Passwortlose Authentifizierung ist jede Authentifizierungsmethode, die keine traditionellen Passwörter, Sicherheitsfragen oder andere Wissensfaktoren verwendet, um die Identität eines Nutzers zu überprüfen. Stattdessen verwenden passwortlose Authentifizierungsmethoden Dinge, die schwerer zu stehlen oder zu fälschen sind, wie Passkeys, Physical Security-Schlüssel und biometrische Daten.
Passwörter sind wohl die gebräuchlichste Methode der Benutzerauthentifizierung. Sie sind auch die schwächsten. Passwörter können durch Phishing-Angriffe und Infostealer-Malware gestohlen werden, durch Brute-Force-Angriffe erraten oder im Darknet gekauft werden, wo Hacker sie für ein paar Dollar pro Stück verkaufen.
Mit gestohlenen Anmeldedaten können Bedrohungsakteure legitime Konten übernehmen, ihre gültigen Privilegien missbrauchen und der Erkennung entgehen – weil ihre Aktivitäten wie die eines autorisierten Nutzers aussehen. Laut dem IBM X-Force Threat Intelligence Index 2025 ist der Diebstahl gültiger Konten einer der häufigsten Erstzugriffsvektoren, der bei 32% der von X-Force analysierten Cyberangriffe vorkommt.
Andere Wissensfaktoren – also alle Authentifizierungsfaktoren, die auf einem dem Benutzer bekannten Geheimnis beruhen – weisen die gleichen Schwächen auf. Antworten auf häufige Sicherheitsfragen, wie den Namen eines ersten Haustiers oder eines besten Freundes aus Kindertagen, lassen sich leicht durch Social Engineering oder einfaches Spionieren in sozialen Medien finden.
Obwohl der Begriff „Passwort“ bereits im Namen enthalten ist, verzichtet die passwortlose Authentifizierung auf alle Wissensfaktoren, einschließlich Sicherheitsfragen. Passwortlose Methoden ersetzen diese Wissensfaktoren durch Hardware-Token, kryptografische Passwörter, Fingerabdrücke, Gesichtsscans, Authentifizierungs-Apps und mehr.
Diese passwortlosen Authentifizierungsfaktoren gelten als wesentlich sicherer als Wissensfaktoren. Sie können nicht einfach gestohlen oder gefälscht werden, was sie resistent gegen einige der heute am weitesten verbreiteten Cyberbedrohungen macht. Zum Beispiel können Cyberkriminelle keinen Passkey über einen Phishing-Link stehlen, noch können sie ohne hochentwickelte Technologie gefälschte Fingerabdrücke erstellen.
Schließen Sie sich Führungskräften im Bereich Sicherheit an, die von den kuratierten Nachrichten zu KI, Cybersicherheit, Daten und Automatisierung im Think Newsletter profitieren. Lernen Sie schnell von Experten-Tutorials und Erläuterungen, die direkt in Ihren Posteingang geliefert werden. Weitere Informationen finden Sie in der IBM Datenschutzerklärung.
Die passwortlose Authentifizierung funktioniert, indem Wissensfaktoren im Authentifizierungsprozess durch wissensunabhängige Alternativen ersetzt werden. Anstatt also nach einem Passwort zu fragen, könnte ein passwortloser Anmeldeprozess einen Benutzer auffordern, auf einen magischen Link zu klicken oder auf eine Push-Benachrichtigung zu tippen.
Um die Logik der passwortlosen Authentifizierung vollständig zu verstehen, sollte man sich zuerst ansehen, wie Authentifizierung im Allgemeinen funktioniert.
Bei einem typischen Authentifizierungsprozess weisen Benutzer ihre Identität nach, indem sie Belege dafür vorlegen, dass sie die Person sind, für die sie sich ausgeben. Dieser Beweis wird als "Authentifizierungsfaktor" bezeichnet und fällt üblicherweise in eine von vier Categories:
Wissensfaktoren: Etwas, das der Benutzer weiß, wie ein Passwort oder die Antwort auf eine Sicherheitsfrage.
