Die passwortlose Dekade beginnt

Als Fernando Corbató 1961 am Massachusetts Institute für Technology (MIT) das Passwort als Zugangsbeschränkung für ein Benutzerkonto erfand, ahnte er vermutlich nicht, dass Jahrzehnte später seine Erfindung für etwa 80 Prozent aller IT-Sicherheitsvorfälle verantwortlich zeichnet – und zwar aufgrund gestohlener, ausgespähter oder zu schwacher Passwörter. Die Authentifizierung mittels Passwort gilt inzwischen nicht mehr als Teil einer Lösung, sondern wird in zunehmenden Maße als Ursache eines Problems betrachtet.

Obwohl dieses Problem bekannt ist, setzen viele Unternehmen bei der Anmeldung immer noch auf Benutzername und Passwort. Dabei gibt es bereits seit längerem passwortlose und hochsichere Alternativen. Aber Vorsicht: passwortlos ist nicht gleich passwortlos – so positionieren sich mehrere Lösungen als passwortlos, sind es aber gar nicht. Oft verschwindet mittels biometrischer Verfahren wie Touch ID und Windows Hello das Passwort nur auf den ersten Blick. Das ist zwar komfortabel, doch wird der Kunde in die Irre geführt: Das Sicherheitsproblem ist weiter vorhanden – mit Passwörtern als „Shared Secrets“. Es handelt sich also nur um alten Wein in neuen Schläuchen. Die grundsätzlichen Schwächen werden damit nicht eliminiert.

Das Gleiche gilt auch für Lösungen auf Basis von One-Time-Password (OTP)-Tokens oder Authenticator-Apps. Auch bei diesen Techniken verbirgt sich im Hintergrund eine passwortbasierte Anmeldung, die auf gespeicherte Passwörter in einer zentralen Datenbank zurückgreift.

Eine zentrale Speicherung von Kennwörtern ist aus Sicherheitsgründen immer problematisch, da ein Zugriff Hackern vielfältige Angriffsszenarien eröffnet. Wenn hingegen eine echte Passwortlos-Struktur vorhanden ist, sind nur Angriffe auf einzelne Geräte denkbar, nicht aber auf eine Credential-Datenbank mit zahlreichen Anmeldeinformationen.

Wenn ein Unternehmen also eine passwortlose Authentifizierungslösung nutzt oder einführt, sollte es genau prüfen, ob es sich um eine vollständige und durchgängige Passwortlosigkeit handelt. Klar ist auch, dass vor allem eine passwortlose Multi-Faktor-Authentifizierung (MFA) höchstmögliche Sicherheit bietet – und dabei ganz wichtig: bereits bei der Betriebssystemanmeldung. Man lässt also den Hacker nicht erst ins Haus und verbietet ihm dann den Zugang zum Schlafzimmer, sondern wehrt ihn bereits am Eingang ab. Mit einem Smartphone ist eine passwortlose MFA problemlos umsetzbar. So kann der Login am Smartphone (Faktor: Besitz) initiiert und durch Biometrie (Faktor: Inhärenz) oder eine PIN (Faktor: Wissen) authentifiziert werden. Soll das Smartphone als Smartcard genutzt werden, muss auch der von der FIDO (Fast Identity Online)-Allianz definierte offene Industriestandard für die Zwei-Faktor-Authentifizierung unterstützt werden.

Wenn ich also in meinem Unternehmen eine passwortlose Login-Lösung einführe, kann ich nicht einfach sagen „Juhu, ich bin mein Passwort los“. Vielmehr muss ich die Frage stellen „Bin ich wirklich passwortlos?“. Ansonsten kaufe ich eine Mogelpackung ein und meiner Sicherheit ist nicht wirklich Genüge getan. Mit einer passwortlosen MFA-Lösung wie etwa von Hypr, steht schon jetzt eine Lösung zur Verfügung, die das Passwortdilemma vieler Unternehmen beseitigen kann – vor allem im Hinblick auf die Sicherheit, den Komfort, die Kosten und den Verwaltungsaufwand.

Bildquelle: Getty Images / iStock / Getty Images Plus