WebAuthn / FIDO2: Definition und Funktionsweise passwortloser Authentifizierung

Wie WebAuthn und FIDO2 Phishing bei der Anmeldung technisch nahezu unmöglich machen

Was Sie über WebAuthn und FIDO2 wissen sollten: Der Beitrag erklärt, wie passwortlose Anmeldung technisch funktioniert. Zudem zeigen wir, warum dieses Verfahren als besonders phishing-resistent gilt.

Was ist WebAuthn / FIDO2?

WebAuthn ist ein Web-Standard für passwortlose Authentifizierung, etwa über biometrische Merkmale oder Hardware-Sicherheitsschlüssel. In Kombination mit dem FIDO2-Standard ermöglicht es eine besonders phishing-resistente Anmeldung, da keine wiederverwendbaren Zugangsdaten übertragen werden.

Funktionsweise von WebAuthn / FIDO2

Das Zusammenspiel von WebAuthn und FIDO2 (CTAP)

WebAuthn definiert die Browser-seitige Schnittstelle für passwortlose Authentifizierung, während das FIDO2-Protokoll CTAP (Client to Authenticator Protocol) die Kommunikation zwischen Browser und dem eigentlichen Authentifikator regelt, etwa einem Hardware-Sicherheitsschlüssel oder dem biometrischen Sensor eines Geräts. Beide Standards ergänzen sich zu einer vollständigen Lösung für passwortlose Anmeldung.

Wie die Anmeldung mit Schlüsselpaaren statt Passwörtern funktioniert

Statt eines Passworts erzeugt der Authentifikator bei der Registrierung ein kryptografisches Schlüsselpaar: Der private Schlüssel verlässt niemals das Gerät des Nutzers, während der öffentliche Schlüssel beim jeweiligen Dienst hinterlegt wird. Bei jeder Anmeldung beweist der Nutzer den Besitz des privaten Schlüssels, ohne diesen jemals zu übertragen.

Warum WebAuthn/FIDO2 als phishing-resistent gilt

Genau dieser Mechanismus macht WebAuthn/FIDO2 besonders resistent gegen Phishing: Da keine wiederverwendbaren Geheimnisse wie Passwörter über das Netzwerk übertragen werden, läuft ein klassischer Phishing-Versuch – etwa eine gefälschte Login-Seite – ins Leere. Zusätzlich ist die kryptografische Signatur fest an die tatsächliche Domain gebunden, wodurch selbst optisch identische Phishing-Seiten technisch nicht erfolgreich sein können.

Einordnung und Praxis von WebAuthn / FIDO2

Abgrenzung: WebAuthn/FIDO2 vs. klassische MFA-Verfahren

Im Vergleich zu klassischen MFA-Verfahren wie SMS-Codes oder Einmalpasswort-Apps bietet WebAuthn/FIDO2 einen deutlich höheren Schutz, da diese klassischen Verfahren weiterhin auf einem Passwort als erstem Faktor basieren und zusätzlich anfällig für bestimmte Abfangtechniken sein können. WebAuthn/FIDO2 kann das Passwort als ersten Faktor vollständig ersetzen.

Unterstützte Authentifikatoren: biometrisch, Hardware-Token, Plattform-Authentifikatoren

Als Authentifikatoren kommen unterschiedliche Geräte infrage: dedizierte Hardware-Sicherheitsschlüssel, die biometrischen Sensoren moderner Laptops und Smartphones (sogenannte Plattform-Authentifikatoren) sowie zunehmend auch geräteübergreifende Passkeys, die eine komfortable Nutzung über mehrere Geräte hinweg ermöglichen.

Praxiseinsatz und aktuelle Verbreitung

Große Technologieanbieter treiben die Verbreitung von WebAuthn/FIDO2 aktiv voran, insbesondere im Rahmen der wachsenden Verbreitung sogenannter Passkeys für Verbraucheranwendungen. Auch im Unternehmensumfeld gewinnt der Standard als Ergänzung oder Ersatz klassischer Passwort-Login-Verfahren zunehmend an Bedeutung.

Anbieter passwortloser Authentifizierungslösungen profitieren besonders von Content, der komplexe kryptografische Vorteile in klare Sicherheitsargumente übersetzt, ohne die zugrundeliegende Technik zu verwässern. summ-it positioniert Innovationen wie WebAuthn/FIDO2 überzeugend gegenüber sicherheitsbewussten Entscheidern – als echten Fortschritt, nicht als weiteres Buzzword.

Passwortlose Sicherheit WebAuthn / FIDO2 mit summ-it überzeugend vermarkten

summ-it bringt die nötige Fachkompetenz mit, um Innovationen wie WebAuthn/FIDO2 überzeugend gegenüber sicherheitsbewussten Entscheidern zu positionieren – als echten Fortschritt, nicht als weiteres Buzzword.

Kostenloses Erstgespräch vereinbaren

FAQ: WebAuthn / FIDO2

Warum gilt WebAuthn/FIDO2 als besonders sicher gegen Phishing?

Da bei WebAuthn/FIDO2 keine wiederverwendbaren Passwörter übertragen werden und die kryptografische Signatur fest an die tatsächliche Domain gebunden ist, können gefälschte Phishing-Seiten die Anmeldung nicht erfolgreich abfangen. Der private Schlüssel verlässt zudem niemals das Gerät des Nutzers.

Was ist der Unterschied zwischen WebAuthn und Passkeys?

WebAuthn ist der zugrundeliegende technische Web-Standard für passwortlose Authentifizierung. Passkeys sind eine nutzerfreundliche, geräteübergreifende Umsetzung dieses Standards, die es erlaubt, denselben kryptografischen Schlüssel bequem auf mehreren Geräten eines Nutzers zu verwenden.

Was passiert, wenn ein Hardware-Sicherheitsschlüssel verloren geht?

Geht ein Sicherheitsschlüssel verloren, sollte er umgehend beim jeweiligen Dienst entfernt werden. Deshalb empfiehlt sich in der Praxis stets die Registrierung mindestens eines zweiten Authentifikators als Backup.

Funktionieren Passkeys geräteübergreifend?

Ja, moderne Passkey-Implementierungen ermöglichen eine sichere Synchronisation über mehrere Geräte eines Nutzers hinweg, etwa über Cloud-Dienste der jeweiligen Plattformanbieter.

Ersetzt WebAuthn/FIDO2 die Multi-Faktor-Authentifizierung vollständig?

WebAuthn/FIDO2 kann als alleiniger, sehr starker Faktor genutzt werden, da es Besitz- und teils biometrische Merkmale kombiniert. In besonders sicherheitskritischen Umgebungen wird es dennoch häufig mit weiteren Faktoren kombiniert.

Welche Browser unterstützen WebAuthn?

Alle gängigen modernen Browser unterstützen WebAuthn nativ, da der Standard vom World Wide Web Consortium gemeinsam mit der FIDO Alliance entwickelt und breit implementiert wurde.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.