IT-Sicherheitsexperten begrüßen Entwicklung von FIDO2: Neuer Authentifizierungsstandard für passwortlose, sichere Login-Prozesse

(Auszug aus der Pressemitteilung)

Fulda, 24.10.2023 – Passwörter sind ein notwendiges Übel: Sie sind einerseits eine der wichtigsten Schutzmaßnahmen für unsere Online-Identitäten, jedoch auch oft kompliziert und schwer zu merken. Alternativ verwenden deshalb viele Menschen schwache oder leicht zu erratende Passwörter, was Cyberkriminellen Tür und Tor öffnet. Was wäre also, wenn wir uns nie wieder an ein Passwort erinnern müssten und trotzdem unsere persönlichen und geschäftlichen Daten vor unbefugtem Zugriff schützen könnten?

„Genau daran arbeiten die großen Tech-Riesen seit ein paar Jahren und haben mit FIDO2 bereits eine Lösung entwickelt“, informiert Patrycja Schrenk, Geschäftsführerin der PSW GROUP ( www.psw-group.de ). FIDO2 steht für „Fast Identity Online 2“ und ist ein offener Authentifizierungsstandard, der das traditionelle Passwort-System ersetzen oder ergänzen soll. Die IT-Sicherheitsexpertin erklärt: „Der Hauptzweck von FIDO2 ist es, eine sicherere und benutzerfreundlichere Methode der Authentifizierung für Online-Dienste bereitzustellen. Anstatt sich auf Passwörter zu verlassen, verwendet FIDO2 eine Kombination aus biometrischen Merkmalen wie Fingerabdrücken oder Gesichtserkennung, hardwarebasierten Sicherheitsschlüsseln, Smart-Cards oder TPM-Module, um User zu verifizieren. Dies macht es wesentlich schwieriger für Angreifende, Zugriff auf Benutzerkonten zu erlangen, da sie ja keinen physischen Zugang zu den Sicherheitsschlüsseln oder den biometrischen Merkmalen des Users haben.“

FIDO2 basiert auf dem „Public Key Prinzip“ und funktioniert in drei Schritten: Zunächst registriert sich eine Person bei einem Online-Dienst, der FIDO2 unterstützt. Während dieses Prozesses erstellt der Dienst ein kryptografisches Schlüsselpaar, bestehend aus einem öffentlichen und einem privaten Schlüssel. Der private Schlüssel wird sicher auf dem Gerät des Anwendenden oder einem hardwarebasierten Sicherheitsschlüssel gespeichert. Wenn diese Person sich später bei dem Online-Dienst anmeldet, wird sie aufgefordert, sich zu authentifizieren. Anstatt ein Passwort einzugeben, verwendet sie ihr biometrisches Merkmal, beispielsweise einen Fingerabdruck oder den Sicherheitsschlüssel. Der Dienst fordert die Person nun auf, eine kryptografische Signatur mit dem privaten Schlüssel zu erstellen und diese zu senden. Erst nach erfolgreicher Überprüfung dieser Signatur mithilfe des öffentlichen Schlüssels wird Zugriff auf das Benutzerkonto gestattet.

„Eine der großen Stärken von FIDO2 ist die Tatsache, dass entsprechende Authentisierungs-Lösungen ohne großen Aufwand in die bestehende Softwarearchitektur integriert werden können. Unternehmen müssen nicht von Grund auf neu entwickeln, um von den Vorteilen von FIDO2 zu profitieren. Stattdessen können sie auf Out-of-the-Box-Integrationen zurückgreifen, die die Implementierung erleichtern und beschleunigen“, so Patrycja Schrenk. Als Cloudlösungen bieten Authentisierungs-Lösungen auf FIDO2-Basis Unternehmen zudem die Gewissheit, mit der Weiterentwicklung der FIDO-Sicherheitsstandards Schritt halten können, ohne sich um regelmäßige Updates der Authentisierungs-Komponenten kümmern zu müssen – ein entscheidender Faktor, um die Sicherheit der Systeme aufrechtzuerhalten und neue Bedrohungen abzuwehren.

Patrycja Schrenk

Die Entwicklung von FIDO2 geht Hand in Hand mit den Bemühungen von Webbrowsern und webbasierten Anwendungen, die Zukunft der passwortfreien Logins zu gestalten. Dropbox, Mozilla Firefox, Microsoft Edge und Google Chrome unterstützen bereits FIDO2: Anwendende mit einem FIDO2-fähigen Gerät, können sich dort schon ohne die Eingabe von Passwörtern sicher in ihre Konten einloggen. „Angesichts der Bedeutung von FIDO2 ist es auch für andere Unternehmen, allen voran Online-Dienstleister und -Händler, an der Zeit, sich mit der innovativen Technologie, die eine benutzerfreundliche Authentifizierung ohne Passwörter möglich macht, vertraut zu machen und zu überlegen, wie sie FIDO2 in ihren Betrieb oder ihr Online-Angebot integrieren können. Um den neuen Standard herumkommen wird langfristig ohnehin kaum jemand, denn die FIDO-Allianz und andere Organisationen werden voraussichtlich weiterhin an der Verbesserung der FIDO2-Sicherheitsstandards arbeiten“, so Patrycja Schrenk.