Mehr IT-Sicherheit durch passwortlose Authentifizierung?

Bei der passwortlosen Authentifizierung kommen statt Passwörtern andere Methoden zum Einsatz, um berechtigten Nutzerinnen und Nutzer den Zugriff auf die Unternehmens-IT zu gewähren. Bleibt da die IT-Sicherheit in KMU nicht auf der Strecke?

Was ist eine passwortlose Authentifizierung?

Passwortlose Authentifizierung bezeichnet die Freigabe des Zugriffs auf Systeme und Anwendungen, ohne dass Benutzer das klassische Passwort eingeben müssen. Stattdessen kommen sicherere Methoden zum Einsatz. Ziel der passwortlosen Verfahren ist es, mehr IT-Sicherheit, weniger Aufwand und eine bessere Nutzererfahrung zu bieten. 

Kommen dennoch Passwörter zum Einsatz, bleibt ein sicheres Passwort weiterhin eine wichtige Grundlage der IT-Sicherheit, wie unser Artikel «8 Regeln für den sicheren Umgang mit Login-Daten» beschreibt.

Warum stellen Passwörter ein Risiko für die Unternehmens­sicherheit dar?

Passwörter sind seit jeher das bevorzugte Einfallstor für Cyberangriffe. Studien zeigen, dass über 80 % aller Datenschutz­verletzungen auf gestohlene oder schwache Passwörter zurückzuführen sind. Der reine Einsatz von Passwörtern führt zu einer ganzen Reihe von Schwachstellen, welche die Cybersicherheit in KMU gefährden:

Risiko 1: Wiederverwendung von Passwörtern

Wenn Mitarbeitende dasselbe Passwort für mehrere Dienste verwenden, reicht der Diebstahl eines einzigen Passworts aus, um unbefugten Zugriff auf eine Vielzahl weiterer Systeme zu erlangen. Dies liegt daran, dass viele Nutzerinnen und Nutzer dazu neigen, aus Bequemlichkeit oder Vergesslichkeit das identische Passwort für verschiedene Plattformen einzusetzen. Ein Angreifer, der ein Passwort erbeutet, kann somit potenziell auf E-Mail-Konten, soziale Netzwerke, Online-Banking und andere kritische Dienste zugreifen. 

Risiko 2: Schwache Passwörter

Passwörter wie «123456» oder «Passwort» gehören trotz aller Warnungen weiterhin zu den meistgenutzten. Diese simplen Kombinationen sind äusserst unsicher, da sie sich von Cyberkriminellen mit minimalem Aufwand knacken lassen. Angreifer nutzen automatisierte Tools, um solche gängigen Passwörter in Sekundenschnelle abzufragen und so mit technischer Unterstützung zu «erraten», was das Risiko eines unbefugten Zugriffs auf persönliche und geschäftliche Konten erheblich erhöht.

Die Verwendung solcher schwachen Passwörter öffnet Tür und Tor für potenzielle Sicherheitsverletzungen, da sie keinen ausreichenden Schutz gegen die Vielzahl an Bedrohungen bieten, die im digitalen Raum lauern. Daher ist es entscheidend, komplexere und einzigartige Passwörter zu wählen, um die Sicherheit der eigenen Daten zu gewährleisten.

Risiko 3: Phishing-Angriffe

Betrüger nutzen ausgeklügelte Techniken, um Nutzer mit täuschend echt aussehenden, gefälschten Webseiten in die Irre zu führen und so an ihre Zugangsdaten zu gelangen. Diese betrügerischen Webseiten sind oft so geschickt gestaltet, dass sie den Originalseiten täuschend ähnlich sehen, was es den Nutzern erschwert, den Betrug zu erkennen.

Moderne Phishing-E-Mails, die als Teil dieser Angriffe zum Einsatz kommen, sind so raffiniert, dass sie kaum von echten Mitteilungen zu unterscheiden sind. Sie verwenden oft offizielle Logos, korrekte Grammatik und personalisierte Anreden und Absender von real existierenden Mitarbeitenden. So gewinnen Sie das Vertrauen der Empfänger und verleiten sie dazu, sensible Informationen preiszugeben. Diese Mails können auch gefälschte Dringlichkeit erzeugen, indem sie behaupten, dass das Konto des Nutzers gesperrt wird oder dass sofortige Massnahmen erforderlich sind, um den Zugang zu sichern. Solche Taktiken erhöhen die Wahrscheinlichkeit, dass die Empfänger danach unüberlegt handeln und ihr Passwort eingeben. Klassische Passwörter lassen sich so leicht stehlen und missbrauchen.

Risiko 4: Brute-Force-Angriffe 

Bei Brute-Force-Angriffen setzen Cyberkriminelle automatisierte Software-Tools ein, um systematisch und in rasanter Geschwindigkeit Millionen von möglichen Passwort­kombinationen durchzuprobieren. Diese Programme nutzen leistungsstarke Algorithmen, um jede denkbare Kombination von Zeichen, Zahlen und Symbolen zu generieren und zu testen, bis sie das richtige Passwort finden.

