung des Netzes hin zum ver­läss­lichen Nachweis jeder Identität. Organisationen, die diese Verschiebung früh vollziehen, gewinnen Widerstandsfähigkeit, lange bevor der nächste Angriff die alte Perimeter-Logik endgültig widerlegt.

Über den Autor: Alexander Koch ist SVP Sales EMEA bei Yubico.

Zero Trust im Mittelstand

Netzwerksicherheit neu denken – ohne Riesenbudget!

(ID:50975674)