Viele Online Dienste bieten ihren Usern die Möglichkeit, sich mit ihrem Google- oder Facebook-Account anzumelden. Allerdings begibt man sich mit dieser sogenannten Single-Sign-on-Technik mehr oder weniger in eine einseitige Abhängigkeit. Die möglicherweise bessere Alternative zum Passwort ist FIDO. Die Abkürzung steht für Fast IDentity Online und ist ein Projekt von Firmen wie Google, Microsoft, Facebook, Amazon, Paypal, Visa und Mastercard. Gemeinsam mit dem World Wide Web Consortium (W3C) arbeitet man daran, das Passwort zukünftig überflüssig zu machen.

Apple „boykottiert“ die Web Standards FIDO2 oder Web-Authn bislang. Allerdings mehren sich die Hinweise, dass der Hersteller trotz Ankündigungen wie „Login mit Apple“ zukünftig eine FIDO2-Unterstützung anbieten wird.

Was ist FIDO2?

FIDO2 mit seiner Internet-Komponente WebAuthn ist der aktuelle Standard der FIDO-Allianz. Anmelden können sich User beispielsweise über das Antippen eines Buttons oder den simplen Blick in die Kamera. Die Authentifizierung erfolgt über einen Hardware-Token in Form eines USB-Sticks, Bluetooth- oder NFC-Senders. Der Vorteil: Um einen Account zu knacken, müssten Hacker einem dieses Stück Hardware klauen.

Windows 10 und Android User können FIDO2 auch ohne zusätzliche Hardware nutzen. Auf beiden Betriebssystemen gibt es eine eingebaute Security Hardware, die einen virtuellen Sicherheitsschlüssel anbietet. Browser und Apps können damit eine FIDO2-Anmeldung auf dem Gerät durchführen.

Die Authentifizierungslösung FIDO2 bietet eine sichere, passwortlose Mehrfaktor-Authentifizierung, bei der zweite Faktoren wie Trusted Platform Module (TPM), Hardware-Schlüssel oder biometrische Erkennungsmerkmale genutzt werden. Grundlage des Challenge-Response-Verfahrens ist eine asymmetrische Verschlüsselung mit Private- und Public-Keys.

Wie funktioniert FIDO2?

In einem ersten Schritt sendet ein Server eine Anfrage, auf die hin der FIDO2-Key aus einem geheimen Initialschlüssel sowie der Adresse des Server einen öffentlichen und einen geheimen Schlüssel generiert.

Indem der öffentliche Schlüssel an den Server übermittelt wird, kann dieser ihn speichern und zukünftig eine eindeutige Identifizierung vornehmen.

Durch die Ausweisung eines individuellen Schlüssels bei jedem Server, kann dieser keinerlei Rückschlüsse auf weitere Logins mit dem selben FIDO2-Key ziehen.

Zusätzlich lässt sich sich der FIDO2-Key biometrisch (Fingerabdruck, Gesichtserkennung) oder aber altbewährt mit einem Passwort bzw. einer PIN vor Missbrauch sichern.

Passwörter lästig?

Sie scheuen sich davor, für jedes Benutzerkonto ein starkes, individuelles Passwort zu vergeben, weil Sie sich diese einfach nicht merken können? Ein Passwort-Manager hilft Ihnen dabei, die Kennwörter zu verwalten. Merken müssen Sie sich also nur noch das Passwort für die Benutzeroberfläche der Software. Allerdings brauchen Sie die Zugangsdaten nicht bei jedem geplanten Login nachzuschlagen. Über eine entsprechende Autofill-Funktion werden die im Passwort-Tresor gespeicherten Kennwörter automatisch und abgerufen.

Passwort-Manager Vergleich

Mehr zum Thema: