Ein gutes Passwort muss lang sein. Es besteht aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen – und ist für viele von uns eher schwer zu merken. Das führt dazu, dass viele Menschen eher unvorsichtig sind, wenn es um ihre Passwörter und die Absicherung ihrer Online-Konten geht. Alexander Koch von Yubico spricht im DiFü-Interview darüber, wie wir in Zukunft die Passwörter hinter uns lassen können.

difue.de: Herr Koch, eine Frage an den Fachmann: Wie sieht Ihre Passwort-Routine aus?

Alexander Koch: Das hat sich in den letzten Jahren bei mir geändert. Früher hatte ich einen Pool von Passwörtern, die ich der Reihe nach durchgewechselt und immer komplexer gemacht habe, weil auch die Anforderungen an die Passwortsicherheit immer höher wurden. Seit drei oder vier Jahren nutze ich einen Hardware-Token als zweiten Faktor. Das garantiert die größtmögliche Sicherheit für meine privaten Konten und meine Firmen-Accounts.

Sie haben es angesprochen: Die Anforderungen an Passwörter werden immer höher. Was denken Sie, warum halten sich viele Menschen nicht an die Grundregeln für sichere Passwörter, obwohl die meisten sie wahrscheinlich kennen?

Ich glaube schon, dass es gerade in den letzten Jahren deutlich mehr Menschen bewusst geworden ist, wie wichtig ein sicheres Passwort ist. Trotzdem überwiegen im Alltag oft Bequemlichkeit und Schnelligkeit. Ich glaube, es ist gar nicht so schwierig, sich ein schweres Passwort auszudenken und sich das zu merken. Die Komplexität kommt rein, weil wir zu viele Accounts im Beruf und im privaten Umfeld haben. Da bekommen wir dann irgendwann Probleme.

Wie würden Sie Menschen davon überzeugen, auf jeden Fall die Zwei-Faktor-Authentisierung anzuwenden, auch wenn es vielleicht erst einmal umständlich wirkt?

Wir verschließen ja auch unsere Wohnung, wenn wir das Haus verlassen oder unser Auto, wenn wir Einkaufen gehen. Das sind Dinge, die uns im Alltag ganz normal und gewöhnlich von der Hand gehen. In der virtuellen Welt ist das letztlich ähnlich. Ich muss dafür sorgen, dass meine Daten im Netz abgesichert sind. Das ist so wie bei einem Einbruch. Der Einbrecher geht immer dahin, wo er es am leichtesten hat. Und je schwieriger ich es dem potenziellen Datendieb mache, desto geringer wird die Wahrscheinlichkeit, dass ich Opfer eines Datenmissbrauchs werde.

Viele Menschen, die ein Smartphone haben, nutzen einen biometrischen zweiten Faktor, zum Beispiel den Fingerabdruck-Scanner oder die Gesichtserkennung. Sind diese Methoden so sicher, wie wir denken?

Grundsätzlich gilt: Jeder zweite Faktor ist besser als kein zweiter Faktor. Über die Sicherheit kann man sich streiten. Sicher gibt es Möglichkeiten, hier zu manipulieren. Nichtsdestotrotz sind gerade biometrische Faktoren heute so weit entwickelt, dass sie schon eine sehr, sehr hohe Sicherheit bieten. Möchte man hier sicherheitstechnisch noch etwas draufsetzen, empfiehlt sich die Verwendung eines dedizierten Sicherheitstokens wie zum Beispiel dem Yubikey oder auch andere, die hier auf dem Markt angeboten werden. Das ist deutlich sicherer als eine Handy-App oder andere Dinge. Und die Anwendbarkeit ist sehr einfach.

Worum handelt es sich bei diesen Sicherheitstokens genau? Die sehen ja ein bisschen aus wie ein USB-Stick, sind aber etwas anderes.

Als der Yubikey 2007 auf den Markt kam, wurden wir auch gefragt: Was ist das für ein komischer USB-Speicher? Aber da ist gar kein Speicher drauf. Es handelt sich um einen Krypto-Chip, auf dem verschiedene verschlüsselte persönliche Keys gespeichert werden können. Die ermöglichen dann den Zugang zu verschiedenen Applikationen und Anwendungen.

Vorausgesetzt, der Anbieter, bei dem ich mich anmelde, unterstützt diese Authentisierungsmethode auch.

Wir haben eine sehr hohe Verbreitung. Die meisten Google-Produkte oder auch Microsoft unterstützen den Key nativ. Das heißt, hier ist keine weitere Software als sogenannte Middleware erforderlich. Man steckt den Yubikey in den USB-Port des Rechners, registriert ihn und kann sich danach entweder über diese USB-Schnittstelle oder auch kontaktlos über NFC an beliebig vielen Geräten authentisieren.

Dann muss man aber immer seinen Stick dabei haben, um sich anzumelden. Das ist vielen Nutzer:innen sicher immer noch einen Schritt zu kompliziert. Glauben Sie, dass diese Zwei-Faktor-Sticks eine breite Masse ansprechen können? Oder bleibt das eher ein Nischenprodukt?

Wir haben neben Großunternehmen, wo wir über Yubikeys in Größenordnungen von über 200.000 Stück einsetzen, auch viele private Nutzer weltweit, die den Yubikey einsetzen. Man kann jeden Key an seinen Schlüsselbund machen, was wir auch empfehlen. Dann wird er nicht vergessen. Wenn ich das Haus verlasse und meine Wohnung abschließe, habe ich den Yubikey dabei und kann mich an den meisten Geräten anmelden. Mit den meisten Smartphones und Apple-Geräten geht das kontaktlos über NFC. Ich halte den Yubikey kurz hinten an die Antenne des jeweiligen Gerätes und bin authentifiziert. Also gerade der dieser Komfort-Vorteil ist ein wesentliches Plus eines solchen Security-Keys.

