Was ist passwortlose Authentifizierung?

Bei der passwortlosen Authentifizierung werden Benutzeridentitäten ohne Passwörter oder andere wissensbasierte Faktoren oder Informationen überprüft. Stattdessen überprüft das Sicherheitsteam die Identität eines Benutzers entweder anhand eines Authentifizierungsfaktors vom Typ "etwas, das Sie haben", d. h. eines Objekts, das den Benutzer eindeutig identifiziert (z. B. ein mobiler Zugangsschlüssel oder ein Hardwaresicherheitsschlüssel), oder eines Faktors vom Typ "etwas, das Sie sind" (z. B. Biometrie, einschließlich Fingerabdruck oder Gesichtsscan). Bei Verwendung zur Vervollständigung Multi-Faktor-Authentifizierung (MFA)-Anforderungen und mit einmalige Anmeldung (SSO)-Lösungen kann die passwortlose Authentifizierung die Benutzerfreundlichkeit verbessern, die Sicherheit erhöhen und die Kosten und Komplexität des IT-Betriebs reduzieren. Darüber hinaus reduziert die passwortlose Authentifizierung das Volumen des Helpdesks, steigert die Produktivität durch schnellere Anmeldezeiten und gibt IT-Teams Zeit für höherwertige Aufgaben, da keine Passwörter mehr vergeben, geändert, gespeichert oder zurückgesetzt werden müssen.

Sowohl MFA als auch die passwortlose Authentifizierung erhöhen die Sicherheit, indem sie von den Benutzern mehr als nur ein Passwort verlangen, um ihre Identität zu verifizieren. Sie unterscheiden sich jedoch in einem wichtigen Punkt: MFA erhöht die Sicherheit, indem Benutzer zwei oder mehr unabhängige Faktoren angeben müssen, um ihre Identität zu verifizieren - aber einer dieser Faktoren ist sehr wahrscheinlich ein Kennwort.

Andererseits werden bei der passwortlosen Authentifizierung Passwörter vollständig vermieden, so dass die mit Passwörtern verbundenen Schwachstellen und der damit verbundene Verwaltungs- und Helpdesk-Aufwand vollständig entfallen.

Leicht zu hacken

Im Gegensatz zu Besitz und inhärenten Faktoren basiert die herkömmliche Authentifizierung ausschließlich auf etwas, das der Benutzer kennt, wie z. B. ein Passwort, das von Natur aus anfällig für Wiederverwendung, Diebstahl und Phishing ist. Die 2025 Verizon Data Breach Investigations Report fand heraus, dass im Jahr 2024 2,8 Millionen Passwörter an die Öffentlichkeit gelangten oder kompromittiert wurden und 54% der Ransomware direkt mit Passwörtern in Verbindung gebracht wurden.

Ständiges Management

Sowohl die IT-Mitarbeiter als auch die Benutzer müssen ständig Passwörter verwalten. Für den Durchschnittsnutzer ist es zumindest lästig, den Überblick über die zahlreichen Passwörter unterschiedlicher Komplexität zu behalten, und oft eine Herausforderung. Vergessene Passwörter können die Arbeit verzögern oder Kontosperrungen auslösen. Um sich die Passwörter besser merken zu können, verwenden sie sie oft für mehrere Konten oder schreiben sie auf, was ein ohnehin schon schwaches System noch weiter gefährdet. Die Wiederverwendung von Passwörtern kann auch die Auswirkungen von Hijacking, Phishing und Datenschutzverletzungen vervielfachen, da es einem Angreifer möglich ist, mit einem einzigen gestohlenen Passwort mehrere Konten zu entsperren.

Die hohen Kosten von Passwörtern

Für IT-Mitarbeiter kann die Verwaltung von Kennwortrücksetzungen selbst für rechtmäßige Benutzer eine teure und zeitaufwändige Tätigkeit sein. In größeren Unternehmen können bis zu 50 Prozent der IT-Helpdesk-Kosten entfallen auf das Zurücksetzen von Passwörtern; das kann sich auf mehr als $1 Mio. an jährlichem Personalaufwand belaufen, nur um Mitarbeitern beim Zurücksetzen ihrer Passwörter zu helfen. Das Zurücksetzen von Passwörtern lenkt auch von höherwertigen Plänen für die digitale Transformation oder die Verteidigung gegen ausgeklügelte Cyberangriffe ab.

