Seit Jahren verspricht die Technologiebranche den Wandel hin zu einer passwortlosen Zukunft. So wurde beispielsweise 2013 die FIDO Alliance gegründet, um das Passwortproblem der Welt durch die Ablösung herkömmlicher Anmeldetechnologien zu lösen.
Google, Paypal und Lenovo gehörten zu den ursprünglichen Gründungsmitgliedern von FIDO. 2015 trat Microsoft bei, 2020 folgte Apple. Der Weg zu einer passwortlosen Welt war langsam, scheint sich im vergangenen Jahr jedoch beschleunigt zu haben – teilweise unterstützt durch Microsofts Umstellung auf die passwortlose Anmeldung.
Auch Apple hat versprochen, dass Passwörter der Vergangenheit angehören werden, und Passkeys werden für iOS 16 verfügbar sein. Microsoft stellt Azure Active Directory bereits passwortlose Funktionen bereit, und für Google ist die Multi-Faktor-Authentifizierung (MFA) inzwischen verpflichtend.
Während die großen Technologieunternehmen neue Authentifizierungslösungen schrittweise einführen, hat Dashlane – ein Passwortmanager, der von mehr als 20.000 Unternehmen und mehr als 15 Millionen Nutzern verwendet wird – vollständig umgestellt.
Dashlane hat im vergangenen Monat Passkeys in seinen plattformübergreifenden Passwortmanager integriert. Nutzer können nun in Dashlane Passkeys einrichten, um sich bei Websites und Apps anzumelden und herkömmliche Passwörter zu ersetzen.
Dashlane verfolgt einen anderen Ansatz bei Passkeys als Microsoft, Google und Apple. Deren Lösungen erfordern, dass Nutzer für die Anmeldung mit ihrem Smartphone hantieren, indem sie QR-Codes scannen oder Gesichts- beziehungsweise Fingerabdruckerkennung oder PIN-Codes verwenden. Dashlane zufolge ist der eigene Prozess einfacher, weil das Unternehmen Apps für die meisten Plattformen und Erweiterungen für die meisten Browser anbietet und Nutzer zur Authentifizierung ihres Zugriffs weniger Aktionen ausführen müssen.
Doch wie weit ist die Umsetzung der Technologie über diese Fälle hinaus fortgeschritten, die Passwörter ein für alle Mal abschaffen will?
Siehe die besten Passwortmanager
Die natürliche Evolution der Anmeldung
eSecurity Planet sprach mit Aarti Dhapte, Senior Research Analyst bei Market Research Future, um zu verstehen, wie groß der Passkey-Markt ist, welchen technischen Herausforderungen er gegenübersteht und welche sicherheitsrelevanten, rechtlichen und ethischen Auswirkungen die Branche betreffen.
Die Senior Research Analystin sagt, die Branche sehe Passkeys als Lösung für die zahlreichen Passwortprobleme und investiere massiv in sie. Der Passkey-Markt hatte 2021 ein Volumen von 158,7 Millionen US-Dollar und soll bis 2030 auf 3,4 Milliarden US-Dollar anwachsen – erstaunliche 2.000 % in weniger als einem Jahrzehnt.
Dhapte erklärt, dass Passkeys der natürliche nächste Schritt seien. Angetrieben von erheblichen Technologieinvestitionen, die für den Fortschritt der neuen Authentifizierungstechnologie verantwortlich sind, haben sich Branche und Nutzer an die neueste Technik gewöhnt: zunächst an die Zwei-Faktor-Authentifizierung (2FA), gefolgt von MFA und nun Passkeys.
Die Herausforderungen bei diesem globalen Wandel sind jedoch erheblich. Hardware und Software, Geräte und Websites müssen sich weiterentwickeln.
So ist der weitverbreitete Einsatz biometrischer Verfahren erst dank neuer Smartphone-Technologie möglich, die über die nötige Rechenleistung verfügt, um das erforderliche neuronale Netz auszuführen und die Algorithmen und Sensoren für die präzise Erkennung von Gesichtern und Fingerabdrücken zu betreiben. Ähnlich gehen Unternehmen wie Apple und Google nun weitere Schritte und ändern ihre Smartphone-Software und Online-Browser, um die Passkey-Technologie zu unterstützen.
Market Research Future rät Technologieunternehmen, die sich der Bewegung anschließen wollen, die natürlichen Evolutionsschritte zu durchlaufen und zunächst 2FA als Ausgangspunkt einzuführen.
„Danach sollte der Übergang zu MFA erfolgen“, sagte Dhapte. „So können sich Nutzer an die passwortlose Erfahrung gewöhnen, bevor die vollständige Umstellung erfolgt.“
Dhapte sagte, MFA mache Beschäftigte mit biometrischen Verfahren, Smartcards und anderen passwortlosen Technologien vertraut und senke so die Hürden bei künftigen vollständig passwortlosen Onboarding-Verfahren.
Siehe die besten Tools für Identitäts- und Zugriffsmanagement
Die Herausforderungen neuer Authentifizierungstechnologien
Während erwartet wird, dass die Nutzung von Passwörtern im Laufe der Zeit zurückgeht, sagen Branchenexperten und Anbieter, dass die Einführung neuer Technologien mühsam und zeitaufwendig sein wird.
