Security-Keys machen Passwörter überflüssig

Normalerweise ist für jede Anwendung ein eigenes Passwort nötig, andernfalls könnte bei Diebstahl des Passworts ein einzelner auf alle Anwendungen zugreifen. Passwort-Manager bieten bei der Organisation Hilfe. Noch einfacher geht es aber mit Fido-Sticks.

Fido-Sticks werden auch Security Keys genannt, was ihre Funktion bestens beschreibt, wie Ronald Eikenberg vom Fachmagazin "c't" erläutert: "Die Sticks funktionieren wie ein gewöhnlicher Schlüssel, sie öffnen das Schloss zu meinen Diensten." Statt einen Dienst zu starten und ein Passwort einzugeben, wird also ein Fido-Stick eingesteckt und per Knopfdruck aktiviert. Fertig.

Wie funktionieren Security Keys?

Für die Nutzung eines Fido-Sticks muss dieser mit einem Dienst verbunden werden, etwa dem Chrome-Browser oder für den Zugriff auf Outlook oder Office. Dort wird die Kennung des Schlüssels beim Nutzerkonto hinterlegt.

Bei der Anmeldung schickt der Dienst – vereinfacht gesagt – ein mathematisches Rätsel basierend auf den Nutzerdaten und der Schlüsselkennung an den Stick, der die Lösung zurücksendet. Ist alles korrekt, erfolgt die Anmeldung – in Sekundenbruchteilen.

Beim Kauf auf Fido2 achten

Es gibt viele Hersteller von Fido-Sticks, z. B. den Vorreiter Yubico, SoloKeys, Googles mit ihrem Titan oder das Berliner Start-up Nitrokey. Welcher Stick persönlich in Frage kommt, hängt von den eigenen Bedürfnissen ab. "Wer ganz auf Passwörter verzichten will, muss darauf achten, einen Fido2-Stick zu kaufen", erläutert Eikenberg. Der ältere Fido-Standard sei nur als zweiter Faktor zusätzlich zum Passwort zu gebrauchen.

Unterschiede gibt es auch bei der Ausstattung und den Anschlüssen. Standard ist der herkömmliche USB-A-Anschluss, wie er bei den meisten Computern zu finden ist. Der neuere USB-C-Anschluss ist besonders für Smartphones und neuere Notebooks interessant.

Es geht aber auch drahtlos per Bluetooth oder NFC. Das ist besonders für iPhones wichtig. Einige Sticks verfügen für die Aktivierung auch über einen Fingerabdrucksensor. Der Abdruck wird jeweils nur auf dem Stick gespeichert, also nicht an andere Dienste verschickt.

Für wen ist Fido2 interessant?

Fido-Sticks sind für jeden interessant, der sich schnell und sicher einloggen will. Der einzige Nachteil besteht darin, den Stick zur Anmeldung immer dabei haben zu müssen. Das bietet aber auch einen Vorteil: Fremde Geräte lassen sich nutzen, ohne dass möglicherweise die eigenen Anmeldedaten dort gespeichert werden. Wer in seiner beruflichen Tätigkeit also häufig an verschiedenen Computern arbeitet, lebt mit einem Fido2-Stick sicherer und bequemer. Die Liste der unterstützten Dienste wächst stetig und deckt dank Größen wie Google, Microsoft und Linux eine große Bandbreite an IT-Anwendungen ab. Die Hersteller geben auf ihren Websites an, welche Dienste unterstützt werden.

Ein Modell für die Zukunft

IT-Sicherheitsforscher David Bothe vom Institut für Internet-Sicherheit würde sich mehr FIDO-Sticks im Alltag wünschen: "Die Sticks sind wesentlich sicherer als der Gebrauch von Passwörtern und auch geläufigen Systemen wie etwa der mTAN überlegen." Diese kann abgefangen werden. "Beim Fido-Stick verlässt der private Schlüssel nie den Stick." Zusätzlich ist der Stick bei den meisten Herstellern noch durch eine PIN gesichert.

Einziges Sicherheitsrisiko: Verlust des Sticks

Das ist auch die Schwachstelle bei Fido: Der Verlust des Sticks ist nicht nur ein Sicherheitsrisiko, sondern sperrt den Nutzer von den eigenen Diensten aus. "Wenn ich meinen Wohnungsschlüssel verliere, komme ich nicht mehr in die Wohnung, so ist es auch bei Fido-Sticks."

Daher sollten sich Nutzer gut absichern. Google verkauft seine Sticks etwa im Doppelpack: Einen für den täglichen Gebrauch, einen zur Sicherheit. Je nach Hersteller gibt es auch individuelle Back-up-Codes. Bothe rät aber dazu, bei Verlust vorsichtshalber alle damit verbundenen Dienste sofort zu sperren.