Sichere Sticks Nie wieder Passwörter dank Security Keys

Passwörter nerven. Sie sind schlecht zu merken und leicht zu verlieren. Fido-Sticks wollen es besser machen. Sie versprechen Anmeldung auf Knopfdruck und hohe Sicherheit. Wie funktioniert das?

Passwörter sind immer noch der Standard für die Anmeldung bei den meisten Diensten und Programmen. Dabei sind ihre Nachteile immens: Leicht zu merkende Passwörter sind unsicher, sichere hingegen nur schwer im Kopf zu behalten.

Für jede Anwendung ist zudem ein eigenes Passwort nötig, andernfalls könnte bei Diebstahl des Passworts ein einzelner auf alle Anwendungen zugreifen. Passwort-Manager bieten bei der Organisation Hilfe. Noch einfacher geht es aber mit Fido-Sticks.

Fido-Sticks werden auch Security Keys genannt, was ihre Funktion bestens beschreibt, wie Ronald Eikenberg vom Fachmagazin «c‘t» erläutert: «Die Sticks funktionieren wie ein gewöhnlicher Schlüssel, sie öffnen das Schloss zu meinen Diensten.» Statt einen Dienst zu starten und ein Passwort einzugeben, wird also ein Fido-Stick eingesteckt und per Knopfdruck aktiviert. Fertig.

Wie funktioniert das?

Für die Nutzung eines Fido-Sticks muss dieser mit einem Dienst verbunden werden, etwa dem Chrome-Browser oder für den Zugriff auf Outlook oder Office. Dort wird die Kennung des Schlüssels beim Nutzerkonto hinterlegt.

Bei der Anmeldung schickt der Dienst – vereinfacht gesagt – ein mathematisches Rätsel basierend auf den Nutzerdaten und der Schlüsselkennung an den Stick, der die Lösung zurücksendet. Ist alles korrekt, erfolgt die Anmeldung – in Sekundenbruchteilen.

Auf Fido2 achten

Es gibt viele Hersteller von Fido-Sticks, z.B. den Vorreiter Yubico, SoloKeys, Googles mit ihrem Titan oder das Berliner Start-up Nitrokey. Welcher Stick persönlich in Frage kommt, hängt von den eigenen Bedürfnissen ab. «Wer ganz auf Passwörter verzichten will, muss darauf achten, einen Fido2-Stick zu kaufen», erläutert Eikenberg. Der ältere Fido-Standard sei nur als zweiter Faktor zusätzlich zum Passwort zu gebrauchen.

Unterschiede gibt es auch bei der Ausstattung und den Anschlüssen. Standard ist der herkömmliche USB-A-Anschluss, wie er bei den meisten Computern zu finden ist. Der neuere USB-C-Anschluss ist besonders für Smartphones und neuere Notebooks interessant.

Es geht aber auch drahtlos per Bluetooth oder NFC. Das ist besonders für iPhones wichtig. Einige Sticks verfügen für die Aktivierung auch über einen Fingerabdrucksensor. Der Abdruck wird jeweils nur auf dem Stick gespeichert, also nicht an andere Dienste verschickt.

Für wen ist Fido2 interessant?

Fido-Sticks sind für jeden interessant, der sich schnell und sicher einloggen will. Der einzige Nachteil besteht darin, den Stick zur Anmeldung immer dabei haben zu müssen. Das bietet aber auch einen Vorteil: Fremde Geräte lassen sich nutzen, ohne dass möglicherweise die eigenen Anmeldedaten dort gespeichert werden.

Wer in seiner beruflichen Tätigkeit also häufig an verschiedenen Computern arbeitet, lebt mit einem Fido2-Stick sicherer und bequemer. Die Liste der unterstützten Dienste wächst stetig und deckt dank Grössen wie Google, Microsoft und Linux eine grosse Bandbreite an IT-Anwendungen ab. Die Hersteller geben auf ihren Websites an, welche Dienste unterstützt werden.

