Passkeys und MFA: Das Ende der Passw\u00f6rter?
FIDO2, MFA-Fatigue, Phishing-resistente Authentifizierung: Ein vollst\u00e4ndiger Leitfaden zur passwortlosen Unternehmensauthentifizierung.
Passwörter sind seit 30 Jahren das schwächste Glied der Sicherheitskette. Wiederverwendet, durch Phishing gestohlen, bei Datenpannen exfiltriert, durch Brute Force erraten. Klassische MFA (SMS, TOTP) verbessert die Situation, bleibt aber verwundbar. Im Jahr 2026 ändern Passkeys und Phishing-resistente Authentifizierung endlich die Spielregeln.
FIDO2 und Passkeys verstehen
FIDO2: Der Standard
FIDO2 ist der Authentifizierungsstandard, der von der FIDO Alliance und dem W3C entwickelt wurde. Er basiert auf Public-Key-Kryptographie: Ein privater Schlüssel verbleibt auf Ihrem Gerät und wird nie an den Server übertragen. Die Authentifizierung erfolgt per kryptographischem Challenge-Response-Verfahren, wodurch gemeinsame Geheimnisse entfallen.
Passkeys: FIDO2 für alle
Passkeys sind die verbraucherfreundliche Implementierung von FIDO2. Der wesentliche Unterschied zu Hardware-Sicherheitsschlüsseln (YubiKey): Passkeys werden über die Cloud zwischen Ihren Geräten synchronisiert (iCloud Keychain, Google Password Manager, Windows Hello). Die Benutzererfahrung ist endlich reibungslos:
-
Kein Passwort zu merken
-
Biometrische Authentifizierung (Fingerabdruck, Face ID) oder lokale PIN
-
Native Phishing-Resistenz (der Passkey ist an die Domain gebunden)
-
Kein serverseitiges Geheimnis, das gestohlen werden könnte
Warum klassische MFA nicht mehr ausreicht
MFA-Fatigue: Der Angriff, der funktioniert
Der MFA-Fatigue-Angriff (oder MFA-Bombing) besteht darin, einen Benutzer mit Push-Benachrichtigungen zu bombardieren, bis er aus Ermüdung oder versehentlich akzeptiert. So wurden Uber und Cisco 2022 kompromittiert. Push-Benachrichtigungen allein sind nicht Phishing-resistent.
Echtzeit-Phishing (AitM)
Moderne Phishing-Kits (EvilGinx, Modlishka) fangen MFA-Token in Echtzeit über Adversary-in-the-Middle-Proxies ab. Der Benutzer gibt seine Anmeldedaten und seinen TOTP-Code auf einer gefälschten Seite ein, der Angreifer spielt sie sofort auf der echten Seite ab. TOTP und SMS schützen nicht vor diesem Angriff.
SIM-Swap
SMS-basierte MFA ist anfällig für SIM-Swap: Der Angreifer überzeugt den Mobilfunkanbieter, die Nummer auf eine neue SIM zu übertragen. Das NIST rät seit 2017 von SMS als Authentifizierungsfaktor ab.
Phishing-resistente Authentifizierung
Authentifizierung gilt als Phishing-resistent, wenn sie nicht wiedergegeben oder abgefangen werden kann, selbst wenn der Benutzer auf eine bösartige Seite umgeleitet wird. Nur zwei Technologien erfüllen diese Anforderung:
-
FIDO2/Passkeys: Der private Schlüssel verlässt nie das Gerät, die Authentifizierung ist an die Domain gebunden (Origin Binding)
-
Client-Zertifikate (mTLS): Authentifizierung per X.509-Zertifikat, das an das Gerät gebunden ist
Passkeys im Unternehmen einführen
-
Schritt 1: Inventarisieren Sie Ihre Anwendungen und deren FIDO2-Unterstützung. Die großen Identity Provider (Entra ID, Okta, Google Workspace) unterstützen Passkeys nativ
-
Schritt 2: Führen Sie im Hybridmodus ein (Passkey + Passwort als Fallback) für Pilotnutzer
-
Schritt 3: Eliminieren Sie schrittweise Passwörter für kompatible Nutzergruppen
-
Schritt 4: Erzwingen Sie Phishing-resistente MFA für kritische Zugriffe (Admin, VPN, Produktion)
ThreatClaw überwacht verdächtige Authentifizierungsversuche und erkennt MFA-Fatigue- und AitM-Angriffe. Unsere Sicherheitsplattform integriert sich mit Ihren bestehenden Identity Providern. Entdecken Sie unsere Kompetenzen und Angebote.
FAQ
Werden Passkeys Passwörter vollständig ersetzen?
Langfristig ja. Im Jahr 2026 unterstützen die meisten großen Dienste (Google, Microsoft, Apple, GitHub) Passkeys. Der vollständige Übergang wird für Legacy-Unternehmensanwendungen noch 3-5 Jahre dauern.
Was passiert, wenn ich mein Gerät verliere?
Synchronisierte Passkeys werden in der Cloud gesichert (iCloud, Google). Bei Hardware-Schlüsseln muss ein Backup-Schlüssel registriert werden. Im Unternehmensumfeld müssen Wiederherstellungsverfahren eingeplant werden.
Sind Passkeys wirklich Phishing-resistent?
Ja. Der Passkey ist kryptographisch an die Domain der Website gebunden. Wenn der Benutzer auf eine gefälschte Seite umgeleitet wird, aktiviert sich der Passkey einfach nicht. Es ist ein transparenter und automatischer Schutz.
Wird TOTP (Google Authenticator) noch empfohlen?
TOTP ist besser als SMS, bleibt aber anfällig für Echtzeit-AitM-Angriffe. Für kritische Zugriffe sollten Sie FIDO2/Passkeys bevorzugen. TOTP bleibt als sekundärer Faktor für Anwendungen mit mäßigem Risiko akzeptabel.
Verwandte Artikel
Eine rohe Liste aus IPs, Domains und Hashes ist leicht zu finden und nahezu wertlos. Der Wert liegt in der Auswahl des richtigen Feeds und in seinem Betrieb: Lizenz, Korroboration, Alterung und die Regel, die verhindert, dass Sie Ihr eigenes CDN blockieren.
Eine CVE erscheint, das Security-Advisory ist öffentlich, aber es existiert noch kein Nuclei-Template. So schreiben Sie ein sauberes: von der Tatsache ausgehen, die Matcher bauen und vor allem beweisen, dass es auf einem verwundbaren Ziel auslöst, ohne bei einem gepatchten Alarm zu schlagen.
Ein Bericht beschreibt eine Angriffstechnik oder die Ausnutzung einer CVE. Sie wollen sie in Ihren Logs erkennen. So schreiben Sie eine Sigma-Regel, die auf das echte Verhalten auslöst, ohne das SOC mit Fehlalarmen zu überfluten, und wie Sie es beweisen.
Sie erhalten eine Malware-Probe (ein DFIR-Einsatz, eine Sandbox, ein Feed. Sie wollen die ganze Familie in Ihrem Bestand erkennen. So schreiben Sie eine YARA-Regel, die die Bedrohung fängt, ohne bei legitimer Software auszulösen) und wie Sie es beweisen.