Wie wir Passwörter loswerden – Noch Heute

Passwörter bieten als zentraler Authentifizierungsmechanismus nur begrenzte Sicherheit und sind zugleich ein häufiger Ausgangspunkt für Datensicherheitsverletzungen. Angreifer gelangen über etablierte Methoden an Zugangsdaten: Brute-Force-Angriffe mit automatisierten Passwortlisten, Social Engineering (insbesondere Phishing) sowie Kontoübernahmen über kompromittierte E-Mail-Postfächer und anschließende Passwort-Zurücksetzungen. Diese Angriffe werden durch menschliche Schwächen begünstigt, etwa unveränderte Standardpasswörter, Wiederverwendung von Passwörtern über private und geschäftliche Konten hinweg und leicht zu erratende Muster. Zusätzlich erhöhen Keylogger und Spyware das Risiko, während Machine-Learning-Ansätze wie PassGAN aus Leak-Daten plausible Passwörter generieren und Kontoübernahmen weiter vereinfachen.

Da gestohlene Passwörter schwer zu stoppen und noch schwerer zuverlässig zu erkennen sind, hat die Verhinderung ihrer Entwendung höchste Priorität; User Behavior Analytics kann dabei begrenzt unterstützen. Zur Risikoreduktion empfiehlt sich eine Kombination aus Passwortverwaltung (einzigartige, komplexe, regelmäßig rotierte Passwörter), Single Sign-On (zentraler Zugang) und Multifaktor-Authentifizierung, mindestens für Passwortmanager und SSO. Für höhere Schutzbedarfe kommen adaptive, risikobasierte Verfahren sowie kontinuierliche Authentifizierung hinzu, die Sitzungen fortlaufend absichern. Windows Hello und mobile biometrische Verfahren reduzieren zwar Passwortnutzung, beseitigen sie jedoch nicht vollständig; auch Biometrie bleibt wegen Fehlerraten und Spoofing-Risiken herausfordernd, wobei Iris-Scans derzeit am besten abschneiden.

Eine echte passwortfreie Zukunft erfordert passwortfreie Anmeldung und Recovery sowie breite Standardunterstützung (FIDO2/WebAuthn, OAuth) in Produkten und Browsern, bessere Interoperabilität und Nutzererfahrung sowie eine Verlagerung zu Back-End-Risikokontrollen. Strategisch wird ein dienstleistungsbasiertes IAM über APIs („Identity Fabric“) und dezentralisierte Identitäten als Vorbereitung empfohlen.

• Brute-Force-Angriffe testen automatisiert tausende Passwortkandidaten, basierend auf Wörterbüchern, Standardpasswörtern, häufigen Passwörtern und Listen geknackter Passwörter.
• Social-Engineering-Angriffe stehlen Passwörter häufig über Phishing-Seiten, die eingegebene Zugangsdaten abgreifen.
• Passwort-Zurücksetzungen können missbraucht werden, indem E-Mail-Konten kompromittiert und anschließend Reset-E-Mails zur Übernahme genutzt werden.
• Wiederverwendung von Passwörtern über private und Arbeitskonten hinweg erhöht das Risiko erfolgreicher Kontoübernahmen.
• Keylogger-Malware und Spyware können Anmeldeinformationen ausspähen.
• PassGAN nutzt Generative Adversarial Networks (GANs), um aus Passwort-Leaks Verteilungen zu lernen und daraus hochwertige Passwortvorschläge zu generieren.
• User Behavior Analytics (UBA) kann einen gewissen Schutz bzw. Hinweise auf missbräuchliche Nutzung liefern.
• Windows Hello fordert Nutzer gelegentlich zur Eingabe einer PIN auf, obwohl es Passwörter teilweise ersetzt.
• Microsoft ordnet die höhere Sicherheit der Windows-Hello-PIN der Speicherung im Trusted Platform Module (TPM) zu.
• Iris-Scans schneiden derzeit am besten ab hinsichtlich Falschakzeptanz- und Falschrückweisungsraten, Einzigartigkeit, Beständigkeit und operativer Effizienz.

• „Passwörter lassen sich leicht erraten, durch Brute Forcing erlangen oder z.B. durch Social Engineering stehlen.“
• „Das Verhindern der Entwendung von Passwörtern sollte für Organisationen höchste Priorität sein“
• „Zumindest sollten Organisationen ein Passwortverwaltungssystem implementieren“
• „Für grundlegende Sicherheit können Organisationen Zwei-Faktor-Authentifizierung nutzen“
• „Das Anpassen der Anzahl an Authentifizierungsfaktoren je nach Kontext nennt sich risk adaptive oder dynamische Authentifizierung.“
• „Ein weiterer Ansatz für Authentifizierung ohne Passwörter ist die kontinuierliche Authentifizierung.“
• „Diese Maßnahmen reduzieren zwar die Risiken, die Passwörter mit sich bringen, sie schaffen allerdings Passwörter und die damit verbundenen Risiken nicht gänzlich ab.“
• „Biometrische Erkennungsverfahren wurden schon lange als potentieller Ablöser von Passwörtern angekündigt, aber die Technologie dahinter ist noch immer unausgereift und fehleranfällig.“
• „Kurzfristig bedeutet der Verzicht auf Passwörter, dass die Herausforderung der Anmeldung und der Zurücksetzung des Kontos oder der Wiederherstellung der Anmeldedaten ohne Verwendung eines Passworts gelöst werden muss“
• „Zur Vorbereitung auf eine passwortfreie Zukunft sollten Organisationen außerdem in Betracht ziehen, auf einen dienstleistungsbasierten Ansatz zu Identity and Access Management (IAM) umzustellen.“