Was ist die FIDO-Authentifizierung?

Die FIDO-Authentifizierung bietet Unternehmen eine stärkere und benutzerfreundlichere Alternative zu Passwörtern. Das Verständnis der Funktionsweise von FIDO hilft Ihnen dabei, künftig einen intelligenteren Weg für die Authentifizierung von Kunden oder Mitarbeitenden zu finden. Dieser Ansatz, der auf offenen Standards der FIDO Alliance basiert, ersetzt herkömmliche Passwörter durch Public-Key-Kryptografie. Er bietet Ihnen mehr Sicherheit und ein besseres Benutzererlebnis im Rahmen des allgemeinen Wandels hin zur passwortlosen Authentifizierung. In diesem Leitfaden erläutern wir, wie FIDO (Fast IDentity Online) funktioniert, erklären die Beziehung zwischen WebAuthn, FIDO2 und CTAP2 und helfen Ihnen herauszufinden, welches Protokoll zu Ihren Anforderungen passt.

Was ist die FIDO-Authentifizierung?

Die FIDO-Authentifizierung ist eine Reihe offener, standardisierter Protokolle, die Passwörter durch stärkere, benutzerfreundlichere Alternativen ersetzen. Diese im Rahmen von FIDO (Fast IDentity Online) entwickelten Protokolle verwenden Public-Key-Kryptografie, um Ihre Identität zu verifizieren, ohne dass dabei jemals ein gemeinsames Geheimnis über das Netzwerk gesendet wird.

So funktioniert es im Großen und Ganzen: Wenn Sie sich bei einem FIDO-fähigen Dienst registrieren, generiert Ihr Gerät ein einzigartiges Schlüsselpaar: einen Private Key, der auf Ihrem Gerät verbleibt, und einen Public Key, der an den Dienst gesendet wird. Wenn Sie sich später anmelden, sendet der Dienst eine Challenge, die nur Ihr Private Key beantworten kann. Ihr Gerät signiert die Challenge, weist den Besitz des Schlüssels nach und gewährt Ihnen Zugriff. Es ist kein Passwort erforderlich und Ihr Private Key verlässt Ihr Gerät nie.

Die Anwendung ist einfach. Je nach Dienst und Ihrem Gerät authentifizieren Sie sich möglicherweise mit einem Fingerabdruck, einem Gesichtsscan, einer PIN oder einem Hardware-Sicherheitsschlüssel. Dies ist ein Beispiel für biometrische Authentifizierung, die zusammen mit kryptografischen Berechtigungsnachweisen funktioniert. Der zugrunde liegende kryptografische Austausch erfolgt im Hintergrund innerhalb von Millisekunden.

Was ist die FIDO-Allianz und welche Rolle spielt sie bei Authentifizierungsstandards?

Die FIDO Alliance ist ein offener Industrieverband, der 2013 mit einer klaren Mission gegründet wurde: die übermäßige Abhängigkeit der Welt von Passwörtern zu verringern. Was 2009 als Gespräch zwischen PayPal und Validity Sensors über die Nutzung biometrischer Verfahren anstelle von Passwörtern begann, hat sich zu einer globalen Initiative mit Hunderten von Mitgliedsunternehmen aus den Bereichen Technologie, Finanzen, Gesundheitswesen und Regierung entwickelt. Im Jahr 2026 berichtet die FIDO Alliance, dass weltweit über fünf Milliarden Passkeys erstellt wurden und 82 % der Organisationen angeben, eine vollständig passwortlose Authentifizierung sei ein ultimatives Ziel für ihre Belegschaft¹.

Die Alliance spielt drei unterschiedliche Rollen bei der Gestaltung von Authentifizierungsstandards. Erstens entwickelt sie technische Spezifikationen, die definieren, wie FIDO-Authentifizierungsprotokolle funktionieren. Diese Spezifikationen (UAF, U2F und FIDO2) bieten eine gemeinsame Blaupause, die jede Organisation implementieren kann, und gewährleisten so produkt- und plattformübergreifende Konsistenz. Zweitens führt die Alliance Zertifizierungsprogramme durch, die die Interoperabilität zwischen Geräten, Browsern und Diensten verschiedener Anbieter verifizieren. Dieser Zertifizierungsprozess ist entscheidend für die weltweite Einführung. Er bewirkt, dass ein FIDO-zertifizierter Sicherheitsschlüssel eines Herstellers mit einem FIDO-zertifizierten Dienst eines anderen Herstellers funktioniert. Drittens arbeitet die Alliance mit Normungsgremien wie dem World Wide Web Consortium (W3C) zusammen, um sicherzustellen, dass FIDO-Spezifikationen zu offiziellen Webstandards werden. Die WebAuthn-API, die von der FIDO Alliance und dem W3C gemeinsam entwickelt wurde, wurde 2019² zu einem formellen W3C-Webstandard und ist ein direktes Ergebnis dieser Zusammenarbeit.

