Die Zahl steigt. Jeden Tag sammelt die durchschnittliche Person weitere Anmeldedaten.
Banken. E-Mail. E-Commerce. Soziale Medien. Das Büroportal.
Sie verwalten eine wachsende Armee von Zeichenketten. Und irgendjemand versucht ständig, sie zu stehlen.
Hacker wollen nicht nur Zugriff. Sie wollen das mit diesem Zugang verbundene Geld. Betrügerische Transaktionen, gestohlene Identitäten, geleerte Konten. Das Motiv ist einfach. Die Methode ist unerbittlich.
Wie schließt man die Tür ab, wenn man fünfzig Schlüssel in der Tasche hat?
Ein neuer Ansatz zeichnet sich ab. Es geht nicht nur darum, das Erraten von Passwörtern zu erschweren. Es geht darum, sie unnötig zu machen.
Die Ermüdung der Reibung
Betrachten Sie den typischen Benutzertag.
Du wachst auf. Sie überprüfen Ihre E-Mails. Sie loggen sich in Ihre Banking-App ein. Sie suchen nach einem neuen Hemd. Sie antworten auf eine geschäftliche Slack-Nachricht.
Das sind fünf verschiedene Authentifizierungsereignisse.
Stellen Sie sich nun vor, Sie würden dies für jeden Dienst tun, den Sie nutzen.
Die Reibung ist real. Und es ist gefährlich.
Weil die Benutzer müde sind. Wenn die Sicherheit zu kompliziert wird, betrügen die Leute.
Sie verwenden überall das gleiche Passwort.
Sie schreiben es auf.
Sie teilen es.
Dadurch entsteht eine massive Sicherheitslücke. Wenn eine Site angegriffen wird, hat der Angreifer den Schlüssel zu allem anderen.
Phishing und Brute Force
Auch die Bedrohungen entwickeln sich weiter.
Phishing-Angriffe werden immer raffinierter. Sie imitieren legitime Websites mit erschreckender Genauigkeit. Sie geben Ihr Passwort auf einer gefälschten Anmeldeseite ein. Der Hacker versteht es sofort.
Dann gibt es rohe Gewalt. Automatisierte Skripte probieren Tausende von Kombinationen pro Sekunde aus. Wenn Ihr Passwort „Passwort123“ lautet, sind Sie fertig.
Der finanzielle Schaden ist unmittelbar.
Ihre Kreditkarte wird belastet. Ihre Identität wurde gestohlen. Ihr Ruf ist gefährdet.
Der Wechsel zu Passkeys
Hier kommt die neue Methode ins Spiel.
Es heißt Passkeys.
Auch bekannt als FIDO2-Anmeldeinformationen oder WebAuthn.
Der Name ist nicht so wichtig wie die Funktion.
Passkeys ersetzen Passwörter vollständig.
Sie basieren auf der Public-Key-Kryptographie.
So funktioniert es im Klartext.
Ihr Gerät (Telefon oder Laptop) generiert ein eindeutiges Schlüsselpaar.
Ein Schlüssel verbleibt auf Ihrem Gerät. Es geht nie weg.
Der andere Schlüssel wird an die Website oder App gesendet. Dies ist der öffentliche Schlüssel.
Wenn Sie sich anmelden, weist Ihr Gerät nach, dass es den privaten Schlüssel besitzt.
Dies geschieht mithilfe biometrischer Daten oder einer PIN.
FaceID. Fingerabdruck. Ihr Bildschirmsperrcode.
Es gibt kein gemeinsames Geheimnis. Keine Buchstabenfolge zum Erraten.
Wird eine Website gehackt, erhält der Angreifer nur den öffentlichen Schlüssel. Nutzlos.
Sie können Ihr Passwort nicht zurückentwickeln.
Sie können es nicht anderswo verwenden.
Warum das für Sie wichtig ist
Sie müssen die Mathematik nicht verstehen.
Sie müssen nur den Nutzen kennen.
Sie müssen sich keine komplexen Zeichenfolgen mehr merken.
Kein Zurücksetzen vergessener Passwörter mehr.
Fallen Sie nicht mehr auf Phishing-Seiten herein, die nach einem Passwort fragen.
Eine Phishing-Site könnte echt aussehen. Möglicherweise werden Sie sogar nach einem Bestätigungscode gefragt.
Doch ohne Ihr physisches Gerät und Ihre biometrische Einwilligung schlägt die Anmeldung fehl.
Der Hacker bekommt nichts.
Dies ist kein Zukunftskonzept.
Große Plattformen führen es ein
Warum einfache Passwörter versagen und wie verhaltensbasierte Sicherheit das Spiel verändert
Ihr Telefon ist im Grunde ein Computer, in dessen Taschen Sie Ihr gesamtes Leben tragen. Bankdaten. Private E-Mails. Die Liste geht weiter. Dieser Komfort ist mit einem hohen Preis verbunden: dem Risiko von Infektionen, Trojanern und regelrechtem Hacking. Wenn Kriminelle einsteigen, ist der Schaden real. Und doch machen wir es ihnen immer wieder zu einfach.
