Warum müssen wir weltweit Passwörter abschaffen?

Laut Gulf News werden „weltweit schätzungsweise 300 Milliarden Passwörter von Menschen und Maschinen verwendet. Das ist fast 40-mal mehr als die Zahl der Menschen auf der Erde.“

Passwörter sind die weltweit am häufigsten verwendete Authentifizierungsmethode.

Warum sind Passwörter schlecht für Ihre Sicherheit?

Die Verwendung einfacher Passwörter ist ebenfalls ein Grund für Sicherheitsrisiken. Da nur wenige Wörter im Wörterbuch und wenige Ziffern und Sonderzeichen vorhanden sind, lassen sich viele Passwörter leicht erraten. Sollte Ihr Passwort zudem in einem Passwort-Leak aufgetaucht sein, ist es für Hacker leichter zu entdecken. Viele Menschen wechseln ihre Passwörter auch nicht regelmäßig.

Laut einem Bericht von LastPass haben 53 % der Befragten ihre Passwörter im letzten Jahr nicht geändert, selbst nachdem sie in den Nachrichten von einem Datenleck gehört hatten . 42 % geben zudem an, dass ihnen ein leicht zu merkendes Passwort wichtiger ist als ein besonders sicheres.

Viele Menschen wählen einfache Passwörter, um sie sich nicht merken zu müssen. SplashData analysierte über 5 Millionen geleakte Passwörter und kam zu dem Schluss, dass 10 % der Passwörter immer noch zu den 25 schlechtesten und häufigsten Passwörtern gehören.

Viele Menschen verwenden oft dasselbe Passwort für mehrere Konten und Websites. Das ist äußerst unsicher und nicht empfehlenswert. Für jedes neue Konto auf einer Vielzahl von Websites neue Passwörter zu erstellen, ist zudem mühsam. Dies führt dazu, dass viele immer wieder dieselben Passwörter verwenden. Dieses Szenario wird oft als Passwortmüdigkeit bezeichnet. Wikipedia erklärt dies wie folgt: „Das Gefühl, das viele Menschen verspüren, wenn sie sich im Alltag eine übermäßige Anzahl von Passwörtern merken müssen, z. B. um sich bei der Arbeit an einem Computer anzumelden, ein Fahrradschloss zu öffnen oder Bankgeschäfte am Geldautomaten zu erledigen.“

Was tun Organisationen, um dem entgegenzuwirken?

Um dieses Passwortproblem zu lösen, halten sich viele Organisationen an strenge Passwortrichtlinien. Sie schreiben eine Mindestlänge für Passwörter vor, verwenden Sonderzeichen und verwenden Groß- und Kleinbuchstaben in Kombination mit Zahlen. All dies trägt dazu bei, ein sicheres Passwort zu erstellen, das Endbenutzer verwenden können.

In den letzten Tagen haben viele Organisationen die Verwendung von MFA (Multi-Faktor-Authentifizierung) eingeführt, einem Authentifizierungsmechanismus, der die Authentifizierung eines Benutzers in mehreren Überprüfungsschritten ermöglicht. Normalerweise besteht der erste Schritt aus der Eingabe eines Passworts. Der zweite Schritt bietet verschiedene Optionen, wie z. B. einen Authentifizierungscode aus beliebten Authentifizierungsanwendungen (Google Authenticator, Microsoft Authenticator usw.) oder allgemein ein OTP, das an die registrierte Mobiltelefonnummer oder E-Mail-Adresse gesendet wird.

Wie die Authentifizierung passwortlos gemacht werden kann

Die Authentifizierung kann unabhängig von einem vorgegebenen Passwort auf folgende sechs Arten erfolgen

1. Biometrische Authentifizierung

   • Die biometrische Authentifizierung basiert auf einzigartigen biologischen Merkmalen des Menschen, die zur Authentifizierung der Identität des Benutzers verwendet werden. Als Authentifizierungsparameter werden physische Merkmale wie Tiefenscan des Gesichts, Fingerabdruck, Netzhautscan usw. verwendet.