Besitzfaktoren: Etwas, das der Benutzer besitzt, wie beispielsweise ein Einmalpasswort, das von einem persönlichen Smartphone generiert wird, oder ein privater kryptografischer Schlüssel.
Inhärenzfaktoren: Etwas, das mit dem Benutzer verbunden ist - in der Regel biometrische Daten wie Fingerabdruck-, Gesichts- und Netzhautscans.
Verhaltensfaktoren: Etwas, das der Benutzer tut, wie zum Beispiel besondere Tippmuster oder Mausgesten.
Lösungen für die passwortlose Authentifizierung nutzen ausschließlich Besitz-, Inhärenz- und Verhaltensfaktoren. Zu den gängigen Passwortalternativen gehören:
Passschlüssel basieren auf Public-Key-Kryptographie, die typischerweise nach einer Reihe von Standards implementiert wird, die als FIDO oder FIDO2 bekannt sind.
Hauptschlüssel funktionieren, indem sie ein kryptografisches Schlüsselpaar generieren: einen öffentlichen Schlüssel, der mit dem Dienst geteilt wird, für den sich der Benutzer anmeldet, und einen privaten Schlüssel, der auf dem Gerät des Benutzers gespeichert wird, z. B. seinem persönlichen Smartphone. Der private Schlüssel wird niemals mit dem Dienst geteilt. Darüber hinaus ist der private Schlüssel durch eine PIN oder biometrische Authentifizierung geschützt.
(Der FIDO-Standard unterstützt auch Hardware-Sicherheitsschlüssel.) Weitere Informationen finden Sie unter „Hardware-Token“.)
Mit einem Passkey funktioniert die Authentifizierung folgendermaßen:
Passkeys gelten aus mehreren Gründen als wesentlich sicherer als Passwörter. Der private Schlüssel verlässt niemals das Gerät des Benutzers und kann daher nicht abgefangen werden. Wenn ein Angreifer das Gerät mit dem privaten Schlüssel stiehlt, muss er trotzdem eine PIN eingeben oder eine biometrische Prüfung bestehen, um den Schlüssel zu verwenden.
Wie Jeff Crume, IBM-Meistererfinder und angesehener Ingenieur, sagte in einer Folge des IBM Security Intelligence Podcasts:
Der häufigste Angriffsvektor für Datenschutzverletzungen [im IBM Cost of a Data Breach Report 2025] ist Phishing. Und was haben Phishing-Angreifer vor? Sie haben es auf Ihre Anmeldedaten abgesehen. Und wissen Sie was? Wenn Sie kein Passwort haben, kann es Ihnen niemand stehlen. Wenn Sie einen Passkey haben, ist es deutlich schwieriger.
Die biometrische Authentifizierung basiert auf den physischen Eigenschaften eines Nutzers. Netzhautscans, Gesichtserkennungstechnologie und Fingerabdruckscans gehören zu den gebräuchlichsten Formen der Biometrie.
Biometrische Faktoren gelten als sicher, da sie nicht leicht gestohlen oder gefälscht werden können. Sie gelten außerdem als benutzerfreundlich, da die Benutzer nichts Besonderes tun müssen, um biometrische Daten einzugeben – sie müssen lediglich in eine Kamera schauen oder ihren Daumen auf einen Bildschirm legen.
Der Nachteil ist, dass biometrische Daten gestohlen werden können, auch wenn dies extrem selten vorkommt. Im Jahr 2024 beispielsweise stahlen Hacker Gesichtserkennungsdaten von einer australischen Firma namens Outabox. Und wenn biometrische Daten gestohlen werden, können sie nicht wie ein Passwort zurückgesetzt werden. Man kann seine Fingerabdrücke oder Netzhautmuster nicht ändern.