Als offener Standard ist FIDO öffentlich verfügbar und kann kostenlos übernommen, implementiert und aktualisiert werden. Diese Offenheit ist beabsichtigt. Sie fördert die breite Akzeptanz, bietet Entwicklern ein gut dokumentiertes Framework als Grundlage und verhindert, dass ein einzelner Anbieter die Richtung der passwortlosen Authentifizierung bestimmt. Mitgliedsunternehmen wie Amazon, Apple, Google, Microsoft, Visa und Ping Identity tragen zu den Spezifikationen bei und gestalten gemeinsam die Zukunft der Identitätssicherheit.

Wie funktioniert die FIDO-Authentifizierung?

Jedes FIDO-Protokoll folgt demselben Zwei-Phasen-Muster: Registrierung und Authentifizierung. Die Erläuterung dieser beiden Phasen hilft Ihnen zu verstehen, warum die FIDO-Authentifizierung resistent ist gegen Phishing, Diebstahl von Zugangsdaten und Replay-Angriffe.

Registrierung. Wenn Sie zum ersten Mal auf einen FIDO-fähigen Dienst zugreifen, erstellt Ihr Gerät ein neues kryptografisches Schlüsselpaar, das für dieses Gerät, diesen Dienst und Ihr Konto einzigartig ist. Der Private Key verbleibt auf Ihrem Gerät. Der Public Key wird an den Dienst gesendet und zusammen mit Ihren Kontoinformationen gespeichert. Wenn Sie eine biometrische Methode wählen (wie einen Fingerabdruck oder einen Gesichts-Scan), werden diese biometrischen Daten nur lokal verwendet, um den Private Key zu entsperren. Er wird niemals an den Server gesendet.

Authentifizierung. Bei jedem erneuten Anmelden sendet der Dienst eine kryptografische Challenge an Ihr Gerät. Ihr Gerät verwendet den gespeicherten Private Key, um diese Challenge zu signieren, und sendet dann die signierte Antwort zurück. Der Dienst überprüft die Signatur anhand Ihres Public Keys. Wenn die Signatur gültig ist, wird Ihnen Zugriff gewährt. Wichtig ist auch, dass der Dienst überprüft, ob die Domäne mit der bei der Einrichtung registrierten übereinstimmt. Dieser Schritt der Domänenbindung macht die FIDO-Authentifizierung phishing-resistent: Selbst wenn ein Angreifer eine überzeugende gefälschte Anmeldeseite erstellt, stimmt die Domäne nicht überein und die Authentifizierung schlägt fehl.

Die gesamte Kommunikation während beider Phasen ist verschlüsselt, und Private Keys verlassen niemals die Geräte der Benutzer. Dieses Zusammenspiel bewirkt, dass es keine gemeinsamen Geheimnisse gibt, die Angreifer bei einer Datenschutzverletzung stehlen können.

Was ist der Unterschied zwischen WebAuthn, FIDO2 und CTAP2?

Diese drei Begriffe treten oft zusammen auf, was es schwierig machen kann, sie zu unterscheiden. Die kurze Antwort lautet: FIDO2 ist der Oberbegriff, und WebAuthn und CTAP2 sind seine beiden Komponentenspezifikationen. Jede davon erfüllt eine andere Rolle im Authentifizierungsprozess.

FIDO2 ist der übergreifende Standard, der gemeinsam von der FIDO Alliance und dem W3C entwickelt wurde. Er definiert das vollständige Framework für passwortlose und Multi-Faktor-Authentifizierung (MFA) auf Basis von Public-Key-Kryptografie. Wenn jemand von „FIDO2-Authentifizierung“ spricht, bezieht sich die Person auf das vollständige System, das sowohl WebAuthn als auch CTAP umfasst.