Sicherheit

Schwache oder gestohlene Anmeldedaten gehören zu den häufigsten und schädlichsten Bedrohungen für Unternehmen. Die Website IBM Bericht über die Kosten einer Datenpanne stellte fest, dass Phishing eine der häufigsten Ursachen für Datenschutzverletzungen war, die durchschnittlich $4,88 Millionen kostete und deren Eindämmung durchschnittlich 261 Tage dauerte. Angesichts der Tatsache, dass Phishing-Angriffe auf Anmeldeinformationen im Allgemeinen und Passwörter im Besonderen abzielen, unterstreicht diese Statistik das erhebliche Cybersicherheitsrisiko, das Passwörter für Unternehmen darstellen, sowie die Bedeutung der Implementierung passwortloser Lösungen.

Wenn Passwörter kompromittiert werden, sind Unternehmen ernsthaften Risiken ausgesetzt, die zu Datendiebstahl, finanziellen Verlusten und Rufschädigung führen können. Die Priorisierung von Richtlinien für sichere Zugangsdaten und die Umstellung auf passwortlose Systeme sind wichtige Schritte, um diese häufigen und vermeidbaren Schwachstellen zu vermeiden.

Benutzererfahrung

Was die Benutzerfreundlichkeit anbelangt, so verwaltet der durchschnittliche Unternehmensbenutzer eine schwerfällige 87 Passwörter für arbeitsbezogene Konten, Dies stellt sowohl eine Belastung als auch ein Sicherheitsrisiko dar. Die Website 2025 RSA ID IQ Bericht ergab, dass mehr als 51% aller Befragten ihre Passwörter täglich sechsmal oder öfter eingeben mussten. Sich mehrere Passwörter zu merken und im Auge zu behalten, kann zu schlechten Praktiken führen, wie z. B. der Wiederverwendung von Passwörtern oder ihrer unsicheren Speicherung, was die Cybersicherheitsrisiken von Unternehmen weiter erhöht. Die Vereinfachung der Benutzerauthentifizierung erhöht nicht nur die Sicherheit, sondern verbessert auch die alltägliche Erfahrung der Mitarbeiter, indem sie Frustrationen abbaut und eine bessere Passworthygiene fördert.

Gesamtbetriebskosten

Die Gesamtbetriebskosten für die Passwortverwaltung sind hoch, da Anfragen zum Zurücksetzen von Passwörtern bis zu 50% des Anrufvolumens beim IT-Helpdesk ausmachen. Jede Rücksetzungsanfrage verschlingt Zeit und Ressourcen, die sonst für strategischere IT-Initiativen verwendet werden könnten. Durch sicherere und effizientere Authentifizierungsmethoden kann die Anzahl der Passwortrücksetzungen reduziert und die betriebliche Effizienz verbessert werden, so dass IT-Mitarbeiter für wichtigere Aufgaben zur Verfügung stehen.

Die passwortlose Authentifizierung bietet eine einzige, starke Sicherheit der Benutzeridentität. Für Unternehmen bedeutet dies:

