FIDO Authentifizierung

Wir wissen, dass die Ersteinrichtung entmutigend sein kann, vor allem, wenn Sie neu auf unserer Plattform sind. Deshalb haben wir eine Schritt-für-Schritt-Anleitung erstellt, die Sie durch jeden Schritt führt und sicherstellt, dass Sie sofort loslegen können.

FIDO (Fast Identity Online) ist ein offener Standard für starke Authentifizierung. Entwickelt wird er von der FIDO Alliance, einem internationalen Zusammenschluss führender Technologieunternehmen.

Ziel ist es, Passwörter als primären Authentifizierungsfaktor abzulösen und gleichzeitig die Sicherheit sowie den Benutzerkomfort zu erhöhen.

Heute unterstützen nahezu alle führenden Plattformen und Betriebssysteme FIDO2, darunter Microsoft, Apple, Google sowie zahlreiche Cloud- und Unternehmensanwendungen.

FIDO bietet Unternehmen zahlreiche Vorteile gegenüber klassischen Passwortverfahren:

• Schutz vor Phishing und Account-Übernahmen
• Keine gemeinsam genutzten Geheimnisse (Shared Secrets)
• Public-Key-Kryptografie statt Passwörter
• Weniger Passwort-Resets und Helpdesk-Aufwand
• Schnelle Anmeldung per Fingerabdruck, Face ID, PIN oder Security Key
• Offener, herstellerübergreifender Standard

Bei der Registrierung wird für jeden Benutzer ein eindeutiges kryptografisches Schlüsselpaar erstellt:

• Der private Schlüssel bleibt sicher auf dem Gerät oder Security Key gespeichert.
• Der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt.

Bei jeder Anmeldung sendet der Dienst eine kryptografische Anfrage (Challenge). Der Benutzer bestätigt seine Identität, beispielsweise mit Fingerabdruck, Gesichtserkennung, PIN oder einem Hardware Security Key. Anschließend wird die Challenge mit dem privaten Schlüssel signiert und vom Dienst überprüft.

Da der private Schlüssel das Gerät niemals verlässt, können Angreifer ihn weder aus Datenbanken stehlen noch durch Phishing abfangen.

FIDO2 ist die aktuelle Generation der FIDO-Standards und bildet die Grundlage moderner passwortloser Authentifizierung.

FIDO2 besteht aus zwei Komponenten:

WebAuthn (Web Authentication)

Ermöglicht Browsern und Webanwendungen die Nutzung von FIDO.

CTAP (Client to Authenticator Protocol)

Regelt die Kommunikation zwischen Endgerät und Authentifikator, beispielsweise einem Security Key oder Smartphone.

Passkeys basieren auf FIDO2 und ermöglichen eine Anmeldung ohne Passwort.

Benutzer authentifizieren sich stattdessen beispielsweise mit:

• Fingerabdruck
• Gesichtserkennung
• Geräte-PIN
• Hardware Security Key

Passkeys erhöhen sowohl die Sicherheit als auch den Benutzerkomfort und gelten als Nachfolger klassischer Passwörter.

Synchronisierte Passkeys werden über Dienste wie Apple Passwords oder Google Password Manager zwischen mehreren Geräten synchronisiert und bieten hohen Bedienkomfort.

Gerätegebundene Passkeys verbleiben ausschließlich auf einem Gerät oder Hardware Security Key. Sie bieten maximale Sicherheit und eignen sich insbesondere für Unternehmen mit hohen Compliance- und Sicherheitsanforderungen.

FIDO unterstützt verschiedene Authentifikatoren, abhängig von den Anforderungen des Unternehmens:

• Hardware Security Keys (USB-A, USB-C, NFC)
• Windows Hello
• Apple Face ID und Touch ID
• Android-Biometrie
• Smartphones als Authentifikator

Dadurch können Unternehmen die passende Lösung für unterschiedliche Benutzergruppen und Sicherheitsanforderungen auswählen.

FIDO2 wird heute unter anderem eingesetzt für:

• Microsoft Entra ID
• Microsoft 365
• Windows-Anmeldung
• VPN-Zugänge
• Citrix und VDI
• Cloud-Anwendungen
• Administrator-Konten
• Privileged Access
• Shared Workstations

Vor FIDO2 wurden die Standards U2F (Universal 2nd Factor) und UAF (Universal Authentication Framework) entwickelt.

Heute werden neue Projekte nahezu ausschließlich mit FIDO2 umgesetzt. Die Funktionen der früheren Standards sind weitgehend in FIDO2 aufgegangen.