Passwort war gestern – Moderne Identitätsstrategien für mehr Sicherheit

Das Passwort war jahrzehntelang der Schlüssel zur digitalen Welt. Doch in Zeiten von Phishing, Datenlecks und Identitätsdiebstahl ist es zu einem der größten Sicherheitsrisiken geworden. Millionenfach gestohlene Zugangsdaten tauchen regelmäßig in kriminellen Foren und Sammlungen auf (siehe unseren Beitrag zum Datensatz mit fast 2 Milliarden E-Mail-Adressen), und selbst komplexe Passwörter bieten keinen absoluten Schutz mehr. Für Unternehmen, insbesondere kleine und mittlere Betriebe (KMU), ist es daher an der Zeit, neue Wege der Authentifizierung zu gehen – sicherer, bequemer und zukunftsfähiger.

Warum klassische Passwörter versagen

Das Problem beginnt bei der menschlichen Natur: Komplexe Passwörter sind schwer zu merken, einfache sind unsicher. Viele Mitarbeitende verwenden dasselbe Kennwort für mehrere Dienste oder speichern es unverschlüsselt im Browser. Das erleichtert Angreifern den Zugang zu Systemen enorm.

Auch technische Maßnahmen wie Passwort-Richtlinien helfen nur bedingt, denn Phishing-Mails und Social-Engineering-Angriffe zielen direkt auf den Menschen ab. Die Kombination aus menschlichem Fehlverhalten und gestohlenen Anmeldedaten macht Passwörter zu einem unzuverlässigen Schutzmechanismus.

Mehrfaktor-Authentifizierung als Grundlage

Ein erster Schritt zu mehr Sicherheit ist die Mehrfaktor-Authentifizierung (MFA). Sie kombiniert mindestens zwei unabhängige Faktoren:

• Wissen – etwas, das der Nutzer kennt (z. B. Passwort oder PIN)
• Besitz – etwas, das der Nutzer besitzt (z. B. Smartphone, Token)
• Inhärenz – etwas, das der Nutzer ist (z. B. Fingerabdruck, Gesichtserkennung)

Dadurch steigt die Sicherheit deutlich: Ein gestohlenes Passwort allein genügt nicht mehr. Allerdings lassen sich SMS-Codes, Einmalpasswörter und Push-Bestätigungen mit aktuellen Phishing-Methoden (etwa „Adversary in the Middle“ oder gezieltes Bombardieren mit Push-Anfragen) teils umgehen. Phishingresistent sind erst Verfahren nach FIDO2, also Passkeys oder Sicherheitsschlüssel; diese empfehlen auch BSI und NIST. Für KMU lässt sich MFA meist ohne großen Aufwand über vorhandene Systeme wie Microsoft 365, Google Workspace oder VPN-Zugänge aktivieren.

Passkeys und biometrische Verfahren: Die Zukunft der Authentifizierung

Ein noch modernerer Ansatz sind Passkeys, also kennwortlose Anmeldungen, die auf Kryptografie basieren. Der Login erfolgt über ein Gerät, das den Benutzer eindeutig identifiziert – beispielsweise ein Smartphone mit Fingerabdruck- oder Gesichtserkennung.

Dabei wird kein Passwort übertragen oder gespeichert. Stattdessen wird ein Schlüsselpaar verwendet: Der Server kennt nur den öffentlichen Schlüssel, der private Schlüssel bleibt beim Nutzer. Synchronisierte Passkeys werden Ende-zu-Ende-verschlüsselt über die Cloud des Anbieters (etwa Apple, Google, Microsoft oder einen Passwortmanager) auf mehrere Geräte verteilt; gerätegebundene Passkeys, etwa auf FIDO2-Sicherheitsschlüsseln, verbleiben auf einem Gerät. Selbst wenn Angreifer die Server kompromittieren, erbeuten sie keine verwertbaren Anmeldedaten. Google, Apple und Microsoft unterstützen Passkeys bereits breit.