• Bessere Benutzerfreundlichkeit: Die Benutzer müssen sich nicht mehr an komplexe Kennwort- und Benutzernamenkombinationen erinnern und diese aktualisieren, nur um produktiv zu sein. Mit der optimierten Authentifizierung können sich die Benutzer schneller und mit weniger Frustration anmelden.
• Stärkere Sicherheitsvorkehrungen: Ohne benutzerkontrollierte Passwörter gibt es keine Passwörter mehr, die gehackt werden können, wodurch eine ganze Klasse von Schwachstellen und eine wichtige Quelle für Datenschutzverletzungen beseitigt wird.
• Senkung der Gesamtbetriebskosten (TCO): Passwörter sind teuer und erfordern eine ständige Überwachung und Pflege durch IT-Mitarbeiter. Durch die Abschaffung von Passwörtern entfällt die Notwendigkeit, sie auszustellen, zu sichern, zu rotieren, zurückzusetzen und zu verwalten; dadurch verringert sich das Volumen der Helpdesk- und Support-Tickets und die IT-Abteilung kann sich um dringendere Probleme kümmern.
• IT-Kontrolle und Transparenz: Phishing, Wiederverwendung und gemeinsame Nutzung sind häufige Probleme in passwortgeschützten Systemen. Mit der passwortlosen Authentifizierung erhält die IT-Abteilung einen vollständigen Überblick über die Identitäts- und Zugriffsverwaltung.
• Verwaltung des Lebenszyklus von Berechtigungsnachweisen in großem Umfang: Unternehmenstaugliche passwortlose Lösungen umfassen oft Tools zur Verwaltung des gesamten Lebenszyklus von Authentifikatoren - wie FIDO-Passkeys und mobile Berechtigungsnachweise - für verschiedene Benutzergruppen. Dies ermöglicht ein sicheres Onboarding, den Entzug und die Wiederherstellung für Mitarbeiter, Auftragnehmer und Benutzer mit hohen Rechten.

Durchsetzung von Richtlinien in hybriden Umgebungen

Einer der Hauptvorteile der passwortlosen Authentifizierung ist die Möglichkeit, eine zentralisierte Zugriffskontrolle für Cloud-, Hybrid- und lokale Anwendungen zu unterstützen. Anstatt mehrere Identitätssysteme zu verwalten oder Richtlinien zu duplizieren, können Unternehmen passwortlose Authentifizierung innerhalb einer einheitlichen Identitätsarchitektur implementieren. Dadurch können IT- und Sicherheitsteams granulare Zugriffsrichtlinien definieren und durchsetzen, wie z. B. rollenbasierte Berechtigungen, kontextbezogene Risikobewertungen und standortbezogene Authentifizierung. Darüber hinaus trägt die Tatsache, dass ein einziger Anbieter sowohl Hardware als auch Software für mehrere Anwendungsfälle bereitstellt, dazu bei, ein einheitliches Benutzererlebnis zu gewährleisten.

Wie der Name schon sagt, entfällt bei der passwortlosen Authentifizierung das Merken von Passwörtern als Voraussetzung für die Überprüfung. Stattdessen authentifizieren die Benutzer ihre Identität mit sichereren Methoden wie:

• Generierte Einmal-Passcodes (OTPs)
• Mobiler Hauptschlüssel
• QR-Code
• Code-Abgleich
• FIDO2-Sicherheitsschlüssel
• Biometrische Daten zur Vervollständigung des Authentifizierungsprozesses

Die kennwortlose Authentifizierung verwendet eine Reihe von Authentifizierungs- und Verschlüsselungsprotokollen. Ein wesentlicher Unterschied zwischen passwortloser und herkömmlicher Authentifizierung besteht darin, dass passwortlose Anmeldedaten im Gegensatz zur herkömmlichen Authentifizierung nicht festgelegt oder wiederverwendet werden. Stattdessen werden zu Beginn einer jeden Sitzung neue Authentifizierungsdaten generiert.

Cybersicherheitsstandards und -vorschriften sind für die Validierung moderner Authentifizierungsansätze von entscheidender Bedeutung. Sie können Teams bei der Entscheidung helfen, welche Authentifizierungs- oder Anmeldemethoden es wert sind, in sie zu investieren, sie zu entwickeln und einzuführen. In Behörden, Banken und anderen hochgradig regulierten, komplexen Umgebungen können sie auch als Richtschnur für die Systementwicklung und Audit-Checklisten dienen.

Unternehmen, die eine passwortlose Authentifizierung erfolgreich implementieren möchten, können sich an einer Reihe von Frameworks orientieren, um die Beschaffung, Architektur und Implementierung in regulierten oder sicherheitsorientierten Umgebungen zu steuern. Zero Trust optimal und fortgeschrittene Stufen erfordern beispielsweise eine Phishing-resistente passwortlose Authentifizierung, wie z. B. einen Passkey oder Sicherheitsschlüssel.

