Passwortsicherheit Warum FIDO2 das Ende des Passworts bedeutet

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Cohesity GmbH

Specops Software GmbH

Der sichere Zugriff auf Geräte und Accounts spielt für Privatleute und Unternehmen gleichermaßen eine große Rolle. Für Betriebe ist hier allerdings eine noch größere Dringlichkeit gegeben, da unbefugter Zugriff und Datenmissbrauch verheerende Konsequenzen haben und unter Umständen sogar geschäftskritisch sein können.

Aus diesem Grund stellt das Thema „sicherer Zugriff“ eine der zentralen Herausforderungen für Unternehmen im Hinblick auf den Datenschutz und die IT-Security dar. Welche Bedeutung das Thema IT-Sicherheit insgesamt für Betriebe haben sollte, zeigte eine im letzten Jahr erschienene Studie des Digitalverbandes Bitkom. Sie ergab, dass der deutschen Wirtschaft jährlich ein Gesamtschaden von 100 Milliarden Euro durch Cybersabotage, -Spionage oder Datendiebstahl entsteht. Diese Zahl ist damit fast doppelt so hoch wie in der Erhebung zwei Jahre zuvor, als man noch von 55 Milliarden Euro jährlich ausging. Angesichts dieser Zahlen müssen Firmen sich fragen, wie grundlegende interne Prozesse verbessert werden können, sodass ein besserer Schutz der IT-Infrastruktur gewährleistet ist. Ein zentraler Punkt ist hier sicherlich das Thema Authentifizierung durch Passwörter.

Offener Standard für starke Authentifizierung

FIDO2 bringt den passwortfreien Login

Passwörter: Ein Sicherheitsrisiko?

Die Tatsache, dass die Nutzung von Passwörtern im Unternehmen häufig eher nicht zur Sicherheit beiträgt und wenig praktikabel ist, zeigt unter anderem eine aktuelle Studie des Ponemon-Institutes „2020 State of Password and Authentication Security Behaviors Report“. Hierfür wurden über 2.500 IT und IT-Security-Experten aus Australien, Frankreich, Deutschland, Schweden, Großbritannien und den USA befragt sowie 563 Einzelanwender in diesen Ländern. Die Zahl der befragten IT-Security-Mitarbeiter lag in Deutschland bei 423. Eines der Ergebnisse der Studie: Sowohl IT-Sicherheitsfachleute als auch Einzelpersonen legen riskantes Verhalten in Bezug auf Passwörter und Authentifizierung an den Tag.

So gaben ganze 39 Prozent der befragten IT-Fachleute in Deutschland an, Passwörter über mehrere Arbeitsplatzkonten hinweg wiederzuverwenden und 45 Prozent teilen sogar manchmal oder häufig Passwörter mit Kollegen. Weiterhin sagten 34 Prozent der deutschen IT-Experten, dass ihr Unternehmen sich auf Post-its verlässt, wenn es um die Verwaltung von Passwörtern geht und 51 Prozent vertrauen hierbei auf das menschliche Gedächtnis. Weiterhin beunruhigend ist die Tatsache, dass 54 Prozent der Einzelnutzer in den USA, Großbritannien, Frankreich, Schweden, Australien und Deutschland, die zum Zugriff auf geschäftliche Daten ein privates Gerät verwenden, keine Zwei-Faktor-Authentifizierung verwendeten.

Erhöhte Kosten und Mehraufwand durch Passwortnutzung

Neben dem Sicherheitsrisiko, dass der falsche Umgang mit Passwörtern mit sich bringt, ist deren Anwendung für Unternehmen auch häufig umständlich und kostspielig: So ergab die Ponemon-Vorgängerstudie aus dem Vorjahr „2019 State of Password and Authentication Security Behaviors Report“, dass die internationalen Umfrageteilnehmer durchschnittlich 12,6 Minuten pro Woche oder 10,9 Stunden im Jahr damit verbringen müssten, Passwörter einzugeben und/oder zurückzusetzen. Dies verdeutlicht den Aufwand und den damit verbundenen Arbeitsausfall, der alleine mit dem Management von Passwörtern verbracht wird – wertvolle Zeit, die Mitarbeiter von ihren wesentlichen Aufgaben abhält.

Dies schlägt sich auch finanziell nieder, denn weiterhin fasst der Report zusammen, dass basierend auf einer durchschnittlichen Betriebsgröße von 15.000 Mitarbeitern, Kosten durch Produktivitäts- und Arbeitsausfall von durchschnittlich 5,2 Millionen Dollar pro Jahr auf Unternehmen zukommen können. Die erwähnten Zahlen verdeutlichen die Problematik, die mit der Nutzung von Passwörtern in Verbindung stehen. Die Frage ist also, welche Alternativen sich Betrieben bieten, um den Prozess der Authentifizierung zu vereinfachen und sicherer zu gestalten.

Eine (Unternehmens-) Welt ohne Passwörter?