Wie der Name schon sagt, sind Einmalpasswörter (OTPs) Passwörter, die nur einmal verwendet werden können, in der Regel nur für einen kurzen Zeitraum gültig sind und die bestehenden Zugangsdaten ersetzen. Immer wenn ein Nutzer sich bei einem Dienst anmelden muss, generiert er ein neues OTP.
OTPs können auf verschiedene Arten generiert werden. Zu den gängigsten Methoden gehören:
OTPs werden nicht als Wissensfaktoren betrachtet, da es sich nicht um langlebige Geheimnisse handelt. OTPs sind Besitzfaktoren. Nicht die Kenntnis des OTP (Einmalpasswort) Verify eine Person, sondern der Besitz der registrierten App, der Telefonnummer oder des Sicherheitsschlüssels, der das OTP generiert hat.
OTPs verfallen in der Regel nach einer einmaligen Verwendung oder einem bestimmten Zeitraum und schränken ihren Wert ein, wenn sie gestohlen oder abgefangen werden. Aber sie können durch bestimmte raffinierte Maßnahmen gestohlen werden, wie Infodiebe oder Man-in-the-Middle (MitM)-Angriffe.
Hardware-Token, auch Sicherheitsschlüssel genannt, sind dediziert Geräte – oft in Form von USB-Dongles –, die Authentifizierungsinformationen enthalten oder generieren.
Einige Hardware-Token verwenden OTPs. Entweder erstellen sie regelmäßig neue OTPs, wie eine Authentifizierungs-App, oder sie generieren OTPs auf Anfrage, wenn der Benutzer einen Knopf drückt. Andere Token übertragen automatisch Authentifizierungsinformationen an einen Dienst, wenn sie an ein Gerät angeschlossen werden.
Hardware-Token gelten als stark, weil sie oft überhaupt nicht mit dem Internet verbunden sind und eine Person das Token physisch besitzen muss, um es verwenden zu können.
Allerdings können Sicherheitsschlüssel verloren gehen oder gestohlen werden. Es kann teuer und logistisch kaum umsetzbar sein, jedem Mitarbeiter oder Benutzer eines Dienstes einen Schlüssel auszustellen.
Magische Links sind spezielle Links, die Token enthalten.
Zuerst registriert der Nutzer sein E-Mail-Konto oder seine Telefonnummer bei einem Dienstanbieter. Wenn sie sich dann einloggen wollen, fordern sie einen magischen Link an. Der Dienst sendet den Link an die registrierte E-Mail oder das Mobilgerät. Wenn der Benutzer darauf klickt, wird er zu dem gewünschten Dienst weitergeleitet, vollständig authentifiziert und angemeldet.
Magische Links sind eine Art Besitzfaktor, aber es ist nicht der Besitz des Links selbst, der die Identität des Benutzers beweist. Vielmehr ist es der Besitz des zuvor registrierten E-Mail-Kontos oder der Telefonnummer.
Ähnlich wie OTPs sind auch magische Links nur für einen kurzen Zeitraum gültig und verfallen automatisch nach einmaliger Verwendung.
Wenn ein Angreifer jedoch Zugriff auf das E-Mail-Postfach oder die Telefonnummer eines Nutzers erhält, können magische Links leicht missbraucht werden. Der Angreifer muss einfach zu dem Dienst navigieren, den er knacken möchte, einen Link anfordern und schon ist er dabei.
Diese Methode funktioniert wie magische Links und sendet Push-Benachrichtigungen an das zuvor registrierte Mobilgerät eines Benutzers, wenn dieser versucht, sich bei einem Dienst anzumelden. Der Benutzer muss in der Push-Benachrichtigung auf „Genehmigen“ (oder etwas Ähnliches) tippen, um Zugriff zu erhalten.
Push-Benachrichtigungen sind ein weiterer Besitzfaktor. Durch das Antippen wird bestätigt, dass der Nutzer im Besitz des registrierten Geräts ist und bestätigt so seine Identität.