Einhaltung von NIST 800-63

• NIST SP 800-63-3 enthält Richtlinien zur digitalen Identität für US-Bundesbehörden und kritische Infrastrukturbereiche.
• Die passwortlose Authentifizierung unterstützt Authentication Assurance Levels (AAL2 und AAL3).
• RSA unterstützt die Multi-Faktor-Authentifizierung mit phishing-resistenten Authentifikatoren, die AAL3 entsprechen.
• Methoden wie FIDO2, Biometrie, kryptografische Token können auf die NIST-Empfehlungen abgebildet werden.

FIDO2 und Phishing-Widerstand

• RSA unterstützt die Standards FIDO2 und WebAuthn für Hardware- und Software-Authentifikatoren.
• FIDO2 eliminiert gemeinsame Geheimnisse (keine gespeicherten Passwörter)
• FIDO-zertifizierte Hardware (z. B. RSA iShield Key 2) erfüllt die Anforderungen von Unternehmen.
• Zu den unterstützten Anwendungsfällen gehören die Anmeldung an Arbeitsplätzen, Webanwendungen und Cloud SSO.

Ausrichtung der Zero Trust Architecture (ZTA)

• Zero Trust setzt kein implizites Vertrauen in Benutzer oder Geräte voraus - die Identität wird kontinuierlich überprüft.
• Phishing-resistente passwortlose (gerätegebundene Passkeys und Sicherheitsschlüssel) unterstützen kontinuierliche Authentifizierung, Gerätebindung und kontextbezogenen Zugriff.
• RSA integriert Risikobewertung, Verhaltensanalyse und adaptive Authentifizierung, um Zero Trust-Zugangsentscheidungen durchzusetzen.
• ZTA ist in umfassendere IAM/GRC- und Endpunktsicherheitsstrategien eingebunden.

Bereitschaft für Governance, Risiko und Compliance (GRC)

• Eine starke Authentifizierung ist eine Voraussetzung für die Einhaltung von HIPAA, PCI-DSS, CJIS und anderen Vorschriften.
• Passwordless hilft, den Umfang von Audits und den Kontrollaufwand zu reduzieren, da Passwortrotation, Rücksetzprotokolle und Speicherrichtlinien entfallen.
• RSA bietet Prüfprotokolle und Metriken zur Identitätssicherung.

Um von einer passwortbasierten Herangehensweise zu einer passwortlosen Zukunft zu gelangen, sollten Sie einen Schritt nach dem anderen machen, indem Sie die folgenden Punkte beachten beste Praktiken für die Umsetzung:

1. Verfolgen Sie einen schrittweisen Ansatz, der für die Benutzer einfach ist. Beginnen Sie mit einem Zugangspunkt oder einer Benutzergruppe und erweitern Sie diese dann, um den Benutzern Zeit zu geben, sich mit dem System vertraut zu machen.
2. Legen Sie den Schwerpunkt sowohl auf Komfort als auch auf Sicherheit. Je einfacher eine Authentifizierungsmethode zu handhaben ist, desto wahrscheinlicher ist es, dass sich die Nutzer an die Richtlinien halten.
3. Wenden Sie starke Authentifizierung zuerst an den Schwachstellen an. Wo sind Sie bei der herkömmlichen Authentifizierung am meisten gefährdet? Fangen Sie dort an.
4. Behalten Sie Ihr Ziel im Auge. Stetige Verbesserungen machen sich bezahlt.

Unternehmen, die in komplexen IT-Umgebungen arbeiten, die Cloud-, Hybrid-, On-Premises- und Legacy-Infrastrukturen umfassen, sollten sich bei der Evaluierung passwortloser Lösungen die folgenden Fragen stellen:

Wie kann die passwortlose Authentifizierung in hybriden und Multi-Cloud-Umgebungen skaliert werden, ohne dass die bestehende Infrastruktur komplett neu aufgebaut werden muss?

Um die Sicherheit zu erhöhen und die Kosten zu kontrollieren, sollten Unternehmen, die in komplexen Umgebungen arbeiten, passwortlosen Lösungen den Vorzug geben, die jeden Benutzer überall unterstützen können. Ohne eine unternehmenstaugliche Lösung, müssten Unternehmen punktuelle passwortlose Funktionen für einzelne Benutzergruppen und Umgebungen implementieren. Diese Nischenlösungen weisen Sicherheitslücken auf, sind für die Benutzer umständlich zu verwalten und für die Sicherheits- und Finanzteams ineffizient zu handhaben.