„Die Meinungen über die Zukunft von Passwörtern gehen weiterhin auseinander, doch die Hoffnung auf eine passwortfreie Branche besteht fort“, sagt Dhapte.
Passkeys sind eine Form von Passwort; bis zu einem gewissen Grad verwenden Nutzer sie schon seit einiger Zeit
Eine der größten Herausforderungen besteht darin, dass Passwörter in älteren Systemen und veralteten Technologien weiter existieren werden. Eine weitere Herausforderung ist das Missverständnis der Nutzer über Passkeys, die häufig einen völlig reibungslosen Zugang erwarten. Passkeys sind jedoch eine Form von Passwort; bis zu einem gewissen Grad verwenden Nutzer sie schon seit einiger Zeit.
„Sie sind nichts, was die meisten Menschen nicht schon gesehen oder verwendet hätten. Viele Banken und Finanzanwendungen, darunter Mint, nutzen inzwischen Face ID oder Touch ID“, sagte Dhapte. „Aus Sicht der Verbraucher werden Passkeys genau so funktionieren: Nutzer verifizieren sich mit ihrem Gesicht oder Fingerabdruck.“
Die Technologie, die das Leben der Nutzer einfacher machen soll, bringt eine Reihe von Problemen mit sich, die ihre technischen Prozesse „hinter den Kulissen“ sehr komplex machen. Die Kompatibilität ist eines dieser Probleme. Im Gegensatz zu Passwörtern werden Passkeys nicht auf einer Website, sondern auf einem Gerät gespeichert. Wenn Nutzer jedoch mit einem Gerät einen Passkey erstellen, sollten sie auch dann auf die Website oder App zugreifen können, wenn sie ein anderes Gerät verwenden.
Google versichert ebenso wie Apple, die Kompatibilität gewährleisten zu können. Apple löst dieses Problem, indem Passkeys mit dem iCloud-Schlüsselbund synchronisiert und so auf allen Apple-Geräten verfügbar gemacht werden. Doch was, wenn Nutzer sich von einem Windows-Computer aus anmelden möchten? Den Zugriff auf alle Apps, Dienste und Websites an ein einziges Gerät oder eine Cloud zu knüpfen, bringt zweifellos Sicherheits- und Komfortprobleme mit sich.
Damit Passkeys zu einer allgemein verbreiteten Technologie werden, müssen außerdem die meisten Unternehmen und Organisationen sie übernehmen, und Nutzer müssen neue Geräte kaufen, die diese Technologie unterstützen. Ohne die nötigen Ressourcen und technischen Werkzeuge bleiben jedoch viele von dieser Bewegung ausgeschlossen.
„Websites werden bestehende Passwörter behalten. Das müssen sie auch, denn es wird Jahrzehnte dauern, bis jeder Nutzer über die geeignete Hard- und Software verfügt“, sagte Dhapte. Ihr zufolge werden Websites selbst dann nicht sämtliche passwortbasierten Authentifizierungen abschaffen, wenn sich einige Verbraucher ein neues Gerät leisten können, da sie sonst riskieren, andere Nutzer zu verlieren.
Die Kontowiederherstellung bei Passkeys ist ein weiteres zweischneidiges Schwert. Während eine Anwendung für Verbraucher die Auslagerung der Kontowiederherstellung an Apple, Google oder Microsoft mit großer Wahrscheinlichkeit begrüßen würde, gilt das für viele Administratoren möglicherweise nicht.
Sicherheitsrelevante, rechtliche und ethische Auswirkungen
Die Speicherung aller Passkeys auf einem einzigen Gerät kann zu einem Sicherheitsalbtraum werden, wenn ein Smartphone verloren geht, gestohlen oder physisch manipuliert wird. Selbst der Wechsel des Smartphones ist bei Verwendung von 2FA und MFA kein reibungsloser Prozess – insbesondere angesichts der durchschnittlichen Zahl an Diensten und Websites, auf die Nutzer jede Woche zugreifen.
Andererseits können Passkeys zwar viel dazu beitragen, E-Mail-Phishing zu verhindern, da biometrische Merkmale kein leichtes Ziel darstellen. Cyberkriminelle können jedoch auf andere Schadsoftware zurückgreifen, um ein Smartphone aus der Ferne zu hacken und zu entsperren. Es ist zu erwarten, dass diese Angriffe zunehmen werden. Biometrische Verfahren gelten als Lösung für dieses Sicherheitsproblem. Doch nicht alle sind vollständig überzeugt.
Vor einigen Jahren demonstrierte ein Sicherheitshacker – Jan Krissler, auch bekannt als Starbug – diese Schwachstelle, indem er ein hochauflösendes Foto des Daumens der deutschen Verteidigungsministerin Ursula von der Leyen verwendete und ihn „mit kommerzieller Software rekonstruierte, um die relative Einfachheit des Diebstahls von Fingerabdruckidentitäten zu demonstrieren“, sagte Dhapte.
