Jenseits der Komplexität: Eine passwortlose und sichere ZukunftÜberholte Praktiken ausrangieren
7. Mai 2025
Der World Password Day wird in nicht allzu ferner Zukunft ausgedient haben, wenn man die jüngsten Entwicklungen in der Authentifizierung verfolgt. Es zeichnet sich schon heute der Trend weg von komplexen Passwörtern hin zu längeren, einprägsameren Versionen ab. Eine passwortlose Authentifizierung ist der nächste logische Schritt.
Der Mensch neigt bei der Erstellung seiner Passwörter dazu, vorhersehbaren Mustern zu folgen, wie beispielsweise die Platzierung von Großbuchstaben am Anfang oder Sonderzeichen am Ende. Durch dieses nur allzu menschliche Verhalten lassen sich Passwörter mit Hilfe von KI und Rechenpower allerdings leichter vorhersagen.
In der Folge hat das National Institute of Standards and Technology (NIST) bereits vor einigen Jahren seine Empfehlungen aktualisiert hin zu längeren Passwörtern oder Passphrasen anstelle von komplexen Passwörtern. Indem mehrere Wörter zu einer einzigen, langen Kette kombiniert werden, werden diese Fassungen mathematisch schwerer zu knacken, und gleichzeitig sind sie für User leichter zu merken. Doch selbst Jahre später sind diese Empfehlungen noch nicht flächendeckend umgesetzt.
Während Organisationen an überholten Praktiken der Komplexität festhalten, zeigt die Realität, dass schwache Passwortstrategien Möglichkeiten für moderne Bedrohungen eröffnen. Viele Organisationen setzen nach wie vor Passwort-Komplexität mit besserer Sicherheit gleich. Allerdings ist längst bewiesen, dass Länge einen wirksameren Schutz gegen Angriffe wie Brute-Force darstellt.
Regulatorische Standards hinken oft hinter der Wirklichkeit hinterher, und alte Systeme gehen mit Einschränkungen wie Zeichenlimits einher, die die Umsetzung von längeren Passphrasen behindern. Der Mensch folgt gerne seinen angestammten Gewohnheiten der Verwendung kurzer, komplexer Passwörter und folgt diesen Mustern über Jahrzehnte.
Das größte Problem bei Passwörtern jeglicher Art ist jedoch die zunehmende Anzahl von Cyber-Angriffen, die durch Passwortdiebstahl und sogenannte „Adversary-in-the-Middle“ (AiTM)-Angriffe verursacht werden. Viele Methoden der Multifaktor-Authentifizierung (MFA), wie einmalige Passcodes, die per SMS oder E-Mail gesendet werden, oder sogar App-basierte Codes, sind anfällig für Abfangversuche während AiTM-Angriffen.
Diese Methoden beruhen auf dem Prinzip von geteilten Geheimnissen, die sich abfangen lassen. Ausgeklügelte Phishing-Versuche, die legitime Websites nachahmen, um Anmeldedaten und Sitzungsdaten zu stehlen sind auf dem Vormarsch laut dem jüngsten ThreatLabz Phishing Report.
Im Gegensatz dazu bieten moderne Authentifizierungsmethoden wie biometrische Verfahren und physische Sicherheitsschlüssel auf Basis der FIDO2-Standards robusten Schutz. FIDO2 verwendet Hardware wie USB-Sicherheitsschlüssel, um eine sichere Authentifizierung durchzuführen.
Anders als traditionelle Multifaktorauthentifizierung (MFA) verwendet FIDO2 Public-Key-Kryptographie, wodurch Phishing- und AiTM-Angriffe verhindert werden. Die eingesetzten kryptographischen Schlüssel sind an das Hardwaregerät gebunden und werden niemals mit dem Dienstanbieter geteilt. Durch die Eliminierung der Abhängigkeit von Passwörtern und abfangbaren MFA-Methoden ebnen diese Innovationen den Weg für eine sicherere, passwortlose Zukunft.
In Wirklichkeit lässt sich Komplexität nicht mit höherer Sicherheit gleichsetzen. Komplizierte Authentifizierungsmethoden führen im Gegenteil nicht selten zu Frustration und riskanten Abkürzungen, wie beispielsweise der Wiederverwendung von Passwörtern. Unternehmen sollten Lösungen wie Passphrasen, Biometrie und passwortlose Technologien (FIDO2) evaluieren, die nicht nur mit Komfort einhergehen, sondern auch besseren Schutz vor modernen Bedrohungen bieten.
Dieser Wandel ermöglicht einen stärkeren Schutz und eine benutzerfreundliche Möglichkeit, auf Ressourcen zuzugreifen, und beweist, dass sich Einfachheit und Sicherheit kombinieren lassen – der World Password Day sollte also eher eine Passwort-lose Zukunft einläuten.
Tony Fergusson ist CISO bei Zscaler.