Unternehmenstaugliche passwortlose Lösungen beseitigen diese Ineffizienzen. Durch den Einsatz einer passwortlosen Lösung in allen Umgebungen verbessern Unternehmen ihre Sicherheit, indem sie einen umfassenden Einblick in alle Authentifizierungen erhalten und Richtlinien in großem Umfang durchsetzen können. Die besten passwortlosen Lösungen ermöglichen es Unternehmen, ihre bestehenden und vor Ort getätigten Investitionen beizubehalten, ohne sie durch neue zu ersetzen.

Kann eine passwortlose Lösung konsistente Sicherheit und Benutzerfreundlichkeit für Mitarbeiter vor Ort und an anderen Standorten bieten?

Um konsistente Sicherheit und Benutzerfreundlichkeit zu gewährleisten, benötigen Unternehmen eine Lösung auf Unternehmensebene, die jeden Benutzer in jeder Umgebung unterstützt. Das Fehlen einer unternehmensübergreifenden Lösung führt dazu, dass Unternehmen Punktfunktionen für einzelne Benutzergruppen und Umgebungen bereitstellen müssen. Diese Punktlösungen bieten keine einheitliche Benutzererfahrung und schaffen Sicherheitslücken.

Anpassbare Richtlinienkontrollen für Governance und Compliance

Eine erfolgreiche passwortlose Strategie hängt nicht nur von der Verwendung starker Authentifizierungsmethoden ab, mit denen festgestellt werden kann, wer Zugriff hat, sondern auch von der Anpassung der Zugriffsrichtlinien an die Anforderungen des Unternehmens, um sicherzustellen, dass der Benutzer Zugriff auf die richtigen Ressourcen hat. Viele passwortlose Lösungen bieten konfigurierbare Richtlinien-Engines, die es Sicherheits- und Compliance-Teams ermöglichen, rollenbasierte Berechtigungen zu definieren, die Aufgabentrennung zu erzwingen und Zugriffskontrollen an spezifische Governance-Anforderungen anzupassen. Diese Kontrollen sind in regulierten Umgebungen unerlässlich, in denen Nachvollziehbarkeit, Zugriff mit geringsten Rechten und bedingte Authentifizierung mit internen Richtlinien und externen Standards übereinstimmen müssen.

Viele Unternehmen verlassen sich auf eine geschäftskritische Infrastruktur, die mit lokalen Identitätsanbietern wie Active Directory oder LDAP verbunden ist. Eine flexible passwortlose Lösung sollte in der Lage sein, sich in diese Altsysteme zu integrieren und gleichzeitig auch Cloud-Verzeichnisse zu unterstützen. Diese Interoperabilität sorgt für einen reibungsloseren Übergang, indem sie die moderne Authentifizierung auf die bestehende Infrastruktur ausweitet und so Unterbrechungen minimiert und es IT-Teams ermöglicht, den Identitätszugriff zu vereinheitlichen, ohne ein komplettes System zu ersetzen.

Die Ausfallsicherheit ist für passwortlose Lösungen von entscheidender Bedeutung, um sicherzustellen, dass sie auch bei Angriffen oder anderen potenziellen Betriebsunterbrechungen weiterhin zuverlässig arbeiten können. Regulatorische Rahmenbedingungen wie DORA und NIS2 enthält entsprechende Leitlinien für Bereiche wie die Meldung von Zwischenfällen, die Geschäftskontinuität und die Sicherheit von Dritten.