Ein Modell für die Zukunft

IT-Sicherheitsforscher David Bothe vom Institut für Internet-Sicherheit würde sich mehr FIDO-Sticks im Alltag wünschen: «Die Sticks sind wesentlich sicherer als der Gebrauch von Passwörtern und auch geläufigen Systemen wie etwa der mTAN überlegen.» Diese kann abgefangen werden. «Beim Fido-Stick verlässt der private Schlüssel nie den Stick.» Zusätzlich ist der Stick bei den meisten Herstellern noch durch eine PIN gesichert.

Das ist auch die Schwachstelle bei Fido: Der Verlust des Sticks ist nicht nur ein Sicherheitsrisiko, sondern sperrt den Nutzer von den eigenen Diensten aus. «Wenn ich meinen Wohnungsschlüssel verliere, komme ich nicht mehr in die Wohnung, so ist es auch bei Fido-Sticks.»

Daher sollten sich Nutzer gut absichern. Google verkauft seine Sticks etwa im Doppelpack: Einen für den täglichen Gebrauch, einen zur Sicherheit. Je nach Hersteller gibt es auch individuelle Back-up-Codes. Bothe rät aber dazu, bei Verlust vorsichtshalber alle damit verbundenen Dienste sofort zu sperren.

Konten mit 2FA absichern

Weitere 13 Bilder ansehen

Konten mit Zwei-Faktor-Anmeldung absichern

Mit der Zwei-Faktor-Authentisierung (2FA) lassen sich die eigenen Accounts bei zahlreichen Internet-Diensten zuverlässig vor Eindringlingen schützen.

Bild: iStock

Google bietet zur Sicherung von Konten die «Aufforderung von Google» an. Aktivieren lässt sie sich in den Google-Konto-Einstellungen unter «Sicherheit» --> «Bestätigung in zwei Schritten».

Bild: dj

Nun muss ein Smartphone ausgewählt werden, dass für die Aufforderung verwendet wird.

Bild: dj

Bei jeder neuen Anmeldung in einem Google-Dienst bekommt man nun auf diesen Smartphone etwa in der Gmail-App ein Aufforderung, diese Anmeldung zu bestätigen.

Bild: dj

Google bietet daneben noch eine Reihe weiterer 2FA-Methoden an, die anhand anderer Dienste erklärt werden.

Bild: dj

Facebook etwa bietet bei 2FA ebenfalls den Google Authenticator an. Einrichten lässt sich das in den Einstellungen unter «Sicherheit und Login» --> «Verwende die zweifstufige Authentifizierung».

Bild: dj

Nun muss man mit dem Google Authenticator einen QR-Code einscannen.

Bild: dj

Die App erzeugt nun ständig neue Codes.

Bild: dj

Die man dann zum Anmelden bei Facebook zukünftig eingeben muss.

Bild: dj

Auch Instagram bietet 2FA an. Diese findet sich in den Einstellungen unter «Privatsphäre und Sicherheit» --> «Zweistufige Authentifizierung».

Bild: dj

Bei Instagram kann man etwa SMS nutzen. Einfach die Telefonnummer eingeben und die Einrichtung abschliessen.

Bild: dj

Wichtig bei allen 2FA-Methoden sind die Wiederherstellungscodes. Diese sollte man sich notieren, um auch bei Verlust eines Geräts oder einer Telefonnummer noch auf einen Dienst zugreifen zu können.

Bild: dj

Kurz noch zu Apple. Die 2FA wird bei Einrichtung eines neues iOS-Gerät eingeschaltet und lässt sich in der Regel auch nicht wieder abschalten. Loggt man sich auf einem neuen Gerät in den Apple-Account ein, kommt auf einen bestehenden Gerät ein Popup mit der Bitte um Bestätigung. Die Ortslokalisierung ist hier allerdings nicht immer ganz zuverlässig.

Bild: dj