Authentifizierung ohne Passwort: Das bieten Gesichtserkennung und Co.

Passwörter sind heute nur ein Weg, um sich zu authentifizieren. Und dieser Weg kann sehr riskant sein, wenn man bestimmte Regeln zur Entwicklung sicherer Passwörter missachtet. So kommt Passwortdiebstahl immer wieder vor. Anfang diesen Jahres machte der IT-Sicherheitsexperte Troy Hunt Schlagzeilen, als er im Netz Millionen von gestohlenen E-Mail Adressen und Passwörtern entdeckte (CANCOM.info berichtete).

Eine Alternative zum Passwort bietet die biometrische Authentifizierungsmethode: Mittels Fingerabdruck oder Gesichtserkennung lassen sich etwa moderne Smartphones entsperren. Auch WebAuthn oder Zero-Login machen dem klassischen Passwort Konkurrenz. CANCOM.info zeigt auf, was die Passwort-Alternativen auszeichnet.

Bei der biometrischen Authentifizierungsmethode werden die Nutzer nicht anhand eines Passworts, sondern anhand biometrischer Merkmale wie Fingerabdruck, Gesicht oder Stimme identifiziert. In der Regel ist diese Methode deutlich sicherer.

Der Grund: Biometrische Merkmale sind unveränderbar und bei jeder Person einzigartig. Mit anderen Worten: Biometrische Daten ermöglichen es, eine Person auf eindeutige Weise zu identifizieren. Bei Passwörtern ist das anders. Hier können mehrere Personen das gleiche Passwort verwenden. Selbst eine korrekte Passworteingabe ist keine Garantie, dass tatsächlich die berechtigte Person dahinter steckt – und nicht ein Hacker.

Allerdings birgt die biometrische Authentifizierung auch eine Schwachstelle. Wie es in einem aktuellen Beitrag des Fachportals “it-daily.net” heißt, lassen sich biometrische Daten, im Gegensatz zum Passwort, nicht zurücksetzen. Ein Diebstahl dieser Daten nach einem erfolgreichen Hackerangriff könnte so langfristigen Schaden anrichten.

Die Web-Authentifizierungsmethode “WebAuthn” kommt ohne Passwort aus. Tatsächlich möchte die Methode, wie ZDnet berichtet, Passwörter im Internet komplett überflüssig machen.

Das Ziel von “WebAuthn” ist, die Authentifizierung im Web einfacher und sicherer zu gestalten. Damit das gelingt, wird jede Website mit eindeutigen Anmeldeinformationen versehen. Nutzer authentifizieren sich einmalig für jeden einzelnen Webservice. Dies verhindert unter anderem, dass Nutzer die gleichen Zugangsdaten für mehrere Seiten verwenden. Wie aus einem Beitrag des Fachportals “Security-Insider” hervorgeht, ist die Methode deshalb resistent gegen Man-in-the-Middle-Angriffe oder Phishing-Attacken.

WebAuthn setzt dabei auf ein Public Key-Verfahren sowie auf biometrische Merkmale, Hardware-Token oder Smartphones – heißt es im Beitrag weiter. Gebräuchliche Browser wie Mozilla Firefox, Google Chrome, Apple Safari oder Microsoft Edge unterstützen die Methode bereits.

Bei Zero-Login werden einzigartige Verhaltensmerkmale der Nutzer verwendet, um ihre Identität zu überprüfen – so der oben genannte Beitrag von “it-daily.net”. Darunter fallen individuelle Tippmuster oder die Frage, welchen Druck die Nutzer auf ihre Tasten ausüben.

Sofern die Merkmale mit den Verhaltensdaten der jeweiligen Nutzer übereinstimmen, können diese auf Anwendungen und Webservices zugreifen. Sollten die Merkmale abweichen, müssen die User ein Passwort eingeben oder eine andere Authentifizierungsmethode nutzen.

Eines haben alle drei Alternativen zum Passwort gemeinsam: Sie stellen die Identität der Nutzer auf eindeutige Weise fest. Für Hacker ist es folglich fast unmöglich, fremde Identitäten zu imitieren. Hat das klassische Passwort also ausgedient?

Paul Lipmann, CEO des Unternehmens BullGuard – der im Artikel von “it-daily.net” zitiert wird – sieht für Passwörter eine Zukunft. Allerdings werde es künftig üblich sein, Passwörter durch weitere Sicherheitsmerkmale zu ergänzen – wie die biometrische Authentifizierung.

Marcel Reifenberger, Chief Security Officer und Chief Information Security Officer bei CANCOM, räumt Passwörtern auf lange Sicht keine Chancen ein: “Alternative Anmeldeverfahren werden Passwörter nicht nur in Vergessenheit geraten lassen. Vielmehr werden sie dazu beitragen, das Sicherheitsniveau im Unternehmen massiv zu erhöhen sowie die Produktivität und Agilität zu steigern – was in Zeiten der digitalen Transformation absolut nötig ist.”