WebAuthn (Web Authentication) ist ein W3C-Webstandard, der die API definiert, die Browser und Plattformen zur Kommunikation mit FIDO-fähigen Diensten verwenden. Es ist die Ebene, die den Austausch zwischen der Website (der vertrauenden Partei) und dem Clienten (Ihrem Browser oder Betriebssystem) abwickelt. WebAuthn legt fest, wie Berechtigungsnachweise mit dem Public Key während der Registrierung erstellt und während der Authentifizierung überprüft werden. Jeder wichtige Browser (Chrome, Firefox, Safari, Edge) unterstützt WebAuthn nativ.

CTAP2 (Client To Authenticator Protocol 2) ist die Spezifikation, die regelt, wie ein externer Authentifikator (z. B. ein USB-Sicherheitsschlüssel, ein Bluetooth-Gerät oder ein Telefon) mit der Client-Plattform kommuniziert. Wenn WebAuthn die Kommunikation zwischen der Website und Ihrem Browser darstellt, ist CTAP2 die Kommunikation zwischen Ihrem Browser und Ihrem Authentifikator. CTAP2 unterstützt passwortlose Abläufe, Multi-Faktor-Abläufe und Resident-Anmeldedaten (Passkeys). Sein Vorgänger, CTAP1, ist die umbenannte Version des ursprünglichen U2F-Protokolls und unterstützt nur die Zwei-Faktor-Authentifizierung.

So greifen sie in der Praxis ineinander: Wenn Sie einen Sicherheitsschlüssel antippen, um sich bei einer Website anzumelden, wickelt WebAuthn den Austausch zwischen der Website und Ihrem Browser ab, während CTAP2 den Austausch zwischen Ihrem Browser und dem Sicherheitsschlüssel abwickelt. Beide müssen zusammenarbeiten, damit die FIDO2-Authentifizierung erfolgreich ist.

Das Verständnis, wie diese drei Komponenten zusammenwirken, liefert hilfreichen Kontext für die breitere FIDO-Protokollfamilie. Die Alliance hat drei Generationen von Spezifikationen veröffentlicht, von denen jede auf der vorherigen aufbaut.

FIDO-Authentifizierungsprotokolle: UAF, U2F, FIDO2

Die FIDO Alliance hat drei Generationen von Spezifikationen veröffentlicht, die jeweils auf Public-Key-Kryptografie basieren. Wenn Sie die Unterschiede verstehen, können Sie das richtige Protokoll für die Sicherheitsanforderungen und Anwendungsziele Ihres Unternehmens auswählen.

Universelles Authentifizierungs-Framework (UAF)

UAF ermöglicht die passwortlose Anmeldung, indem Benutzer sich mit einer Methode authentifizieren, die sie bei der Registrierung auswählen, z. B. per Fingerabdruck, Gesichts-Scan, Spracherkennung oder PIN. Das Protokoll erstellt für jede Kombination aus Benutzer, Gerät und Dienst ein einzigartiges Schlüsselpaar, speichert den Private Key auf dem Gerät und sendet den Public Key an den Dienst.

Bei der Registrierung:

1. Sie wählen eine Authentifizierungsmethode aus den Optionen aus, die der Dienst zulässt.

2. Das Gerät erzeugt ein neues Schlüsselpaar, das für das Gerät, den Dienst und das Benutzerkonto eindeutig ist.

3. Der Private Key bleibt auf dem Gerät. Der Public Key wird an den Dienst gesendet, um die Registrierung abzuschließen.

Während der Authentifizierung:

1. Sie stellen die von Ihnen gewählte Authentifizierungsmethode (z. B. einen Fingerabdruck) zur Verfügung, um Ihre Identität zu überprüfen.

2. Das Gerät wählt den richtigen Private Key aus und signiert die Authentifizierungs-Challenge des Dienstes.

3. Der Dienst verifiziert die signierte Authentifizierungs-Challenge mit dem gespeicherten Public Key und Sie erhalten Zugriff.

Die gesamte Kommunikation ist verschlüsselt und Private Keys sowie biometrische Daten verlassen niemals die Geräte der Benutzer. UAF legte den Grundstein für vollständig passwortlose Abläufe, ein Designprinzip, das die späteren FIDO-Protokolle fortführten.