Dabei greifen sie auf umfangreiche Datenbanken mit häufig verwendeten Passwörtern zurück und können durch die schiere Rechenleistung moderner Computer in kürzester Zeit selbst komplexe Passwörter knacken. Diese Methode stellt eine erhebliche Bedrohung für die IT-Sicherheit dar, da sie ohne menschliches Zutun und rund um die Uhr arbeitet, um Zugang zu sensiblen Informationen zu erlangen. 

Welche Methoden gibt es für die passwortlose Authentifizierung?

Die passwortlose Authentifizierung ersetzt das klassische Passwort durch alternative Identitätsnachweise:

• Biometrische Merkmale:
  Der Zugriff erfolgt über Fingerabdruck, Gesichtserkennung oder andere biometrische Merkmale, die individuell und schwer zu fälschen sind. Diese Technologien bieten erhöhte Sicherheit und eine komfortable Nutzererfahrung, da sie schnellen Zugang ohne Passwörter ermöglichen.

• Besitz eines Geräts:
  Die Authentifizierung erfolgt über ein vertrauenswürdiges Gerät, das als physischer Schlüssel dient, wie ein USB-Stick, eine Smartcard oder ein Smartphone. Diese Geräte werden oft mit Sicherheitsmassnahmen wie einer PIN oder biometrischen Daten kombiniert. Dadurch bleibt der Zugriff auch bei Verlust des Geräts sicher, da der Angreifer sowohl das Gerät als auch die Authentifizierungsfaktoren benötigen würde. Diese Methode bietet erhöhte Sicherheit und eine benutzerfreundliche Erfahrung.

• Magic Link:
  Nach Eingabe der E-Mail-Adresse erhält die Nutzerin oder der Nutzer einen einmaligen Link zugesandt, der es ermöglicht, sich in einem System zu authentifizieren. Dieser Link ist speziell für die jeweilige Anmeldung generiert und bietet eine zusätzliche Sicherheits­ebene, da er nur für einen begrenzten Zeitraum gültig ist und sich nur einmal verwenden lässt. Sobald die Nutzerin oder der Nutzer den Link anklickt, wird er oder sie direkt in das System eingeloggt, ohne dass ein Passwort erforderlich ist. Diese Methode minimiert das Risiko von Passwort­diebstahl und vereinfacht den Anmeldeprozess erheblich, da sich Nutzende keine komplexen Passwörter merken müssen. Die zeitliche Begrenzung des Links erhöht zudem die Sicherheit weiter, da ein unbefugter Zugriff durch Dritte nahezu ausgeschlossen ist.

• Single Sign-On (SSO):
  Nach einmaliger Authentifizierung erhalten Nutzer Zugriff auf mehrere Systeme, ohne sich erneut anmelden zu müssen. Dieses Verfahren, bekannt als Single Sign-On (SSO), ermöglicht es den Benutzern, sich mit nur einem Satz von Anmeldedaten in eine Vielzahl von Anwendungen und Diensten einzuloggen. Dadurch vereinfacht sich nicht nur der Anmeldeprozess erheblich, sondern auch die Sicherheit erhöht sich, da die Anzahl der benötigten Passwörter reduziert wird. Unternehmen profitieren von einer verbesserten Benutzererfahrung, da Mitarbeitende weniger Zeit mit dem Einloggen verbringen und sich stattdessen auf ihre Kernaufgaben konzentrieren können. Zudem verringert SSO die Wahrscheinlichkeit von vergessenen Passwörtern und reduziert so die Anzahl der Supportanfragen, was zu einer effizienteren IT-Verwaltung führt.
  
  

Welche Vorteile hat eine passwortlose Authentifizierung?

Unternehmen jeder Grösse, insbesondere KMU und Start-ups, können erheblich von der passwortlosen Authentifizierung profitieren. Sie verringert das Risiko menschlicher Fehler und reduzieren die Komplexität des Identitätsmanagements. Mit passwortloser Authentifizierung entfällt die Eingabe eines Passworts vollständig. Stattdessen erfolgt die Anmeldung beispielsweise über biometrische Merkmale oder durch die Bestätigung eines Anmeldeversuchs auf einem vertrauenswürdigen Gerät.

Beispiel einer Risikovermeidung dank passwortloser Authentifizierung: Führt ein Angreifer etwa eine Phishing-Cyberattacke mit einer gefälschte Webseite durch, so kann er ohne das tatsächliche Gerät oder den biometrischen Nachweis keinen Zugriff auf die Unternehmens-IT verlangen. Dadurch wird das Hauptziel der Phishing-Attacke – der Diebstahl von Zugangsdaten – wirkungsvoll verhindert.