Außerdem entdeckte Cisco Talos 2020, dass sich manche Geräte zur Fingerabdruckerfassung mithilfe von 3D-Druck ausnutzen lassen.
Biometrische Verfahren: Kontrollen und Kontroversen
Lebenderkennungen, die noch perfektioniert werden, wurden inzwischen eingesetzt, um Cyberkriminellen den Angriff auf biometrische Systeme zu erschweren. Auch die Speicherung, Verwaltung und Löschung biometrischer Daten wurde weiterentwickelt.
Die fortschrittlichsten biometrischen Systeme speichern heute niemals Videos, Fingerabdrücke oder andere Rohdaten. Sie wandeln die Daten in Vorlagen um, die selbst im Fall eines Datenlecks oder eines erfolgreichen Angriffs nicht zum Hacken eines Kontos verwendet werden können.
Der Einsatz biometrischer Verfahren bringt auch ethische und rechtliche Kosten mit sich. Das Missbrauchsrisiko ist erheblich. Identität, Staatsangehörigkeit und Überwachung sind gesellschaftliche Fragen.
„Biometrische Identität wirft umfassendere Fragen zu Staatsangehörigkeit, Überwachung und Menschenrechten auf“, sagte Dhapte.
Diese Gefahren werden durch das Fehlen von Standards, regulatorischen Schutzvorkehrungen, einer Zusammenarbeit innerhalb des Ökosystems und eines breiten öffentlichen Verständnisses verschärft.
„Unterschiedliche rechtliche Regelungen – beispielsweise für Kunden und Beschäftigte –, unterschiedliche Möglichkeiten des Rechtsschutzes und Präzedenzfälle tragen allesamt zu einem verwirrenden Compliance-Aufwand mit vielfältigen rechtlichen Schwierigkeiten bei“, fügte Dhapte hinzu.
Unternehmen, die biometrische Daten nicht schützen, müssen mit rechtlichen Konsequenzen, Rufschädigung, Geldstrafen und anderen Sanktionen rechnen. Die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) betrachtet biometrische Daten als sensible Daten, für deren Verarbeitung die informierte Einwilligung der betroffenen Person erforderlich ist. In den USA regeln mehrere Bundes- und Bundesstaatsgesetze die Datensicherheit und den Umgang mit biometrischen Daten.
2008 verabschiedete Illinois als erster US-Bundesstaat ein Gesetz zu biometrischen Daten: den Biometric Information Privacy Act (BIPA). Mehr als 25 Bundesstaaten folgten mit eigenen Gesetzen zu biometrischen Daten. Dazu gehören Texas, Washington, Kalifornien, New York, Louisiana, Oregon und Arkansas. Diese Gesetze regeln, wie Unternehmen biometrische Informationen erheben, aufbewahren, offenlegen und vernichten, sowie weitere damit verbundene Zwecke.
Klagen zu biometrischen Daten haben bereits den Obersten Gerichtshof der USA erreicht. In Cothron v. White Castle System, Inc klagten Beschäftigte das Unternehmen in einer Sammelklage an, weil es ihre Fingerabdrücke ohne vorherige Einwilligung gescannt hatte. Sollte der Oberste Gerichtshof gegen das Unternehmen entscheiden, wären die Strafen so hoch, dass sie den Bankrott des Unternehmens herbeiführen könnten. Mit der weiteren Verbreitung biometrischer Technologien ist mit einer Zunahme entsprechender Klagen zu rechnen.
Im heutigen technologischen Umfeld wird Kryptografie häufig als Methode der Informationssicherheit eingesetzt. Sie findet in alltäglichen Haushaltsgegenständen, im E-Commerce, in E-Mails und in anderen internetbasierten Diensten Anwendung. Die zunehmende Abhängigkeit von kryptografischen Technologien hat zahlreiche weltweite ethische und sicherheitsrelevante Fragen in den Fokus gerückt.
„Die Probleme der Kryptografie konzentrieren sich auf Fragen des geistigen Eigentums und des Urheberrechts und damit auf den Zugang zu Informationen. Tatsächlich bildet die Verschlüsselung die Grundlage für Urheberrecht und Zugriffsberechtigungen in digitalen Umgebungen“, fügte Dhapte hinzu.
Die Zukunft abwarten
Passwörter werden sich weiterentwickeln, und Passkeys stehen bereit, ihre Nachfolge anzutreten. Ob dieser Übergang allmählich oder abrupt erfolgen wird, ist noch nicht vollständig absehbar. Die passwortlose Zukunft ist mit ernsthaften Herausforderungen gepflastert, und vor ihrer globalen Umsetzung sollte eine ehrliche Debatte über ihre Realitäten und Prozesse geführt werden.
„Wir müssen abwarten, bis alle beteiligten Unternehmen ihre Passkey-Implementierungen bereitstellen, bevor wir die vollständigen Auswirkungen und möglichen Gegenmaßnahmen verstehen können“, sagte Dhapte.
Weiterlesen: Neue quantensichere Kryptografiestandards kommen – keinen Moment zu früh