Push-Benachrichtigungen sind praktisch und weitgehend sicher, aber sie sind anfällig für Angriffe, die als „Push-Benachrichtigungsfluten“ (auch „MFA-Müdigkeit“, „MFA-Bombing“ oder „Prompt-Spamming“ genannt) bekannt sind.
Bei diesem Angriff navigiert ein Bedrohungsakteur zu dem Dienst, den er verletzen möchte, gibt die Benutzer-ID seines Ziels ein und fordert wiederholt eine Authentifizierung per Push-Benachrichtigung an. Die plötzliche Flut von Benachrichtigungen auf dem Gerät des Opfers soll dieses überfordern, sodass es entweder versehentlich eine bestätigt oder einfach nur, um die Flut zu stoppen. Mit dieser Genehmigung kann der Hacker auf das Konto des Benutzers zugreifen.
Bei QR-basierten Anmeldungen wird ein QR-Code angezeigt. Der Benutzer scannt den Code – typischerweise mit einer Authentifizierungs-App oder einer speziell für den Dienst entwickelten App – und wird dadurch angemeldet.
Der grundlegende Mechanismus hier ist ein Session-Transfer. Nehmen wir zum Beispiel an, ein Benutzer möchte sich auf seinem Laptop mit Hilfe eines QR-Codes auf einer Website anmelden:
Selbst wenn ein Angreifer den QR-Code erhält, kann er ohne das vorab authentifizierte Gerät des Benutzers nicht viel tun. Allerdings kann ein Angreifer hypothetisch die Telefonsitzung des Benutzers kapern und auf diese Weise in ein Konto eindringen.
QR-basierte Authentifizierung ist ebenfalls anfällig für Quishing, auch bekannt als QR-Phishing oder QR-Jacking. Angreifer präsentieren ihren Opfern gefälschte QR-Codes, die nach dem Scannen vom Angreifer kontrollierte Sitzungen anstelle von legitimen Sitzungen genehmigen.
Verhaltensfaktoren sind digitale Artefakte, die die Identität eines Benutzers anhand von Verhaltensmustern wie dem typischen IP-Adressbereich, dem Standort und der durchschnittlichen Tippgeschwindigkeit des Benutzers verifizieren.
Diese Faktoren werden selten allein als ausreichender Identitätsnachweis verwendet. Sie sind häufiger Bestandteil eines risikobasierten Authentifizierungsschemas, das kontinuierlich den Sicherheitsstatus eines Benutzers bewertet, um die Authentifizierungsanforderungen dynamisch auf der Grundlage des Risikoniveaus zu bestimmen.
Ein Benutzer, der sich beispielsweise von seinem normalen Gerät zu seiner normalen Zeit Protokollierung, muss möglicherweise nur einen Authentifizierungsfaktor angeben. Derselbe Nutzer, der sich von einem neuen Gerät oder einem unbekannten Standort Protokollierung, muss möglicherweise einen zusätzlichen Faktor liefern.
Vor allem aufgrund des zunehmenden Einsatzes von Cloud-Services, künstlicher Intelligenz und maschinellem Lernen ist die Zahl der nichtmenschlichen Identitäten (NHIs), die im durchschnittlichen Unternehmensnetzwerk aktiv sind, in den letzten Jahren dramatisch angestiegen. Und da KI-Agenten immer ausgefeiltere Automatisierungen ermöglichen, werden die Verwaltung der Berechtigungen von NHIs und die Sicherung ihrer Zugangsdaten zu zentralen Anliegen für Cybersicherheitsteams.
Nichtmenschliche Konten können genauso gekapert werden wie die eines Menschen. Sie haben oft erhöhte Rechte (denken Sie an einen Backup-Prozess, der die sensibelsten Unternehmensdatenbanken lesen kann) und verlassen sich bei der Authentifizierung auf einen einzigen Berechtigungsnachweis, was sie zu attraktiven und potenziell schwachen Zielen macht.
