Passwortlosen

Passwortlose Authentifizierung bezeichnet Verfahren, bei denen sich Nutzerinnen und Nutzer ohne die Eingabe eines herkömmlichen Passworts identifizieren und autorisieren. Statt eines Passworts kommen kryptografische Schlüssel, Besitzfaktoren oder zeitlich begrenzte Einmalcodes zum Einsatz. Ziel ist es, Sicherheit und Benutzerfreundlichkeit zu verbessern und das Risiko von Passwortdiebstahl, Weitergabe und Wiederverwendung zu reduzieren.

Zu den wichtigsten Technologien gehören WebAuthn/FIDO2, Passkeys und Hardware-Authentifikatoren wie USB- oder NFC-Tokens. Bei WebAuthn erstellt das System im Gerät oder auf einem Sicherheitsmodul ein kryptografisches Schlüsselpaar; der private Schlüssel bleibt lokal, der öffentliche Schlüssel wird vom Server gespeichert. Der Login erfolgt durch eine Signatur mit dem privaten Schlüssel, oft verifiziert durch biometrische Merkmale oder eine Gerätesperre. CTAP-Standards unterstützen die Interoperabilität zwischen Plattformen und Anbietern, sodass Passkeys plattform- und dienstübergreifend genutzt werden können.

Vorteile liegen in reduziertem Phishing-Risiko, fehlender Passwort-Wiederverwendung und oft geringeren Support-Kosten. Die Benutzererfahrung kann verbessert werden, insbesondere durch einfache Anmeldung mit Biometrie oder dem Tragen eines Tokens. Nachteile sind Abhängigkeit von Hardware oder Geräten, Herausforderungen bei Notfall- oder Wiederherstellungsprozessen sowie potenzielle Barrierefreiheits- und Datenschutzaspekte.

Die Einführung erfolgt schrittweise: Enrollment, Backup- und Wiederherstellungswege sowie Lebenszyklus-Management müssen geplant werden. Der Trend hin zu Passwortlos-Authentifizierung nimmt zu, insbesondere im Rahmen von Zero-Trust-Strategien; größere Plattformanbieter unterstützen WebAuthn/Passkeys, und Unternehmen setzen Passwortlos als Teil moderner Sicherheitsarchitekturen um.