2. Dedizierte Hardware-Sicherheitstoken

   • Es handelt sich um ein kleines Hardwaregerät, das zusätzliche Informationen speichert, die für die Authentifizierung bei einer Benutzeranmeldung oder einer Dienstauthentifizierung erforderlich sind. Die gespeicherten Zusatzinformationen sind in der Regel ein numerischer Code, der alle 30 Sekunden rotiert. Hardware-Token nutzen insbesondere Einmalkennwörter (OTPs), Multi-Faktor-Authentifizierung (MFA) oder Zwei-Faktor-Authentifizierung (2FA).
   • Ein dediziertes Sicherheitstoken, gekoppelt mit den folgenden Eigenschaften, macht das System des Benutzers sicherer vor Angriffen und Sicherheitsverletzungen:

     • Besitz

       Der Benutzer muss etwas wie ein Telefon oder eine Schlüsselkarte zur Hand haben, um auf das System zugreifen zu können.

     • Wissen

       Die erste Stufe der Authentifizierung ist das Passwort, das dem Benutzer bekannt sein muss.

     • Erbe

       Durch die Hinzufügung biometrischer Daten (wie Fingerabdruck oder Gesichtsscan) wird die Sicherheit erhöht.

3. Zertifikatbasierte Authentifizierung

   Digitale Zertifikate stellen eine weitere Authentifizierungsmethode dar. Ein Anwendungsfall für Zertifikate ist die Authentifizierung eines Systems in einem Unternehmensnetzwerk. Das installierte Zertifikat wird von der Zertifizierungsstelle (CA ) verifiziert . Die Vertrauenskette des Zertifikats spielt bei der Verifizierung von Zertifikaten eine wichtige Rolle.

4. PIV-Karten (Personal Identity Verification)

   Eine PIV- Karte ist eine von der US-Regierung ausgegebene Chipkarte, die die für den Zugang zu Bundeseinrichtungen und Informationssystemen erforderlichen Informationen enthält und ein akzeptables Sicherheitsniveau für alle nationalen Anwendungen gewährleistet.

5. Einmalpasswort (OTP)

   OTP ist eine alphanumerische Zeichenfolge, genauer gesagt ein Passcode, der automatisch für eine einmalige Transaktion oder Anmeldesitzung generiert wird. Ein großer Vorteil von OTP besteht darin, dass es nach einer bestimmten Zeit abläuft und somit nicht von Angreifern für böswillige Zwecke wiederverwendet werden kann.

6. Magische Links per E-Mail versenden

   Es handelt sich um spezielle Links, die an die E-Mail-Adresse des Benutzers gesendet werden, wenn dieser darauf klickt und sich authentifiziert. Die folgenden Schritte finden im gesamten System statt:

   • Die Website fordert die E-Mail-Adresse des Benutzers an
   • Der Benutzer gibt die E-Mail-Adresse ein
   • Die Website generiert ein Token und anschließend auch den Magic Link.
   • Die Anwendung sendet den magischen Link an die E-Mail-Adresse des Benutzers.
   • Wenn der Benutzer auf den Magic Link klickt, empfängt die Anwendung die Abfrage am Magic Link-Endpunkt und der Benutzer wird authentifiziert.

7. Authentifikator-Anwendungen

   Diese Drittanbieteranwendungen erstellen einen Einmalpasscode, der alle 30 Sekunden aktualisiert wird. Die Authentifizierungsanwendungen sind mit dem Konto verknüpft, für das wir die MFA eingerichtet haben.

Fazit

Mit jedem Tag wächst das Wissen und die Zahl der Hacker sowie die Wahrscheinlichkeit, dass ein einfaches Passwort erraten wird. Daher müssen Menschen und Organisationen auf sicherere Authentifizierungsformen wie 2FA oder Hardware-Token umsteigen. Dieser Weg wird jedoch einige Zeit in Anspruch nehmen. Daher ist das Bewusstsein für den Verzicht auf Passwörter auf dem Höhepunkt.