FIDO2 ist ein gemeinsames Projekt der FIDO-Allianz („Fast IDentity Online“) und des W3C (World Wide Web Consortium) und ermöglicht die sichere passwortlose oder Mehrfach-Authentifizierung. Der Standard verspricht, die Praktik der Passwortnutzung zu ersetzen. Zudem hat er das Potenzial, die Art, wie Einzelnutzer und Betriebe im Internet agieren, grundlegend zu verändern. Im Kern besteht FIDO2 aus dem Web-Authentifizierungsstandard WebAuthn des W3C und dem FIDO Client to Authenticator Protocol (CTAP).

Die Basis des Verfahrens sind frühere Arbeiten der FIDO Alliance, insbesondere der Authentifizierungsstandard Universal 2nd Factor (U2F). Aufbauend auf den Grundsätzen der asymmetrischen Verschlüsselung ist die häufigste Authentifizierungsmethode bei FIDO2 der Zweitfaktor mithilfe von Hardware-Keys. Nutzer können diese USB-Tokens der Einfachheit halber am Schlüsselbund befestigen.

Zum Login verbindet der Nutzer den Key einfach mit seinem Endgerät per USB, NFC oder Lightning-Anschluss und berührt einen Kontakt auf dem Key, um sich zu authentifizieren. Diese Praxis ermöglicht das einfachere und hochsichere Log-In für Accounts, Dienste und Geräte aller Art.

Nutzer können zum Beispiel den Zugang zu ihren Sozialen Netzwerken (wie Facebook, Xing, LinkedIn), ihren Cloud-Speichern (Dropbox, Onecloud, Googledrive) und Entertainment-Diensten wie beispielsweise EA Origin und Epic Games effektiv vor unberechtigtem Zugriff absichern.

Sämtliche geläufigen Browser wie etwa Firefox, Chrome und Safari unterstützen FIDO2. Nachdem Apple den Support für FIDO in iOS hinzugefügt hat, unterstützen zudem nun alle relevanten Betriebssysteme den Standard.

FIDO2: Unattraktiv für Angreifer

Viele Nutzer und betriebliche Entscheider fragen sich, was im Falle eines Verlusts oder Diebstahls dieses Hardware-Tokens passiert und ob FIDO2 bezüglich dieser Möglichkeit trotzdem sicherer ist im Vergleich zu Passwörtern. Grundsätzlich kann der Key genauso verloren gehen, wie andere essentielle Gegenstände, etwa Auto- und Wohnungsschlüssel. Der Verlust eines FIDO2-Keys stellt hier allerdings kein so großes Problem dar wie etwa der Verlust des Autoschlüssels. Selbst wenn jemand den Key findet, kann er ihn nicht dazu benutzen, um etwa die Daten seines Eigentümers abzugreifen, da auf dem Key selbst keinerlei Informationen über die mit ihm gesicherten Webseiten und Dienste gespeichert sind.

Der Unterschied zur betrieblichen Verwendung von Passwörtern ist, dass der Diebstahl von Daten nun nicht mehr virtuell möglich ist. Wenn das Verfahren unternehmensübergreifend umgesetzt wird, können Cyberkriminelle sich nicht mehr zum Beispiel anhand eines Trojaners Zugang zu Millionen von Zugangsdaten verschaffen. Der passwortlose Log-In schließt somit ein beliebtes Einfallstor. Um als Angreifer Zugriff auf Firmen-Accounts und kritische Daten zu erhalten, müsste dieser so weit gehen, den physischen Key zu entwenden – dies stellt eine deutlich größere Hürde dar. Außerdem wäre dieses Vorgehen im Kontext der Internetkriminalität nicht sehr lukrativ, da hier kein Millionengeschäft lockt, sondern sich der Datenmissbrauch nur auf Einzelfälle beschränkt. Um Cyberkriminellen das Leben zusätzlich zu erschweren, erfordern viele USB-Tokens zusätzlich einen zweiten Faktor – so kann man sie beispielsweise mithilfe eines weiteren biometrischen Faktors oder eines zusätzlichen PINs. Hier bietet FIDO2 ein Maximum an Sicherheit bei gleichzeitig hohem Komfort.

Fazit

Die Verwendung von Passwörtern zur Absicherung von Firmen-Accounts und -Geräten hat eine lange Tradition und Entscheidern sowie private User haben über einige Jahre hinweg diese Praxis nicht allzu sehr hinterfragt. Doch teils gravierende Datenskandale und -Leaks innerhalb der letzten Jahre haben bei Unternehmen das Bewusstsein für potenzielle Sicherheitsrisiken, aber auch unnötige Kostenpunkte geschärft. Da die Arbeit von zuhause sich immer größerer Beliebtheit erfreut und die Nutzung von Cloud-Diensten deswegen weiter ansteigen wird, ist die Sicherung persönlicher Daten wichtiger denn je. Nur so lässt

Gleichzeitig steigt das Interesse vieler Bürger am Thema Datenschutz. Die Entwicklung hin zur passwortlosen Authentifizierung ist der nächste Schritt zu einem Maximum an Datensicherheit und Datenschutz bei gleichzeitig maximal einfacher Bedienung und Umsetzbarkeit.

Über den Autor: Guido Appenzeller ist Chief Product Officer bei Yubico.

(ID:46813890)