NHIs verwenden Passwörter zwar nicht wie Menschen, aber sie verlassen sich oft auf Zertifikate und Token, die gestohlen, gefälscht oder geknackt werden können, ähnlich wie Passwörter.
Passwortlose Authentifizierung für menschliche Nutzer bedeutet, langfristige Zugangsdaten zu entfernen, die leicht gestohlen oder gefälscht werden können. Unternehmen können ähnliche Vorteile für NHIs erhalten, indem sie eine Kombination aus Just-in-Time-Zugriff und Credential-Vaulting verwenden, wie im Security Lifecycle Management -Prozess zu sehen ist.
Das Security Lifecycle Management automatisiert die Erstellung, Rotation und sichere Speicherung von NHI-Zugangsdaten, Anmeldedaten und ersetzt persistente, fest kodierte Geheimnisse durch flüchtige oder Just-in-Time-Zugangsdaten, Anmeldedaten, die in einem zentralen, sicheren Vault gespeichert sind. Tresore sind wiederum durch Verschlüsselung und starke Authentifizierungsmaßnahmen geschützt, um sicherzustellen, dass nur autorisierte Nutzer bei Bedarf auf diese Zugangsdaten zugreifen können.
Jake Lundberg, Feld-CTO bei HashiCorp, skizzierte in einer Folge von Security Intelligence eine Vision für sehr kurzlebige NHI-Anmeldedaten:
Das beste Szenario ist, dass man zu sessionbasierten Qualifikationen umsteigt. Während der Sitzung, habe ich eine Just-in-Time-Zertifizierung. Und sobald die Sitzung beendet ist, lösche ich auch diese Anmeldeinformationen. Wenn also meine Sitzung vorbei ist, selbst wenn sie nur fünf Minuten gedauert hat, entfernen wir diese Zugangsdaten von diesen Systemen.
Workload-Identitätsspezifikationen wie SPIFFE/SPIRE können NHI-Identitäten an kryptografisch verifizierbare Laufzeitattribute verknüpfen. Diese Frameworks ermöglichen die Verify einer Workload basierend darauf, wo und wie sie ausgeführt wird, sodass NHIs sich ohne die Verwendung von Passwörtern oder API-Schlüsseln authentifizieren können.
Passwortlose Anmeldungen können entweder als Ein-Faktor-Authentifizierung (mit einem Nicht-Wissensfaktor) oder als Multi-Faktor-Authentifizierung (MFA) (mit zwei oder mehr Nicht-Wissensfaktoren) implementiert werden. Passwortlose MFA-Implementierungen gelten als sicherer als Standard-MFA - oder Zwei-Faktor-Authentifizierung (2FA), bei denen üblicherweise ein Passwort als erster Faktor verwendet wird.
(Eine MFA-Implementierung, die sowohl ein Passwort als auch einen anderen nicht-wissensbasierten Faktor verlangt, ist nicht passwortlos, da sie immer noch ein Passwort beinhaltet.) Alle beteiligten Faktoren müssen für einen wirklich passwortlosen Login Nicht-Wissen sein.)
Nicht jede App unterstützt nativ vollständig passwortlose Optionen. Um die passwortlose Authentifizierung im gesamten Unternehmensnetzwerk zu implementieren, setzen Organisationen häufig auf Identity Orchestration. Diese Tools verbinden und koordinieren verteilte Identity und Access Management (IAM) Systeme von mehreren Identitätsanbietern zu einem Identitätsgewebe mit einem einzigen, reibungslosen Identitäts-Workflow. Identity Orchestration ist die Technologie hinter vielen Single Sign-on Systemen.
