Mit Kennwörtern verhält es sich eigentlich wie mit den guten alten Schlüsseln. Wenn man einen verliert oder wenn jemand eine unerlaubte Kopie davon anfertigt, hat man erst einmal ein Problem. Vor allem, wenn man es nicht direkt merkt. Das digitale Problem entsteht, da Kennwörter im täglichen Online-Alltag oft mehrfach verwendet werden (z. B. mit dem gleichen Benutzernamen wie der bekannten E-Mail-Adresse), meist nicht sehr komplex sind oder man vielleicht unbemerkt Opfer einer Phishing-Attacke geworden ist.
Im Darknet tauchen solche Datenpakete regelmäßig auf. Automatisierte Dienste prüfen anschließend, auf welchen Plattformen sie ebenfalls funktionieren – etwa bei Online-Shops, Webmailern oder Internetdiensten. Zugleich stellen einfache Kennwörter für moderne Hardware kaum noch eine Hürde dar, sie sind einfach zu hacken.
Warum der „Ändere-dein-Passwort-Tag“ überholt ist
Um die oben genannten Probleme zumindest teilweise zu minimieren, ist es mittlerweile ein Muss, seine Benutzername/Passwort-Kombination mit einem zusätzlichen zweiten Faktor zu versehen. Dieses Verfahren nennt man auch Zwei-Faktor-Authentifizierung (2FA).
Diese sogenannte Zwei-Faktor-Authentifizierung (2FA) funktioniert so, dass nach der Passworteingabe ein zusätzlicher Code abgefragt wird – per E-Mail, SMS oder aus einer Authenticator-App wie Microsoft Authenticator oder Google Authenticator.
Die App-Variante ist dabei die sicherste und bequemste Lösung. Nahezu alle großen Anbieter – etwa Banking-Portale, PayPal, Internetanbieter oder gängige Online-Dienste – unterstützen diese Methode.
Diese sogenannte Zwei-Faktor-Authentifizierung (2FA) funktioniert so, dass nach der Passwort-Eingabe ein zusätzlicher Code abgefragt wird – per E-Mail, SMS oder aus einer Authenticator-App wie Microsoft Authenticator oder Google Authenticator.
Die App-Variante ist dabei die sicherste und bequemste Lösung. Nahezu alle großen Anbieter – etwa Banking-Portale, PayPal, Internetanbieter oder gängige Online-Dienste – unterstützen diese Methode. Dies erhöht die Sicherheit erheblich, da der zweite Faktor direkt in der Authenticator-App auf dem persönlichen Smartphone hinterlegt ist.
Noch sicherer: Passkeys
Passkeys ermöglichen es, Zugänge ganz ohne klassisches Passwort zu schützen. Ein Passkey besteht aus einem kryptographischen Schlüsselpaar, das auf einem Gerät gespeichert wird – etwa auf Laptop, Smartphone oder einem USB-Sicherheitsschlüssel, wie den bekannten YubiKeys, die wir aktuell auch klinikweit ausrollen.
Um einen Passkey zu nutzen, wird zusätzlich ein persönlicher Faktor benötigt, beispielsweise Face ID, Fingerabdruck, PIN oder ein Muster.
Damit gilt:
Zugang erhält nur, wer sowohl den physischen Schlüssel besitzt, als auch den persönlichen Faktor nachweisen kann. Selbst wenn eine PIN einmal in falsche Hände gerät, schützt der notwendige physische Besitz des Schlüssels weiterhin zuverlässig – ähnlich wie bei einer EC-Karte.
Unser Vorschlag zum 1. Februar:
Eine Umbenennung des klassischen „Ändere-dein-Passwort-Tag“ in „Benutzt 2FA/Passkey-Tag“.
Weiterführende Informationen
Für alle, die sich noch detaillierter mit sicheren Anmeldeverfahren und moderner Authentisierung beschäftigen möchten, bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI) folgende vertiefende Inhalte an:
