Passwortlose Authentifizierung bezieht sich auf jeden Anmeldevorgang, der einem Benutzer den Zugriff auf sein Konto ohne Kennwort ermöglicht. Benutzer müssen ihre Identität häufig mit einem sichereren AD-Authentifizierung Faktor stattdessen.
Alle passwortlosen Authentifizierungsmethoden, einschließlich der Multi-Faktor-Authentifizierung (MFA) und Single Sign-On (SSO)-Lösungen basieren auf einer einfachen Prämisse: Normale Passwörter allein sind nicht sicher genug, um digitale Identitäten zu schützen.
Arten der Authentifizierung
Bei der passwortlosen Authentifizierung müssen Benutzer ihre Identität anstelle eines Passworts mit Faktoren verifizieren, die schwerer zu kopieren oder zu stehlen sind. Dazu können gehören:
1. Wissen – etwas, das ein Benutzer weiß
- Passwort oder PIN (diese können auch Besitztümer sein)
- Antwort auf eine Sicherheitsfrage
2. Besitz – etwas, das ein Benutzer hat
- Einmalkennwörter (z. B. E-Mail-Links, SMS-Codes, Push-Benachrichtigungen, Authentifizierungs-Apps)
- Physische Sicherheitsschlüssel wie Zugangsausweise und USB-Geräte
- Software-Token und Zertifikate
3. Inhärenz – etwas, das ein Benutzer ist
- Fingerabdrücke
- Spracherkennung
- Gesichtserkennung
- Andere Arten der biometrischen Authentifizierung
- Zeit, Ort und Verhalten
Das Problem mit der Passwortsicherheit
Obwohl viele Websites und Anwendungen sie immer noch benötigen, sind Passwörter nicht sehr sicher. Sie bieten keine Möglichkeit, die wahre Identität einer Person zu überprüfen, und sie können von jedem und überall verwendet und missbraucht werden, um unbefugten Zugriff auf ein Konto zu erhalten.
Mit der wachsenden Anzahl an Netzwerken, Plattformen, Anwendungen und Diensten, die Nutzer nutzen, wächst auch die Liste der Anmeldeinformationen, die sie sich merken müssen. Allein die schiere Menge und Vielfalt dieser Anmeldeinformationen kann bereits zu Sicherheitslücken führen. Die wirklichen Probleme entstehen jedoch, wenn Nutzer versuchen, diese zu umgehen, indem sie beispielsweise Passwörter aufschreiben und wiederverwenden oder von vornherein schwache Passwörter einrichten – was sie zu einer leichten Beute für Angreifer macht.
Zu den häufigsten Passwortangriffen zählen:
- Zeugnisfüllung – ein automatisierter Angriff, bei dem gestohlene Benutzernamen- und Kennwortkombinationen wiederholt in Authentifizierungsformulare von Websites eingegeben werden, um zu versuchen, unbefugten Zugriff auf Konten zu erlangen.
- Brute-Force- - Ein Versuch-und-Irrtum-Angriff, bei dem mehrere gängige Passwortkombinationen für ein Konto verwendet werden, in der Hoffnung, dass eine davon irgendwann funktioniert.
- Passwort-Spraying – eine Form des Brute-Force-Angriffs, bei dem Angreifer eine Reihe gemeinsamer Passwörter für mehrere Konten verwenden, um auf alle möglichen Konten zuzugreifen.
- Phishing - Eine Social-Engineering-Technik, bei der Angreifer Menschen dazu verleiten, vertrauliche Informationen wie Passwörter preiszugeben oder Malware zu installieren – häufig über eine E-Mail oder einen Website-Link.
- Keylogging – Mithilfe von Schadsoftware oder Hardware zeichnen Angreifer heimlich die Tastenanschläge eines Benutzers auf, um dessen Passwort und andere vertrauliche Daten herauszufinden.
Die Vorteile der passwortlosen Authentifizierung
Durch den schnellen und sicheren Zugriff auf Onlinedienste erleichtert die passwortlose Authentifizierung Benutzern, IT-Teams und Organisationen die Verwaltung ihrer Arbeit in verschiedenen lokalen, hybriden und Cloud-Umgebungen. Zu den wichtigsten Vorteilen zählen:
Verbesserte Benutzererfahrung: Anstatt für jeden benötigten Dienst eine Liste mit Anmeldeinformationen durchzugehen, ermöglicht die passwortlose Authentifizierung den Benutzern eine schnelle und sichere Anmeldung, oft mit nur einer Identität. Dies vereinfacht den Anmeldevorgang und sorgt insgesamt für ein reibungsloseres Benutzererlebnis.
Bessere Sicherheit: Passwortlose Authentifizierungsmethoden verwenden häufig öffentliche/private kryptografische Schlüsselpaare, die äußerst resistent gegen Phishing-Angriffe sind und im Gegensatz zu herkömmlichen Passwörtern nicht vergessen werden können. Diese Authentifizierungsfaktoren sind zudem oft zeitlich, örtlich, geräte- oder körperbezogen begrenzt. Selbst wenn es einem Angreifer gelingt, einen dieser Faktoren zu stehlen, ist es unwahrscheinlich, dass er sich gleichzeitig anmelden kann.
Zentrales Management: Passwortlose Authentifizierungsmethoden erleichtern IT-Teams die Überwachung und Kontrolle Identity-Security-Lücken von einem Ort aus. Sie lassen sich außerdem an komplexe moderne Netzwerke anpassen, reduzieren die Kosten für die typische Kennwortverwaltung (einschließlich Kennwortzurücksetzungen, Supportanfragen und Sicherheitsinfrastruktur) und unterstützen Unternehmen bei der Einhaltung von Datenschutz- und Cybersicherheitsvorschriften.