Im Wesentlichen funktioniert die Identitätsorchestrierung dadurch, dass Anmeldeanfragen für einzelne Dienste über einen zentralen Prozess geleitet werden, und viele Identitätsorchestrierungsplattformen unterstützen einen passwortlosen zentralen Authentifizierungsprozess. Somit kann das gesamte Unternehmen passwortlos sein, auch wenn einzelne Apps und Dienste im Tech-Stack dies nicht unterstützen.
Die passwortbasierte Authentifizierung ist seit langem die Standardmethode zur Verify von Benutzeridentitäten. Leider ist es auch am wenigsten sicher. Passwortlose Methoden können eine der größten Schwachstellen moderner Netzwerke beseitigen und so eine vielfach ausgenutzte Sicherheitslücke in der Angriffsfläche von Unternehmen schließen.
Passwörter lassen sich leicht durch Social-Engineering-Angriffe wie Phishing und Malware wie Spyware und Infostealer stehlen. Sie sind besonders anfällig für Help-Desk-Angriffe, also Social-Engineering-Betrugsmaschen, bei denen böswillige Akteure beim Help-Desk anrufen und sich als Benutzer oder Mitarbeiter ausgeben, der eine Passwortzurücksetzung benötigt. Diese Angriffe werden immer häufiger, weil sie so verheerend wirksam sind. Wie Stephanie Carruthers, ehemalige Chief People Hacker bei IBM X-Force, einmal sagte:
Wir führen Social-Engineering-Kampagnen für unsere Kunden durch, bei denen das Ziel darin besteht, ihren Help Desk anzurufen und zu sehen, ob wir uns als Mitarbeiter ausgeben können, um ihr Passwort zurückzusetzen. Bis heute waren wir jedes Mal erfolgreich, wenn wir das getan haben.
Oft verwenden Menschen schwache Passwörter, die Angreifer durch Brute-Force- und Wörterbuchangriffe knacken können – also durch Ausprobieren gängiger Passwörter, bis eines funktioniert. Zudem verwenden manche Menschen Passwörter für mehrere Dienste wieder, was Credential Stuffing ermöglicht. Wenn Angreifer ein Passwort für einen Dienst haben, können sie es auch für eine Reihe anderer Dienste ausprobieren.
Selbst wenn die Leute die besten Passwortpraktiken befolgen – also für jeden Dienst ein anderes, schwer zu erratendes Passwort verwenden –, stoßen sie auf Probleme. Wenn man bedenkt, wie viele Konten die Leute haben, ist es leicht, diese Passwörter zu vergessen. Im Fall von NHI-Zugangsdaten, wie API-Schlüsseln, könnten sie in Apps fest codiert oder ungeschützt als Klartext auf gemeinsam genutzten Laufwerken liegen.
Um diese Herausforderungen im Bereich der Passworthygiene zu lösen, entstanden Passwortverwaltungstools, doch auch sie weisen spezifische Schwachstellen auf. Nämlich: Die meisten PASSWORD MANAGER sind durch Master-Passwörter geschützt, die selbst gestohlen werden können. Ja, Hacker können mit den richtigen Methoden gespeicherte Passwörter stehlen.
Die zunehmende Verbreitung von NHIs hat ebenfalls dazu beigetragen, dass die passwortlose Authentifizierung Priorität erlangt hat.
Apps, Systemprozesse und andere nichtmenschliche Benutzer haben keine klassischen Passwörter, sondern verwenden OAuth-Token, API-Schlüssel, Zertifikate und andere Geheimnisse zur Authentifizierung. KI-Agenten, die sich auf der Grenze zwischen traditionell menschlichen und nicht-menschlichen Funktionen bewegen, könnten sogar die Zugangsdaten ihrer menschlichen Benutzer „ausleihen“, um automatisierte Aufgaben auszuführen. Alle diese Geheimnisse können gestohlen und missbraucht werden, ähnlich wie Passwörter.
Traditionelle IAM-Systeme wurden nicht für das Management von NHI-Geheimnissen entwickelt, was eine Identitätssicherheitslücke schafft.