RSA bietet die weltweit am weitesten verbreiteten MFA-Funktionen, die von sicherheitsbewussten Unternehmen auf der ganzen Welt vor Ort und in der Cloud eingesetzt werden. MFA von RSA umfasst:

• Eine breite Palette von passwortlose Authentifizierung Optionen, einschließlich der FIDO-zertifizierten RSA iShield Key 2-Serie und der RSA Authenticator App 4.5 für iOS- und Android-Mobilgeräte; Push-to-Approval, Code-Matching; Fingerabdruck- und Gesichtsbiometrie; "bring your own authenticator"; und Hardware-Tokens, die den Goldstandard für Jede dieser Lösungen bietet phishing-resistente Funktionen, mit denen sich Benutzer bei Cloud/SaaS- oder webbasierten Anwendungen sowie bei Windows- und macOS-Rechnern anmelden können.
• RSA Ready Partnerbeziehungen mit FIDO-Authentifizierung führend, und gewährleistet so die sofortige Interoperabilität mit FIDO-basierten passwortlosen Lösungen.
• Die Risikobewertung basiert auf fortschrittlicher künstlicher Intelligenz und maschinellem Lernen, das das Zugriffsrisiko auf der Grundlage verschiedener Signale wie Geschäftskontext, Geräteattribute und Verhaltensanalysen berechnet und die Authentifizierung entsprechend verstärkt oder blockiert. Die passwortlose Umgebung von RSA lässt sich auch mit SOC-Tools wie Splunk integrieren.
• Geschützte Self-Service-Optionen für die Verwaltung von Anmeldeinformationen, die passwortabhängige Arbeitsabläufe überflüssig machen, um die Sicherheit beim Onboarding, bei der Wiederherstellung von Anmeldeinformationen und beim Zugriff in Notfällen zu erhöhen.
• Ständig verfügbare, starke Authentifizierung mit 99,99%+ Verfügbarkeit und einer einzigartigen Multiplattform hybride Ausfallsicherung eine Funktion, die einen sicheren und bequemen Zugang gewährleistet, auch wenn die Netzwerkverbindung unterbrochen ist

Was bedeutet es, ohne Passwort zu arbeiten?

Die passwortlose Authentifizierung bedeutet, dass Passwörter als Authentifizierungsmethode abgeschafft werden und die Benutzeridentität durch sicherere Faktoren wie biometrische (etwas, das Sie sind) oder besitzbasierte Faktoren (etwas, das Sie haben) wie registrierte Mobilgeräte oder Hardware-Tokens überprüft wird. Durch die passwortlose Authentifizierung müssen sich die Benutzer keine Passwörter mehr merken, zurücksetzen oder verwalten, während sie gleichzeitig einen besseren Schutz gegen Phishing- und Credential-basierte Angriffe bietet. Mit RSA können Unternehmen die passwortlose Authentifizierung schrittweise einführen, wobei sie mit Bereichen mit hohem Risiko beginnen und diese dann auf das gesamte Unternehmen ausweiten.

Welche Technologie wird üblicherweise für die passwortlose Authentifizierung verwendet?

Passwortlose Authentifizierungslösungen nutzen eine Kombination aus sicheren Technologien, darunter FIDO2-Sicherheitsschlüssel, Biometrie (Fingerabdruck oder Gesichtserkennung), mobile Push-Benachrichtigungen, gerätegebundene Anmeldeinformationen und Einmal-Passcodes (OTPs). Zu den passwortlosen Optionen von RSA gehören die RSA iShield Key 2 Series für phishing-resistente Hardware-Authentifizierung sowie mobile Passkeys über die RSA Authenticator App. Diese Technologien sind mit Frameworks wie NIST 800-63, FIDO2 und Zero Trust Architecture abgestimmt, um einen sicheren und skalierbaren Einsatz in hybriden Umgebungen zu gewährleisten.

Ist passwortloses Arbeiten wirklich sicherer?

Ja, die passwortlose Authentifizierung ist wesentlich sicherer als herkömmliche passwortbasierte Methoden. Passwörter sind oft das schwächste Glied in der Sicherheit, da sie gefälscht, gestohlen, wiederverwendet oder durch Ausprobieren erzwungen werden können. Durch die vollständige Abschaffung von Passwörtern, RSA passwortlose Lösungen entfernen einen wichtigen Angriffsvektor und schützen vor Phishing, Credential Stuffing und Man-in-the-Middle-Angriffen. Phishing-resistente Authentifikatoren, gerätegebundene Anmeldedaten und biometrische Verifizierung stellen sicher, dass nur verifizierten Benutzern Zugriff gewährt wird, wodurch das Risiko von Angriffen auf Anmeldedaten drastisch reduziert wird.