Und wenn mir jemand im Worst Case meinen Laptop und meinen Schlüsselbund mit dem Yubikey klaut, habe ich dann dem Dieb oder der Diebin die Tür zu all meinen Online-Konten geöffnet?

Das ist sicherlich ungewöhnlich, dass beides gleichzeitig gestohlen wird. Weil ich natürlich darauf achten sollte, meinen Schlüsselbund eher in der Tasche und auch getrennt von meinem Laptop aufzubewahren. Sollte das trotzdem passieren, sind die Zugänge immer noch über eine PIN gesichert. Das heißt, hier gibt es noch mal eine zusätzliche Sicherheitssperre, damit nicht mit dem Besitz des Keys auch automatisch der Zugang zu den Daten erfolgt.

Und meine Zugangsdaten zu den einzelnen Diensten speichere ich dann auf dem Stick? Oder wie erkennen die Dienste, dass ich ich bin?

Das geht über den gespeicherten privaten Key auf dem Yubikey. Hier kann eine Vielzahl von privaten Keys für die verschiedensten Anwendungen gespeichert werden. Dieser persönliche Key verlässt den Stick nicht. Er ist also sehr sicher aufbewahrt und garantiert, dass eine ganz klare personenbezogene Authentisierung möglich ist.

Was ist, wenn ich so einen Stick nicht habe und auch nicht haben will? Gibt es auch andere Lösungen für eine passwortfreie Zukunft, an denen die Fido-Alliance arbeitet?

Die Fido-Alliance ist generell Richtung „passwordless“ aufgestellt. Da wird aber immer ein Hardware-Key empfohlen und man sieht auch, dass in den letzten ein, zwei Jahren sehr viele Fido-Keys auf den Markt kommen. Das ist also schon ganz klar ein starker Trend, den man hier beobachten kann.

Das heißt in Ihren Worten, wenn ich für mich und meine Online-Konten eine passwortfreie Zukunft anstrebe, komme ich um so einen Key nicht herum.

Zumindest wenn ich sehr hohe Sicherheitsanforderungen habe.

Das ist ja gerade das Problem, dass viele Menschen nicht so hohe Anforderungen an ihre eigene Sicherheit haben. Gibt es denn überhaupt Wege in eine sichere passwortfreie Zukunft, die bequemer sind und nicht so einen Hardware-Key erfordern?

Die großen Hersteller haben ja auch eigene Authentisierungs-Methoden, die dann eben an das jeweilige Gerät gebunden sind und die sicherlich auch ein passwortloses Authentisieren ermöglichen. Ein dedizierter Hardware-Token bietet aber eine höhere Sicherheitsstufe, weil er einfach dafür gebaut ist, eine sichere Authentisierung durchzuführen.

Wenn ich meine gesamten Online-Anmeldeinformationen auf einem Key speichere oder bei Anbieter hinterlege, baue ich da nicht ein zusätzliches Risiko ein? Was ist, wenn ich den Key verliere oder die Server des Anbieters kompromittiert werden?

Wenn Sie Ihren Key verlieren, können Sie natürlich sofort einen neuen Key registrieren und den alten Key damit ungültig machen oder dem Key die Rechte entziehen, wenn er mal verloren geht. Das merke ich ja meistens recht schnell. Gerade im Unternehmensumfeld empfehlen wir zudem, einen Backup-Key zu haben.

Große Anbieter wie Apple, Microsoft oder Google arbeiten im Rahmen der Fideo-Alliance auch an einer Cloud-Lösung, bei der Nutzer:innen ihre Anmeldeinformationen in der Cloud beim jeweiligen Anbieter hinterlegen können und dann darüber bequem von allen möglichen Geräten aus auf ihre Dienste zugreifen können. Kritiker:innen sagen, dass man den Unternehmen damit noch mehr Nutzungsdaten zur Verfügung stellt, sich noch „gläserner“ macht als ohnehin schon.

Bei den Cloud-Lösungen kann ich schwer abschätzen, was die großen Hersteller mit den Daten machen. Grundsätzlich würde ich aber sagen – und da schließt sich auch der Kreis: Jeder zweite Faktor ist besser als gar kein zweiter Faktor.

Wie sieht aus Ihrer Sicht unsere Authentisierungs-Zukunft aus? Wird sie passwortlos sein?

Ich bin fest davon überzeugt, dass wir uns in Zukunft wirklich passwortlos und sehr komfortabel und sicher zu allen möglichen Applikationen und Webanwendungen anmelden können. Der Yubikey ist bereits 2019 auf der Europäischen Identity Konferenz für das Thema „Passwordless“ als Innovationstreiber ausgezeichnet worden. Ich denke, dass sich das nicht nur in Unternehmen, sondern auch für Privatanwender in den nächsten, zwei bis fünf Jahren weiter durchsetzen wird.

Jedes Jahr landen Passwörter wie „12345678“ auf den ersten Plätzen im Ranking der dümmsten Passwörter. Meinen Sie, dass das dann irgendwann endlich der Vergangenheit angehören wird?

Ich hoffe es schon. Wobei ich glaube, dass es sicherlich immer noch Nutzer geben wird, die hierauf vertrauen, dass ihre Daten vielleicht nicht interessant sind oder denen es vielleicht ein Stück weit egal ist, ob ihre Daten kompromittiert werden. Das wird es sicherlich immer geben. Das „123“ wird wahrscheinlich nicht verschwinden, aber wenn man das „123“ dann als PIN für einen zweiten Faktor nimmt, hat man schon einen erheblichen Sicherheitsgewinn.