Passwörter sind tot, lang leben Passkeys

Das Passwort ist seit Jahrzehnten der Schlüssel zur digitalen Welt. Doch ausgerechnet dieses zentrale Element der IT-Sicherheit zählt zu den größten Schwachstellen in Unternehmen. Gleichzeitig nimmt die Automatisierung von Angriffen zu. Cyberkriminelle nutzen zunehmend KI, um ihre Methoden zu verfeinern und Zugangsdaten in großem Stil abzugreifen. An die Stelle von Passwörtern, die Menschen kennen und eingeben müssen, treten kryptografische Verfahren, biometrische Merkmale und Systeme zur Überprüfung digitaler Identitäten. Besonders große Erwartungen richten sich auf sogenannte Passkeys. Sie ermöglichen eine Anmeldung, ohne dass ein Passwort zwischen Nutzer und Online-Dienst übertragen wird. Stattdessen kommen zwei mathematisch miteinander verbundene Schlüssel zum Einsatz. Während der öffentliche Schlüssel beim jeweiligen Dienst hinterlegt ist, bleibt der private Schlüssel geschützt auf einem Endgerät oder in einem geeigneten Credential-Manager gespeichert. Die Anmeldung wird beispielsweise durch einen Fingerabdruck, Gesichtserkennung oder eine Geräte-PIN freigegeben. Selbst wenn Beschäftigte auf eine betrügerische Website gelangen, kann der Passkey nicht einfach für die Anmeldung beim falschen Dienst verwendet werden.

Der FIDO Alliance zufolge – FIDO steht für »Fast IDentity Online«, die internationale Organisation arbeitet an lizenzfreien Standards für die Sicherheit im Netz – haben 68 Prozent befragter größerer Unternehmen Passkeys für die Anmeldung ihrer Beschäftigten bereits eingeführt oder sie arbeiten an der Einführung. Weltweit sind laut der Organisation rund fünf Milliarden Passkeys aktiv im Einsatz. Die Zahlen stammen aus einer internationalen Erhebung und sind nicht unmittelbar auf Österreich übertragbar. Sie zeigen aber, dass diese Technologie bereits eine Alternative für die klassischen Passwörter ist.

Hersteller setzen auf Schlüssel
Auch Microsoft macht Passkeys zur bevorzugten Authentifizierungsmethode in seiner Zugangsmanagement-App »Microsoft Entra ID«. Seit September erfolgt die schrittweise Umstellung. Der Konzern will damit insbesondere die Abhängigkeit von SMS-Codes und telefonischer Authentifizierung reduzieren, die ebenfalls durch Phishing und Social Engineering angegriffen werden können. »Passkeys funktionieren für die Nutzer besser und für Cyberkriminelle schlechter«, heißt es sinngemäß dort.

Der Hersteller Keeper Security, der eine Identitätsmanagementlösung im Angebot hat, sieht Passwortmanager zunehmend auf Plattformenebene, auf der unterschiedliche digitale Zugangsdaten zentral verwaltet werden. Keeper ermöglicht es beispielsweise, Passkeys in einem verschlüsselten digitalen Tresor zu speichern und gemeinsam mit klassischen Passwörtern zu organisieren. Gerade für Unternehmen mit gewachsenen IT-Landschaften ist das relevant. Denn nicht jede ältere Anwendung unterstützt bereits moderne Authentifizierungsverfahren. Passwortmanager, Single Sign-on und zentrale Identitätsplattformen werden deshalb noch längere Zeit parallel zu Passkeys bestehen.
Die Abschaffung klassischer Passwörter ist dennoch kein Selbstläufer. Unternehmen sollten klären, wie Passkeys auf unterschiedlichen Geräten verwaltet werden, wie Beschäftigte nach einem Geräteverlust wieder Zugang erhalten und welche Authentifizierungsverfahren für besonders sensible Systeme geeignet sind.

Hintergrund
Im Vorjahr hat das am häufigsten verwendete Passwort in Österreich »admin« den langjährigen Frontrunner »123456« abgelöst. Mehr als die Hälfte der weltweit am häufigsten verwendeten Passwörter, die von dem Security-Unternehmen NordPass analysiert wurden, bestehen immer noch aus den einfachsten Tastenkombinationen von Zahlen und Buchstaben, wie »qwerty«, »1q2w3e4r5t« und »123456789«. In Österreich fallen den Experten persönliche und lokale Nuancen auf: Von »Buchkirchen« über »wien1020« bis hin zu »Ichbinda1« machen Österreicher oft Alltagswörter, Ortsnamen und Redewendungen zu Passwörtern. Dieser Trend zeigt eine Mischung aus Humor, Vertrautheit und Bequemlichkeit, macht aber auch deutlich, wie leicht solche Passwörter zu erraten sind.

Die gängigsten Passwörter in Österreich:

1. admin
2. qqqq1111
3. 123456
4. password
5. 12345678
6. vaxcyz
7. Buchkirchen
8. isabella
9. filipp
10. plamen

Vier Wege zu mehr Sicherheit

Passkeys statt Passwörter
Kryptografische Schlüssel ersetzen das klassische Passwort. Die Anmeldung erfolgt über ein vertrauenswürdiges Gerät und beispielsweise per Fingerabdruck, Gesichtserkennung oder PIN. Passkeys bieten einen wirksamen Schutz vor herkömmlichem Phishing.

Biometrische Authentifizierung
Fingerabdruck und Gesichtserkennung erleichtern die Identitätsprüfung und können kryptografische Zugangsdaten freigeben. Biometrie allein ersetzt jedoch keine sichere Authentifizierungsarchitektur.

Hardware-Sicher­heitsschlüssel
Physische FIDO2-Sicherheitsschlüssel ermöglichen eine besonders widerstandsfähige, phishingresistente Anmeldung. Sie eignen sich insbesondere für Administratorkonten und andere besonders schützenswerte Zugänge.

Adaptive Authentifizierung mit KI
Moderne Identity-and-Access-Management-Lösungen (IAM) analysieren Zugriffsversuche anhand von Risikosignalen und Verhaltensmustern. Bei Auffälligkeiten können sie zusätzliche Prüfungen verlangen oder Zugriffe verweigern.

Mehr Beiträge zu Digitalisierung, KI und Tech