Experten für Identitätsmanagement und Sicherheit haben diese Herausforderungen schon seit geraumer Zeit erkannt. Doch passwortlose Verfahren gewinnen jetzt an Bedeutung, weil die Technologie endlich aufholt. Smartphones ermöglichen es alltäglichen Benutzern, biometrische Daten und zeitbasierte Einmalpasswörter zu verwenden. Durch die Entwicklung von FIDO-Standards und den zugrunde liegenden WebAuthn- und CTAP2-Protokollen ist die Passkey-basierte Authentifizierung für Websites und Web-Apps allgemein verfügbar geworden. Und neue Tools für das Security Lifecycle Management ermöglichen es Unternehmen, die Erstellung, Rotation, Speicherung und das Zugriffsmanagement für NHIs zu automatisieren.
Die passwortlose Authentifizierung gilt allgemein als sicherer und bequemer als passwortbasierte Ansätze. Die Nachteile hängen größtenteils mit der potenziellen Komplexität und den Kosten zusammen, die entstehen, wenn man überhaupt keine Passwelt hat.
Phishing ist eine der Hauptursachen für Data Beaches und macht 16 % der im IBM Cost of a Data Breach Report analysierten Datenpannen aus. Ziel der meisten Phishing-Angriffe ist es, die Zugangsdaten eines Benutzers zu stehlen – typischerweise ein Passwort.
Die passwortlose Authentifizierung ersetzt Passwörter durch phishingresistente Anmeldeinformationen, die nicht einfach oder praktikabel gestohlen werden können, und vereitelt damit eine der größten Bedrohungen für die Datensicherheit .
Passwortlose Zugangsdaten können zudem die Verteidigung gegen bestimmte häufige Malware-Varianten wie Infodiebe oder Spyware stärken. Beispielsweise werden Passkeys niemals übertragen oder irgendwo eingegeben, und OTPs können zwar gelesen werden, sind aber nach einmaliger Eingabe nutzlos.
Ein Grund dafür, dass Passwörter eine so bedeutende Schwachstelle in der Cybersicherheit darstellen, ist, dass viele Benutzer die etablierten Best Practices für Passworthygiene nicht befolgen. Einer der überzeugendsten Anwendungsfall für die passwortlose Authentifizierung ist, dass sie das Hygieneproblem vollständig beseitigt.
Die Nutzer müssen sich nicht für jeden Dienst ein einzigartiges, komplexes Passwort ausdenken, weil sie überhaupt keine Passwörter benötigen. Auch das Entfernen von Passwörtern kann die Erfahrung verbessern, sodass passwortlose Authentifizierung zu einem der seltenen Fälle gehört, in denen Sicherheit und Benutzerfreundlichkeit synchron sind.
In den meisten Unternehmen bedeutet ein vergessenes Passwort einen Anruf beim Help Desk. Diese Anrufe kosten Geld, halten IT-Mitarbeiter von wertvolleren Aufgaben ab und stören die Workflow der Angestellten. Und Help-Desk-Anrufe bieten, wie bereits erwähnt, Bedrohungsakteuren einen potenziellen Weg für Angriffe.
Die passwortlose Authentifizierung bedeutet, dass keine Passwortzurücksetzungen mehr erforderlich sind. Dies kann die Anzahl der Help-Desk-Anrufe reduzieren, die Kosten für den IT-Support senken und eine gefährliche Bedrohung eindämmen.
Neben der Tatsache, dass sie einer der vorrangigen Zugangsmöglichkeiten zu Netzwerken sind, sind gestohlene Zugangsdaten auch ein Hauptziel für Hacker, wenn sie sich darin befinden. Die Erfassung von Anmeldedaten war die häufigste Auswirkung der im jüngsten Threat Intelligence Index analysierten Angriffe, die in 26 % der Fälle vorkommt.