Auch biometrische Verfahren gewinnen an Bedeutung. Sie bieten Komfort: kein Vergessen, kein Zettel unter der Tastatur. Moderne Systeme kombinieren biometrische Entsperrung mit Hardware-Sicherheit, zum Beispiel über FIDO2-kompatible Schlüssel. Datenschutzrechtlich ist zu unterscheiden: Bei Passkeys erfolgt der biometrische Abgleich nur lokal auf dem Gerät, der Arbeitgeber verarbeitet keine Biometriedaten. Zentrale biometrische Systeme verarbeiten dagegen besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und sind im Beschäftigungsverhältnis nur eingeschränkt zulässig; Beschäftigten sollte eine Alternative angeboten werden.

Zentralisiertes Identitätsmanagement

Neben der Art der Anmeldung spielt auch die Verwaltung der Benutzerkonten eine entscheidende Rolle. Viele KMU verwalten Zugänge noch manuell, was zu überflüssigen oder veralteten Konten führt – ein erhebliches Sicherheitsrisiko.

Ein zentrales Identitäts- und Zugriffsmanagement (IAM) sorgt dafür, dass alle Konten, Rechte und Geräte zentral verwaltet und regelmäßig überprüft werden. Besonders effektiv ist die Kombination aus IAM und Single Sign-On (SSO): Mitarbeitende melden sich einmal an und erhalten automatisiert Zugriff auf alle freigegebenen Anwendungen – sicher, nachvollziehbar und effizient.

Praxisbeispiel

Ein anonymisiertes Beispiel: Ein mittelständisches Ingenieurbüro führte MFA und Passkeys für alle Mitarbeitenden ein. Alte Passwortlisten wurden abgeschafft, und die Anmeldung erfolgt nun per Fingerabdruck oder Sicherheitsschlüssel. Gleichzeitig wurde ein rollenbasiertes Berechtigungssystem eingerichtet.

Das Ergebnis: Phishing-Angriffe auf Zugangsdaten laufen seither ins Leere, und der Supportaufwand für vergessene Passwörter ist gesunken.

Sicherheitskultur statt Passwortpflicht

Der Umstieg auf moderne Authentifizierung erfordert nicht nur Technik, sondern auch Aufklärung. Mitarbeitende sollten verstehen, warum Passwörter unsicher sind und wie neue Verfahren funktionieren. Ein klar kommunizierter Sicherheitsprozess erhöht die Akzeptanz und verringert Widerstände.

Wichtig ist, schrittweise vorzugehen: Zuerst MFA, dann zentrale Verwaltung, anschließend Passkeys und biometrische Verfahren. So lässt sich der Wandel organisatorisch und technisch gut umsetzen.

Fazit

Das Passwort als alleiniger Schutz gehört der Vergangenheit an. Ganz verschwinden wird es auf absehbare Zeit nicht, etwa bei Altanwendungen, lokalen Konten oder der Wiederherstellung. Dort gilt die BSI-Empfehlung: lange, einzigartige Passwörter, ein Passwortmanager und keine anlasslosen Wechselpflichten. Wer heute noch allein auf klassische Anmeldeverfahren setzt, riskiert Datenverluste und hohe Kosten im Schadensfall. Moderne Identitätsstrategien wie MFA, Passkeys und Biometrie bieten nicht nur mehr Schutz, sondern auch mehr Komfort und Transparenz.

Gerade für KMU sind diese Lösungen heute oft mit überschaubarem Aufwand einzuführen und ein wichtiger Schritt zu mehr Informationssicherheit.

Ihr nächster Schritt

Wir zeigen Ihnen, wie Sie Ihr Unternehmen schrittweise auf moderne Authentifizierungsverfahren umstellen – sicher, datenschutzgerecht geplant und benutzerfreundlich. Von der Analyse bis zur Umsetzung begleiten wir Sie.

Jetzt Termin für eine Beratung zu sicheren Identitätsstrategien vereinbaren. https://dr-informationssicherheit.de/termin-vereinbaren/