FIDO2 / WebAuthn (Passwortlose Sicherheit)

FIDO2 ist der von der FIDO Alliance und dem World Wide Web Consortium (W3C) entwickelte offene Standard für passwortlose Anmeldung und starke Zwei-Faktor-Authentifizierung. Er kombiniert die direkt in allen modernen Browsern und Betriebssystemen integrierte Schnittstelle WebAuthn mit dem Protokoll CTAP2, über das sich externe Hardware-Sicherheitsschlüssel (wie Nitrokey 3 oder YubiKey) per USB oder NFC ansprechen lassen.

Im Gegensatz zu Passwörtern oder sechsstelligen Zahlencodes aus Smartphone-Apps wird bei FIDO2 kein Geheimnis über das Netzwerk übertragen. Stattdessen erzeugt der Sicherheitsschlüssel für jeden Dienst ein eigenes kryptografisches Schlüsselpaar und signiert beim Login lediglich eine an die echte Web-Adresse (Domain) gebundene Anfrage.

Warum FIDO2 gegen moderne Phishing-Angriffe unverzichtbar geworden ist

Klassische Zwei-Faktor-Verfahren per SMS oder Authenticator-App werden heute durch vorgeschaltete Phishing-Proxys (Adversary-in-the-Middle-Angriffe) oft in Echtzeit mitgeschnitten: Gibt ein Mitarbeiter seinen Zahlencode auf einer täuschend echt nachgebauten Anmeldeseite ein, leitet der Angreifer den Code im selben Moment an den echten Server weiter und übernimmt die Sitzung.

Mit FIDO2 läuft dieser Angriff ins Leere: Der Hardware-Sicherheitsschlüssel prüft automatisch die exakte Domain im Browser. Stimmt die Adresse auf der gefälschten Phishing-Seite auch nur in einem Buchstaben nicht mit der echten Unternehmens-Domain überein, gibt der Token keine Signatur frei.

Die häufigste Sicherheitslücke beim Rollout: Offene unsichere Ausweichmethoden

In vielen Unternehmen werden zwar FIDO2-Hardware-Schlüssel an Administratoren und Führungskräfte ausgegeben, im Anmeldesystem bleiben jedoch weiterhin SMS-Codes oder einfache App-Bestätigungen als „Alternative bei vergessenem Stick“ freigeschaltet.

Ein Angreifer klickt in diesem Fall im Anmeldefenster einfach auf „Andere Anmeldemethode wählen“ und umgeht den starken FIDO2-Schutz über den schwächsten verbliebenen Faktor. Ebenso wichtig ist die Ausgabe eines zweiten Ersatz-Schlüssels, damit bei Verlust des primären Sticks kein unsicherer Notfall-Reset nötig wird.

3 Schritte für die Einführung im IT-Betrieb

• Prioritärer Start bei Administratoren, Geschäftsführung und Buchhaltung: Statten Sie zuerst alle Konten mit weitreichenden System- oder Zahlungsfreigaberechten mit je zwei FIDO2-Hardware-Schlüsseln (Hauptschlüssel am Schlüsselbund, Ersatzschlüssel im Tresor) aus.
• Schwache Ausweichfaktoren für geschützte Konten abschalten: Konfigurieren Sie Ihren Identity Provider (z. B. Keycloak) so, dass für privilegierte Konten ausschließlich FIDO2/WebAuthn als zweiter Faktor akzeptiert wird.
• Zentrale Verwaltung über das Unternehmens-IAM bündeln: Registrieren Sie die Sicherheitsschlüssel zentral an Ihrem Single-Sign-On-Portal, damit Mitarbeitende denselben Schlüssel nahtlos für alle internen und externen Anwendungen nutzen können.