SicherheitsToken

Ein Sicherheitstoken ist ein physisches oder digitales Trägerobjekt, das zur Authentifizierung oder Autorisierung dient. Es belegt den Besitz oder die Kontrolle eines Nutzers und erhöht die Sicherheit, indem es zusätzliche Nachweise neben Passwörtern liefert.

Arten: Hardwaretokens umfassen OTP-Generatoren, USB- oder NFC-Keys; softwarebasierte Tokens laufen als Apps auf Smartphones oder Computern. Kryptografische Tokens nutzen asymmetrische Schlüsselpaare und können passwortlos arbeiten. Je nach Implementierung kann ein Token auch als Bestandteil eines Identitäts- oder Zugriffsmanagements dienen.

Funktionsweise: Bei OTP-Tokens erzeugt das Gerät zeit- oder ereignisbasierte Codes, die der Server prüft. Bei FIDO2/WebAuthn-Tokens wird ein auf dem Gerät gespeichertes Schlüsselpaar verwendet; der private Schlüssel verlässt das Token nicht, der öffentliche Schlüssel wird serverseitig verifiziert. Tokens können allein oder zusammen mit einem Passwort eingesetzt werden.

Anwendungsbereiche: Sicherheitstokens finden Anwendung in Zwei-Faktor-Authentifizierung, VPN- und Cloud-Zugriffen, Remote-Arbeit sowie beim SSH-Zugriff mit Hardwarekeys. Sie spielen eine zentrale Rolle in modernen Sicherheitsarchitekturen wie Zero Trust.

Sicherheit und Standards: Risiken ergeben sich vor allem durch Verlust oder Diebstahl; deshalb sind Sperrung, PIN-Schutz und zeitnaher Schlüsselwechsel wichtig. Wichtige Standards umfassen TOTP/HOTP (RFC 6238/4226) sowie FIDO2/WebAuthn (CTAP2) und U2F, die Interoperabilität fördern.