Fazit & Ausblick

Die Einigkeit der Fachleute hinsichtlich der Schwächen von Passwörtern ist bemerkenswert. Geht es aber um die Frage, welche Alternativen Unternehmen und Nutzer einsetzen sollen, so ist das Bild weniger klar: Zwar betonen alle von com! professional befragten Experten, dass es unbedingt einfach zu handhabende Methoden sein müssten, die gleichzeitig sicher zu sein hätten. In der Praxis sind diese allerdings nicht eben leicht zu finden und fast jeder Anbieter entsprechender Lösungen präferiert einen etwas anderen Ansatz.

Hier gilt eine anscheinend fundamentale Erkenntnis, die auf fast alle Bereiche der IT-Sicherheit zutrifft: Je höher die Sicherheit, desto grösser der Aufwand, der mit dem Einsatz dieser Massnahmen verbunden ist. Dabei spielt es keine Rolle, ob man Nutzer im Business- oder im Consumer-Umfeld fragt: Sichere Methoden wie die Zweifaktor-Authentifizierung werden häufig nicht verwendet, weil «das so umständlich ist». Für Unternehmen und deren CIOs und IT-Verantwortliche kann das nur heissen: Es müssen unternehmensweite Verfahren eingeführt werden, die alle Mitarbeiter leicht und schnell einsetzen können und deren administrativer Aufwand sich in Grenzen hält.

Hier bietet es sich an, physische Sicherheitsschlüssel oder Geräte, die entsprechende biometrische Verfahren unterstützen, zu wählen. Aber auch die verhaltensbasierte Biometrie ist nicht allein in der Lage, vollständige Sicherheit zu gewährleisten. Die Lösung liegt darin, traditionelle Authentifizierungsmethoden wie Passwörter mit Token, SMS-Verifikation, Smart Cards oder auch mit biome­trischer Authentifizierung zu kombinieren.

Wenn beispielsweise der Einsatz von FIDO2-Sicherheitsschlüsseln Teil der Firmenrichtlinien ist und konsequent durchgesetzt wird, dann kann ein Unternehmen mittelfristig auf den Einsatz der konventionellen Passwort-Benutzer­name-Methode verzichten. Single-Sign-on-Lösungen und der Einsatz von Passwort-Managern (für die Passwörter, die auch dann immer noch gebraucht werden) ergänzen diese Art des Vorgehens. Wir werden also sicher noch eine ganze Weile Passwörter und Benutzernamen einsetzen - wenn auch nur als eine Komponente einer Multi-Faktor-Authentifizierung.