Fido: Sind Passwörter bald ein Relikt?

Passwörter sollen lang und kompliziert sein, regelmäßig geändert und nicht mehrfach benutzt werden. Das wissen zwar viele Internetnutzer, halten sich aber nur selten daran - was Cyberkriminellen die Arbeit erheblich erleichtert. "Passwörter will keiner mehr", fasst Bernd Kowalski vom Bundesamt für Sicherheit in der Informationstechnik (BSI) die Expertensicht zusammen.

Fachleute suchen deshalb nach Wegen, das Anmelden im Internet sicherer und zugleich simpel zu gestalten. Ein vielversprechendes Projekt ist die Fido-Allianz, in der große IT-Unternehmen mitwirken. Setzt sich ihr Ansatz durch, könnte das herkömmliche Passwort der Vergangenheit angehören.

Fido steht für "Fast Identity Online", auf deutsch "Schnelle Identität im Internet". Zusammengeschlossen haben sich hier unter anderem der Bezahldienst PayPal, der Computerhersteller Lenovo und der Technologiekonzern Infineon. Inzwischen sind Internet- und Technologie-Riesen wie Google, Microsoft und Samsung sowie die Kreditkartenanbieter Visa und Mastercard ebenfalls mit an Bord.

Die Idee hinter Fido ist, neue Standards für die Authentifizierung im Internet durchzusetzen. Die vergleichsweise unsichere Variante "Benutzername plus Passwort" soll abgelöst werden. Hier gibt es bereits diverse Ansätze, zum Beispiel das Einmalpasswort, bei dem für jeden Anmeldevorgang ein neuer Code generiert wird. Auch dieses System gilt aber als anfällig. Mehr Zuspruch von Experten findet die sogenannte Zwei-Faktor-Authentifizierung. Ein Beispiel ist das Abheben am Bankautomaten: Damit Geld ausgespuckt wird, muss der Nutzer neben der Bankkarte die dazu passende PIN kennen.

Fido will Passwörter abschaffen

Im Netz geht Zwei-Faktor-Authentifizierung häufig so: Ein Nutzer meldet sich am Computer mit Benutzername und Passwort auf einer Internetseite an und bekommt sofort einen Hinweis auf sein Handy, dass gerade ein Einlog-Versuch unternommen wird. Erst wenn der Benutzer den Vorgang auf dem Handy freigibt, wird das Einloggen am Rechner fortgesetzt. Unter anderem für Facebook und Twitter gibt es solche Verfahren bereits.

Fido will nun einerseits sichere Verfahren durchsetzen und andererseits verhindern, dass sich Nutzer dabei für unterschiedliche Dienste mit unterschiedlichen Anwendungen herumschlagen müssen. "Der Schlüssel für eine breite Akzeptanz ist Einfachheit", betonte kürzlich bei einer Fido-Veranstaltung in Berlin der Geschäftsführer der zur Bundesdruckerei gehörenden D-Trust GmbH, Kim Nguyen. Die neuen Authentifizierungsvarianten müssten für Nutzer attraktiv sein - "die Leute müssen das wollen". Auch Fabian Bahr vom Technologiekonzern Giesecke & Devrient betonte, die "sehr geringen Eintrittshürden" für die Nutzer seien von großer Bedeutung.

Apple macht bei Fido nicht mit

Die Allianz hat Standards entwickelt, die für jeden Anbieter nutzbar sind. Es gibt eine Zwei-Faktor-Variante und eine, bei der gar kein Passwort mehr gebraucht wird. Die Nutzer bestätigt seine Identität entweder mit einem biometrischen Merkmal, klassischerweise einem Fingerabdruck - die Skepsis gegenüber solchen Techniken ist allerdings in Deutschland und Europa recht groß. Alternativ können Nutzer auch ein sogenanntes Token verwenden. Das kann zum Beispiel ein spezieller USB-Stick oder eine Chipkarte sein. Idealerweise soll am Ende nur noch ein Token für alle Dienste genutzt werden können. Dieses kann zum Beispiel auch ins Smartphone eingebaut werden.

"Entscheidend ist die Marktverbreitung", betont Kowalski vom BSI. Hier sei Fido dank der Teilnahme diverser Branchen-Schwergewichte der vielversprechendste Ansatz. "Die Fido Allianz ist unsere bislang beste Chance" für gute und praktikable Authentifizierungsstandards, sagt auch Chester Wisniewski vom Sicherheitssoftwarehersteller Sophos der Nachrichtenagentur AFP. Das System sei für den Durchschnittsverbraucher einfach genug und die Tokens seien auch nicht zu teuer.

Das zentrale Problem bei Fido ist bislang noch die begrenzte Zahl von Anbietern, die die Standards der Allianz verwenden. Ein Branchenriese ist außen vor - und wird es wohl auch bleiben: Apple. Der US-Konzern baut lieber seine eigenen Lösungen. afp