Damit ergeben sich eine Reihe von Vorteilen:

1. Erhöhte Sicherheit: Angriffsflächen für Phishing und Passwortdiebstahl lassen sich erheblich reduzieren.

2. Bessere Benutzererfahrung: Die Mitarbeitenden profitieren von einem reibungslosen, schnellen Zugriff ohne Passwortstress.

3. Reduzierte IT-Kosten: Weniger vergessene Passwörter führen zu weniger Supportanfragen und geringeren Betriebskosten.

4. Compliance-Vereinfachung: Moderne Authentifizierungsverfahren erfüllen die Anforderungen von Datenschutz­verordnungen und Branchenstandards leichter.

5. Flexibles Arbeiten: Mitarbeitende greifen ortsunabhängig und sicher auf Unternehmensressourcen zu.

6. Höhere Produktivität: Schnellere Logins und weniger Unterbrechungen verbessern die Effizienz im Arbeitsalltag.
   
   

Welche Technologien ermöglichen passwortlose Authentifizierung?

• Windows Hello: Mit Windows Hello können sich Nutzerinnen und Nutzer sicher und schnell an Windows-Geräten anmelden, indem sie biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung verwenden. Diese Methode ersetzt das klassische Passwort vollständig und schützt vor Angriffen, die auf gestohlene oder schwache Passwörter abzielen. Die biometrischen Daten bleiben dabei sicher auf dem jeweiligen Gerät gespeichert und es erfolgt keine Übertragung an zentrale Server.
  
  
• Microsoft Authenticator App: Die Microsoft Authenticator App ermöglicht eine sichere Anmeldung ohne Passwort, indem Nutzer einen Anmeldeversuch auf ihrem Smartphone bestätigen. Zusätzlich bietet die App die Möglichkeit, Multifaktor-Authentifizierung zu integrieren, wodurch sich ein noch höheres Mass an Sicherheit erreichen lässt. Die App ist einfach zu implementieren und verbessert gleichzeitig das Nutzererlebnis, da Anmeldungen schnell und unkompliziert erfolgen.
  
  
• Microsoft Entra ID: Microsoft Entra ID eine umfassende Identitäts- und Zugriffs­management­lösung, die Unternehmen die Einführung passwortloser Anmeldungen erleichtert. Microsoft Entra ID unterstützt verschiedene Authentifi­zierungs­methoden. Darüber hinaus ermöglicht Microsoft Entra ID die zentrale Verwaltung aller Identitäten, vereinfacht die Zugriffssteuerung und sorgt für eine durchgängige Sicherheitsüberwachung sowohl in lokalen als auch in cloudbasierten Umgebungen. 

Welche Herausforderungen bringt die Einführung mit sich?

• Technische Umsetzung: Betroffene Systeme und Geräte müssen kompatibel sein oder müssen sich für die passwortlose Authentifizierung anpassen lassen können.
  
  
• Schulung der Mitarbeitenden: Nutzerinnen und Nutzer müssen die neuen Verfahren verstehen und akzeptieren.
  
  
• Backup-Strategien: Alternative Anmeldeoptionen für den Geräteverlustfall sind erforderlich.
  
  
• Akzeptanz: Eine erfolgreiche Einführung erfordert umfassende Kommunikation und Einbindung der Belegschaft.
  
  
  

Wie gestaltet sich eine typische Einführung in der Praxis?

Erfolgreiche Projekte zur Einführung der passwortlosen Authentifizierung in KMU folgen einem bewährten Schema:

• Bestandsaufnahme: Analyse der bestehenden IT-Systeme.

• Pilotgruppe: Testen der neuen Authentifizierungsmethoden mit einer ausgewählten Nutzergruppe.

• Schulungen: Intensive Vorbereitung aller Mitarbeitenden.

• Schrittweiser Rollout: Gezielte Einführung nach Abteilungen oder Teams (je nach Firmengrösse).

• Kontinuierliches Monitoring: Regelmässige Überwachung und Optimierung der Lösung.
  
  

Macht passwortlose Authentifizierung Unternehmen sicherer?

Die passwortlose Authentifizierung bietet eine Reihe von wichtigen Vorteilen und trägt entscheidend dazu bei, KMU zukunftssicher aufzustellen. Sie reduziert Sicherheitsrisiken erheblich, vereinfacht Prozesse und verbessert die Benutzerfreundlichkeit. Allerdings will die Einführung gut geplant sein: Technische Infrastruktur, Mitarbeiterschulungen und Backup-Konzepte bei Geräteverlust sind ausschlaggebend für den Erfolg.

Im Hinblick auf die steigenden Cyberbedrohungen und wachsenden Anforderungen an Datenschutz und Compliance ist die passwortlose Authentifizierung kein Nice-to-have, sondern ein Muss für moderne Unternehmen. KMU, die heute auf diese Technologie setzen, erhöhen nicht nur den Schutz sensibler Daten, sondern schaffen auch eine wichtige Grundlage für Wachstum und Innovation.