Sicherheitsschlüssel nach FIDO2: Auswahl und Einrichtung

Die Idee, den Zugang zu einem Rechner an einen Gegenstand zu binden, ist alt. Neu ist, wie sie umgesetzt wird. Frühere Lösungen legten eine Kennung auf einen USB-Stick und prüften, ob sie noch da ist – ein Verfahren, das sich mit einem präparierten Datenträger nachbilden lässt. Ein FIDO2-Sicherheitsschlüssel dreht das Prinzip um: Der geheime Schlüssel wird im Token erzeugt und verlässt ihn nie. Kopieren ist nicht vorgesehen und nicht möglich.

Was beim Anmelden tatsächlich passiert

Bei der Registrierung erzeugt der Token ein Schlüsselpaar. Der öffentliche Teil geht an den Dienst, der private bleibt im Chip. Bei jeder späteren Anmeldung schickt der Dienst eine Zufallsaufgabe, die der Token mit dem privaten Schlüssel signiert. Der Dienst prüft die Signatur gegen den öffentlichen Schlüssel.

Entscheidend ist der Zusatzschritt: In die Signatur fließt die Domain der aufgerufenen Seite ein. Ein Token, der für die echte Adresse registriert wurde, erzeugt auf einer nachgebauten Seite keine gültige Antwort. Damit fällt die häufigste Angriffsform weg – jemand baut eine täuschend echte Anmeldemaske nach und fängt die Eingabe ab. Bei Einmalcodes per SMS oder App funktioniert das, beim Sicherheitsschlüssel nicht.

Merksatz: Einmalcodes schützen davor, dass ein gestohlenes Passwort allein reicht. Sicherheitsschlüssel schützen zusätzlich davor, dass Sie den zweiten Faktor freiwillig an die falsche Seite geben.

Bauformen und Anschlüsse

Auswahlkriterien

1. Zertifizierung nach FIDO2 und WebAuthn. Nur damit funktioniert der Token bei allen Diensten, die den Standard unterstützen. Herstellereigene Verfahren binden Sie an einen Anbieter.
2. Anschlüsse Ihrer Geräte. Prüfen Sie Notebook, Desktop und Telefon, bevor Sie bestellen. Ein Adapter im Alltag führt dazu, dass der Schlüssel liegen bleibt.
3. Anzahl speicherbarer Zugänge. Für die Anmeldung ganz ohne Passwort legt der Token Daten ab. Günstige Modelle sind hier begrenzt, meist auf einige Dutzend Einträge.
4. Robustheit. Der Token hängt am Schlüsselbund. Ein vergossenes Gehäuse ohne Batterie und ohne bewegliche Teile überlebt das länger.
5. Zweites Exemplar verfügbar. Kaufen Sie zwei gleiche oder zwei kompatible Modelle. Ein Schlüssel allein ist keine Absicherung, sondern ein Ausfallrisiko.

Sicherheitshinweis: Kaufen Sie Sicherheitsschlüssel nur beim Hersteller oder bei autorisierten Händlern. Bei einem Token aus unklarer Quelle lässt sich nicht ausschließen, dass er manipuliert wurde – und Sie hätten keine Möglichkeit, das zu bemerken.

Einrichtung in der richtigen Reihenfolge

1. Beide Schlüssel bereitlegen. Registrieren Sie von Anfang an beide bei jedem Dienst. Ein später nachgetragener Ersatzschlüssel wird erfahrungsgemäß vergessen.
2. Mit dem wichtigsten Konto beginnen. Das ist fast immer das E-Mail-Postfach, weil darüber die Kennwörter aller anderen Dienste zurückgesetzt werden können.
3. PIN vergeben. Sie schützt den Token, falls er in fremde Hände gerät. Nach mehreren Fehlversuchen sperrt er sich.
4. Wiederherstellungscodes sichern. Ausdrucken und getrennt von den Schlüsseln aufbewahren. Nicht im Passwort-Manager, der eventuell selbst mit dem Token gesichert ist.
5. Schwächere Verfahren entfernen. Erst wenn beide Schlüssel nachweislich funktionieren, sollten SMS-Codes deaktiviert werden. Sonst bleibt der schwächste Weg der offene.
6. Zweiten Schlüssel auslagern. An einen anderen Ort als den ersten. Beide in derselben Tasche sind ein Schlüssel.

Wo die Grenzen liegen

Ein Sicherheitsschlüssel sichert die Anmeldung. Er sperrt keinen verlassenen Arbeitsplatz und verschlüsselt keine Daten. Für das erste ist die dynamische Sperre zuständig, für das zweite die Laufwerksverschlüsselung. Und nicht jeder Dienst unterstützt den Standard – bei denen, die es nicht tun, bleibt ein Passwort-Manager mit Einmalcodes die praktikable Antwort.

Wie sich die Windows-Anmeldung insgesamt absichern lässt, steht unter Windows-Anmeldung absichern. Die Vorgeschichte des Gedankens, einen Gegenstand als Schlüssel zu verwenden, finden Sie unter StickSecurity.