Service Computer
Passwörter – muss ich mir die bald nicht mehr merken?
Für jeden Online-Account soll man ja ein eigenes Passwort haben. Ohne digitale Hilfe kann sich die aber niemand alle merken. Also lassen viele von uns ihre Passwörter direkt vom Browser speichern oder nutzen einen Passwort-Manager. Aber ist das wirklich noch nötig?
Gemeinsam für mehr Komfort
Nach und nach setzt sich mit "Passkeys" eine Lösung durch, bei der man sich einfach per Gesichtsscan oder Fingerabdruck einloggen kann – ohne ein kompliziertes Passwort nutzen zu müssen. Alles läuft dabei im Hintergrund auf unseren Smartphones und Computern ab. FIDO2-Initiative heißt das Projekt, an dem fast alle großen Tech-Firmen mitarbeiten. Die Technik dahinter ist nicht neu – es gibt sie schon seit einigen Jahren. Vor einiger Zeit haben aber Apple, Google und Microsoft erklärt, das System gemeinsam voranzutreiben.
Finger oder Gesicht
Dabei ist es egal, ob man eine App freischalten will oder sich in sein Bankkonto oder in den Benutzerkonto im Online-Kaufhaus einloggen will: Ich lege meinen Finger auf den Fingerabdruck-Scanner am Smartphone oder halte das Gerät so, dass es mein Gesicht scannen kann. Mein Gerät wird quasi zum Schlüssel.
Öffentlicher und privater Schlüssel
Damit das aber beim Einloggen so schnell gehen kann, wird beim Registrieren auf einem Smartphone oder Computer für jedes Benutzerkonto ein jeweils eigenes Schlüsselpaar erzeugt – ein öffentlicher und ein privater Schlüssel. Diese Codes sieht man als Nutzerin oder Nutzer nicht und man muss sie sich auch nicht merken. Der öffentliche Schlüssel wird auf dem Server des Online-Dienstes, der Krankenkasse, der Bank gespeichert. Der private Schlüssel wird vom eigenen Smartphone oder Computer generiert. Benutzt wird dafür z. B. ein Sicherheitsschip, der in allen moderneren Geräten steckt. Der private Schlüssel wird nur auf dem eigenen Gerät gespeichert.
Digitales Quiz
Nur mit beiden Schlüsseln zusammen geht das Schloss auf: Die Benutzerin, der Benutzer bekommt Zugang zum betreffenden Konto. Und das läuft – vereinfacht beschrieben so: Der Server der Bank, des Online-Kaufhauses schickt im Hintergrund blitzschnell eine Art Quizfrage an das Gerät, mit dem Zugang gewünscht wird. "Challenge" nennen das die Programmierer. Das Gerät kann die nur dann beantworten, wenn es tatsächlich den privaten Schlüssel hat. Dazu einfach Finger auflegen oder Gesicht in die Kamera halten – das schließt den Safe auf, in dem der private Schlüssel liegt. Nur diese Antwort, also nicht den privaten Schlüsselcode, schickt das Smartphone dann dem Server-Computer. Der prüft die Antwort, indem er den öffentlichen Schlüssel benutzt – quasi eine Liste mit Antworten. War die Antwort richtig war, ist der Weg frei.
Schwachstelle eingebaut?
Hacker können zwar die öffentlichen Schlüssel von Servern klauen, an die privaten Schlüssel kommen sie allerdings nicht. Theoretisch nicht – denn eine Schwachstelle könnte sein: Apple, Google und Microsoft als Hersteller von Betriebssystemen und Geräten haben durchgesetzt, dass der private Schlüssel nicht nur auf dem Smartphone bleibt. Die Hersteller wollen, dass der private Schlüssel auch in der Apple-, Google,-Microsoft-Cloud gespeichert werden kann, damit man ihn mit jedem Gerät (Smartphone, Tablet, Notebook) benutzen kann, das einem gehört. Wer das nicht will, sollte diese Funktion ausschalten.
Autor: Michael Stein
Redaktion: Jan Friese
Service Computer ist eine Rubrik in der WDR 5 Sendung Neugier genügt und ist dort jeden ersten Dienstag im Monat zwischen 11.04 Uhr und 12.00 Uhr zu hören.