Die durchschnittliche Person joggt mit über 20 passwortgeschützten Konten. Sie verwenden ungefähr fünf verschiedene Passwörter, um sie alle freizuschalten. Diese Wiederholung ist ein Sicherheitsalbtraum.
Wie Kriminelle tatsächlich Ihre Schlüssel stehlen
Stephan Wiefling, Experte der Hochschule Bonn-Rhein-Sieg (H-BRS), schlüsselt die beiden Hauptmethoden auf, mit denen Hacker Ihre Abwehrmechanismen umgehen. Es ist nicht immer High-Tech-Magie.
Erstens gibt es massive Datenbanklecks. Erinnern Sie sich an Adobe? LinkedIn? MySpace? Diese Websites speicherten Benutzerdaten häufig schlecht. Hacker stehlen die Kombination aus E-Mail und Passwort. Dann verwenden sie eine Technik namens „Credential Stuffing“. Es ist automatisiert. Sie testen dieselben Anmeldeinformationen auf jeder anderen Website, die Sie verwenden. Akamai, ein Online-Dienstleister, verzeichnet täglich 250 Millionen dieser Versuche. Wenn Sie Passwörter wiederverwenden, sind Sie fertig.
Zweitens ist die Kunst des Ratens. Es klingt naiv. Es funktioniert trotzdem. Wiefling stellt fest, dass die Erfolgsquote bei weniger als 100 Versuchen 70 % erreicht. Warum? Weil Menschen vorhersehbar sind. Hacker verwenden Ihren Namen, den Namen Ihres Haustieres und Familiengeburtstage. Sie speisen dies in statistische Modelle ein, um eine Liste der wahrscheinlichsten Passwörter zu erstellen. Der Computer errät, was Sie für clever halten. Normalerweise ist es falsch.
Ein neuer Schutzschild: Dein wahres Ich erkennen
Um dies zu verhindern, entwickelte Wiefling ein Schutzsystem. Es prüft nicht nur, ob Ihr Passwort richtig ist. Es prüft, ob Sie derjenige sind, der es eingibt.
Dies wird als risikobasierte Authentifizierung bezeichnet. Das System akzeptiert Ihre Anmeldedaten, solange nichts seltsam aussieht. Wenn seltsames Verhalten festgestellt wird, ist ein zweiter Überprüfungsschritt erforderlich.
Was gilt als seltsam? Verwenden Sie ein Gerät, von dem aus Sie sich noch nie angemeldet haben. Melden Sie sich von einem geografischen Standort aus an, den Sie noch nie besucht haben. Oder Sie besuchen die Website um 3 Uhr morgens an einem Dienstag, wenn Sie normalerweise schlafen. Das System markiert diese Abweichung. Es verlangt einen Beweis.
Komfort trifft Vorsicht
Für die meisten Websites ist dies ein Kinderspiel. Sie geben Ihr Passwort einmal ein. Wenn das Verhalten normal ist, sind Sie dabei. Eine Laborstudie mit fast 70 Teilnehmern bestätigte, dass dies funktioniert. Benutzer fühlten sich bei der risikobasierten Authentifizierung deutlich sicherer als bei einfachen Passwörtern. Sie bevorzugten es für soziale Medien und Shopping-Sites.
Aber was ist mit Bankkonten?
Da sind die Menschen anders. In einer zweiten Studie weigerten sich die Teilnehmer, sich bei Hochsicherheitsstandorten ausschließlich auf das Verhalten zu verlassen. Sie wollten die traditionelle Zwei-Faktor-Authentifizierung (2FA). Das bedeutet, dass Sie sich immer zweimal anmelden müssen. Passwort plus Einmal-PIN. Es ist mehr Reibung. Aber für dein Geld nimmst du es.
Was macht ein Passwort eigentlich sicher?
Nichts davon funktioniert, wenn Ihr Basispasswort Müll ist. Wiefling schlägt vor, einen Passwort-Manager zu verwenden. Viele Browser bieten dies integriert an.
Hier ist der kontraintuitive Teil: Komplexität ist nicht König. Länge ist. Ein langer, einprägsamer Satz wie „Montags arbeite ich oft sehr gerne“ schlägt eine kurze, chaotische Zeichenfolge wie „$Le90pch“. Für einen Computer ist es schwieriger, einen langen Satz brutal zu erzwingen.
Und bitte. Hören Sie auf, Passwörter wiederzuverwenden. Benutzen Sie den Manager. Es speichert sie in einem verschlüsselten digitalen Safe. Sie müssen sich nur ein Master-Passwort merken. Dieser eine Schlüssel öffnet alles andere.
Es ist nicht perfekt. Das System kann dennoch getäuscht werden, wenn ein Angreifer Ihre Routine kennt. Oder wenn Sie auf Reisen sind und das System Ihr normales Verhalten als verdächtig markiert. Aber es ist ein Schritt weiter als zu hoffen, dass niemand den Namen Ihres Hundes errät.
Man muss trotzdem vorsichtig sein. Die Tools helfen. Sie retten dich nicht.