Wenn Angreifer über diese Zugangsdaten verfügen, verwenden sie sie für Lateralbewegung und die Privilegien-Eskalation, oder sie verkaufen sie auf dem Dark Web an andere Angreifer. In beiden Fällen führen gestohlene Passwörter zu erheblichem Schaden.
Passwortlose Zugangsdaten sind nicht nur grundsätzlich schwerer zu stehlen, sondern gestohlene Zugangsdaten sind auch nur von begrenztem Nutzen oder völlig unverkäuflich. Beispielsweise kann man Passkeys nicht stehlen, indem man in einen Dienst einbricht, da der Dienst keine Passkeys speichert. Jeder Passkey wird auf dem Gerät des einzelnen Nutzers gespeichert. Und niemand wird für OTPs bezahlen, die bereits abgelaufen sind.
Trotz all dieser Vorteile hat die passwortlose Authentifizierung auch Nachteile. Dazu gehören komplexe Implementierungen, Schwierigkeiten beim Zurücksetzen verlorener oder gestohlener Anmeldedaten und die einzigartigen Cyberangriffe, für die passwortlose Anmeldungen anfällig sind.
Das durchschnittliche Unternehmensnetzwerk enthält eine Mischung aus lokalen und cloudbasierten Apps und Assets verschiedener Anbieter mit leicht unterschiedlichen Zugriffsverwaltungssystemen , die nicht immer eine passwortlose Authentifizierung unterstützen.
Und einige Experten sagten voraus, dass vibe-codierte, flüchtige Software bald in Unternehmensnetzwerken verbreiteter werden wird und eine noch vielfältigere Auswahl an IAM-Systemen ins Spiel bringt.
Bevor sie eine passwortlose Authentifizierung einführen können, müssen viele Unternehmen zunächst ein integriertes Identitätsgewebe aufbauen, das alle Ressourcen in einem gemeinsamen Workflow vereint. Ein ganzheitliches Identitätsgewebe gilt heutzutage zwar als Best Practices für die Identitätssicherheit, doch dessen Aufbau erfordert Zeit, Geld, Werkzeuge und Fachwissen.
Die Registrierung von Benutzern für den passwortlosen Authentifizierungsprozess kann ebenfalls eine Herausforderung darstellen, je nachdem, welche Art von Anmeldeinformationen das Unternehmen unterstützen möchte. Passkeys und Authentifizierungs-Apps sind vergleichsweise einfach, Hardware-Sicherheitsschlüssel und biometrische Verfahren können hingegen komplizierter sein.
Passwortlose Authentifizierungsfaktoren müssen seltener zurückgesetzt werden. Aber wenn sie das tun, kann der Prozess schwierig sein.
Zum Beispiel kostet der Ersatz eines verlorenen Hardwareschlüssels Geld und muss physisch an den Benutzer ausgegeben werden. Gestohlene biometrische Daten können nicht geändert werden. Ein verlorenes oder gestohlenes Smartphone mit einer Authentifizierungs-App kann einem Bedrohungsakteur Zugriff auf das gesamte digitale Leben eines Benutzers gewähren.
Obwohl passwortlose Authentifizierungsmethoden schwerer zu knacken sind, sind sie dennoch anfällig für bestimmte ausgeklügelte Angriffe.
Zum Beispiel können ausreichend fortschrittliche Man-in-the-Middle-Schemata OTPs abfangen, bevor sie auf der echten Website eingegeben werden — und bevor sie ablaufen —, sodass Hacker sie verwenden können, bevor legitime Benutzer es können. SIM-Swapping-Schemata — bei denen sich Betrüger als Opfer ausgeben und ihren Telekommunikationsanbieter davon überzeugen, ihre Nummer auf ein Telefon zu übertragen, das die Betrüger kontrollieren — können Angreifern auch die Möglichkeit bieten, OTPs, Push-Benachrichtigungen, magische Links und andere gängige Authentifizierungsfaktoren abzufangen.