WebAuthn
WebAuthn ist ein technischer Standard, mit dem man sich auf Webseiten ohne Passwort anmelden kann – etwa per Fingerabdruck, Gesichtsscan oder Sicherheitsstick. Das Gerät beweist der Webseite die Identität, ohne dass ein Geheimnis übertragen wird, das jemand stehlen könnte.
WebAuthn ist eine gemeinsame Regel dafür, wie sich ein Mensch bei einer Webseite anmeldet, ohne ein Passwort einzutippen. Statt eines Wortes, das man sich merken muss, benutzt man das eigene Gerät als Nachweis: Handy, Laptop oder einen kleinen USB-Stick für genau diesen Zweck. Man entsperrt das Gerät wie gewohnt, etwa mit Fingerabdruck, Gesicht oder einer kurzen Geräte-PIN. Das Gerät bestätigt der Webseite daraufhin, dass der richtige Besitzer davorsitzt. Der Fingerabdruck selbst verlässt das Gerät dabei nie. Entwickelt wurde die Regel von zwei Organisationen, die im Internet Standards festlegen: dem W3C und der FIDO-Allianz.
Warum Passwörter das schwächste Glied sind
Ein Passwort hat einen eingebauten Konstruktionsfehler: Es ist ein Geheimnis, das man weitergeben muss, um es zu benutzen. Jedes Mal beim Anmelden schickt man es an einen Server. Dort wird es gespeichert, wenn auch meist verschlüsselt. Wird dieser Server gehackt, sind Millionen Zugangsdaten auf einmal weg. Genau das passiert regelmäßig, und die erbeuteten Listen werden im Netz weiterverkauft.
Dazu kommt Phishing. Eine gefälschte Anmeldeseite sieht der echten zum Verwechseln ähnlich, und wer sein Passwort dort eintippt, hat es dem Angreifer geschenkt. Selbst der zusätzliche Code per SMS hilft nur begrenzt, denn auch den kann man auf einer falschen Seite abfragen. WebAuthn schließt diese Lücke auf technischem Weg. Der Browser merkt sich, zu welcher Internetadresse ein Zugang gehört, und verweigert die Anmeldung bei einer anderen Adresse. Ein Mensch kann sich täuschen lassen, dieser Abgleich nicht.
Für Unternehmen ist das auch eine Kostenfrage. Ein großer Teil aller Anfragen an IT-Hotlines besteht aus vergessenen Passwörtern. Fällt das Passwort weg, fallen auch diese Anfragen weitgehend weg.
Das Schlüsselpaar hinter der Anmeldung
Beim ersten Einrichten erzeugt das Gerät zwei zusammengehörige Zahlenketten, ein sogenanntes Schlüsselpaar. Die eine Hälfte, der öffentliche Schlüssel, geht an die Webseite und darf ruhig bekannt sein. Die andere Hälfte, der private Schlüssel, bleibt für immer im Gerät. Gute Analogie: Der öffentliche Schlüssel ist ein Vorhängeschloss, das man verteilen kann. Nur der private Schlüssel im Gerät passt dazu.
Beim Anmelden schickt die Webseite eine zufällige Zahlenfolge, eine Art Rätselaufgabe. Das Gerät unterschreibt diese Folge mit dem privaten Schlüssel und schickt die Unterschrift zurück. Die Webseite prüft mit dem öffentlichen Schlüssel, ob die Unterschrift passt. Weil die Aufgabe jedes Mal anders lautet, nützt einem Angreifer eine abgefangene Antwort nichts. Ein einmal geknacktes Passwort funktioniert dagegen beliebig oft.
Der Fingerabdruck spielt in diesem Ablauf eine andere Rolle als viele denken. Er wird nicht an die Webseite geschickt und dort verglichen. Er entsperrt nur lokal den privaten Schlüssel im Gerät. Ein häufiger Irrtum ist deshalb, WebAuthn sei ein Verfahren zur Gesichtserkennung im Netz. Tatsächlich ist die Biometrie nur der Türöffner zum Schlüssel.
Passkeys im Alltag
Am häufigsten begegnet einem WebAuthn unter dem Namen Passkey. Ein Passkey ist nichts anderes als ein WebAuthn-Zugang, der zusätzlich über die Cloud zwischen den eigenen Geräten abgeglichen wird. Google, Apple und Microsoft bieten das seit einigen Jahren an. Wer sich bei Google, PayPal, Amazon oder GitHub schon einmal nur mit dem Handy angemeldet hat, hat WebAuthn benutzt.
Daneben gibt es die Hardware-Variante: ein kleiner Stick, den man in den USB-Anschluss steckt oder ans Handy hält. Solche Sticks kosten etwa 25 bis 60 Euro und sind in Behörden, Banken und großen Firmen verbreitet. Der Vorteil ist die klare Trennung vom Rechner, der Nachteil, dass man sie verlieren kann. Deshalb richtet man in der Regel mindestens zwei Zugänge ein.
In Nachrichten taucht der Begriff oft im Zusammenhang mit dem Wort passwortlos auf. Fachleute rechnen nicht damit, dass Passwörter bald völlig verschwinden. Viele ältere Systeme lassen sich nicht umbauen, und für den Notfall braucht es einen zweiten Weg zurück ins Konto. Realistisch ist ein langer Übergang, in dem beides nebeneinander existiert.