Passwortfreie Authentifizierung wie FIDO2/WebAuthn reduzieren klassische Angriffsvektoren wie Phishing oder Credential-Stuffing und verbessern gleichzeitig die Nutzererfahrung. Seit 2023 ist FIDO2 ISO-zertifiziert und bietet damit eine sichere, standardisierte Alternative zu Passwörtern. Benutzer müssen sich keine komplexen Passwörter mehr merken – stattdessen kommen kryptographische Schlüsselpaare zum Einsatz.
Technologien und ihre Anwendung in der Praxis
WebAuthn/FIDO2 nutzt Public-Key-Kryptographie: Beim ersten Anmelden erzeugt das Gerät ein Schlüsselpaar, der öffentliche Schlüssel wird beim Dienst hinterlegt, der private bleibt auf dem Gerät – etwa in der Secure Enclave oder auf einem Hardware-Token. Passkeys ermöglichen geräteübergreifende Nutzung und werden über den Account des Herstellers synchronisiert, etwa im Smartphone. Als Zwischenlösung können Einmalige Anmeldelinks oder OTPs dienen, diese sind jedoch anfälliger für Account-Takeover. Für kritische Admin-Accounts empfehlen sich Hardware-Tokens wie YubiKey als Standard.
Ein Rollout-Plan mit Praxishinweisen
Starten Sie mit einer Pilotphase in einer kleinen Abteilung, bieten Sie WebAuthn plus Hardware-Token an und dokumentieren Sie Probleme beim Onboarding. In der Hybridphase erlauben Sie passwortfreie Anmeldung zusätzlich zu bestehenden Passwörtern und sammeln Feedback. Implementieren Sie sichere Account-Recovery-Verfahren, etwa mehrere verifizierte Wiederherstellungsfaktoren statt eines einfachen E‑Mail-Resets. Drucken Sie Recovery-Codes aus und lagern Sie diese physisch. In der Vollumstellung entfernen Sie den Passwortzwang, schulen Support-Teams für verlorene Geräte und bieten Self-Service-Recovery mit sicherer Verifikation an.
Fallstricke und ihre Lösungen
Account-Recovery ist der häufigste Schwachpunkt: Entwerfen Sie Prozesse, die keine neuen Angriffsflächen öffnen, etwa durch Social-Engineering über den Support. Beachten Sie Nutzer ohne moderne Geräte – behalten Sie einen sicheren, aber weniger komfortablen Fallback. Biometrische Daten erfordern eine separate Einwilligung nach DSGVO.
Fazit
Passwortfreie Authentifizierung erhöht Sicherheit und Nutzerfreundlichkeit, wenn Sie mit einem kontrollierten Pilot beginnen, Passkey- und Hardware-Token-Optionen anbieten und robuste Recovery-Verfahren einführen. Der kurzfristige Aufwand zahlt sich durch geringeres Risiko und weniger Supportkosten langfristig aus.
Also lassen Sie sich gut beraten.