Universeller Zweitfaktor (U2F)

U2F ergänzt die herkömmliche passwortbasierte Authentifizierung, anstatt sie zu ersetzen. Benutzer geben zwei Nachweise an: Etwas, das sie wissen (einen Benutzernamen und ein Passwort), und etwas, das sie haben (einen registrierten Sicherheitsschlüssel). Dies ist eine Form der Zwei-Faktor-Authentifizierung. Diese Sicherheitsschlüssel können USB, NFC (Near Field Communication) oder Bluetooth verwenden, um den Authentifizierungsprozess abzuschließen.

Jedes Mal, wenn sich ein Benutzer anmeldet:

1. Sie geben Ihren Benutzernamen und Ihr Passwort ein.

2. Der Dienst sendet eine Challenge an den registrierten Sicherheitsschlüssel.

3. Der Sicherheitsschlüssel signiert die Challenge, um den Besitz des Private Keys nachzuweisen, und sendet die Antwort zurück.

4. Sie erhalten Zugriff auf den Dienst.

U2F ist nun im Rahmen von FIDO2 offiziell als CTAP1 bekannt und seine Funktionalität bleibt als Zwei-Faktor-Option innerhalb des umfassenderen FIDO2-Standards erhalten. Es bleibt eine gültige Option für Unternehmen, die bereits Hardware-Schlüssel eingesetzt haben und noch nicht für eine vollständig passwortlose Einführung bereit sind.

FIDO2

FIDO2 ist die neueste und vielseitigste Generation. Es kombiniert die passwortlosen Funktionen von UAF mit den Zwei-Faktor-Funktionen von U2F und unterstützt zusätzlich Passkeys (gerätegebundene oder synchronisierte FIDO2-Berechtigungsnachweise, die von Apple, Google und Microsoft unterstützt werden). FIDO2 kann je nach den Anforderungen des Dienstes passwortlose Anwendungen, Zwei-Faktor-Anwendungen oder eine vollständige Multi-Faktor-Authentifizierung (MFA) bieten.

Während der FIDO2-Authentifizierung:

1. Der Dienst (die vertrauende Partei oder RP) sendet dem FIDO-Clienten eine Challenge über WebAuthn. Der FIDO-Client kann ein Browser, eine Desktop-Anwendung oder eine mobile Anwendung sein.

2. Sie stimmen zu, indem Sie Ihre gewählte Authentifizierungsmethode angeben. Der Client überprüft, ob die Domäne mit der bei der Einrichtung registrierten übereinstimmt. Wenn sie nicht übereinstimmt, schlägt die Authentifizierung fehl. Durch dieses Verfahren erlangt FIDO2 seine starke Phishing-Resistenz.

3. Der Client erhält den Private-Key vom Authentifikator, der in das Gerät integriert oder ein externer Hardwareschlüssel sein kann.

4. Der Client signiert die Challenge und sendet die Antwort zurück. Der Dienst verifiziert die Signatur und Sie erhalten Zugang.

Wie bei allen FIDO-Protokollen ist die Kommunikation durchgängig verschlüsselt und Private Keys verlassen niemals die Geräte der Benutzer.

Die Vorteile der FIDO-Authentifizierung

Die FIDO-Authentifizierung bietet messbare Verbesserungen in den Bereichen Sicherheit, Datenschutz, Compliance und Anwendung. Hier sind die wichtigsten Vorteile, die Sie bei der Einführung von FIDO-basierten Protokollen erwarten können:

• Phishing-Resistenz: FIDO bindet jede Anmeldeinformation an eine bestimmte Domain, sodass gestohlene Anmeldedaten nicht auf einer anderen Website wiederverwendet werden können. Das macht FIDO zu einer der aktuell stärksten verfügbaren Abwehrmaßnahmen gegen Phishing nach Anmeldedaten.

• Erhöhter Datenschutz: Biometrische Daten (Fingerabdrücke, Gesichts-Scans, Stimmmuster) bleiben auf Ihrem Gerät und werden niemals an einen Server übertragen. Dieser „Privacy by Design“-Ansatz reduziert die Haftung und steht im Einklang mit datenschutzorientierten Prinzipien.

• Einhaltung gesetzlicher Vorschriften: FIDO-Standards unterstützen die Anforderungen der DSGVO, CCPA und PSD2. Die Richtlinien für digitale Identität (SP 800-63B) des NIST empfehlen außerdem Phishing-resistente Authentifikatoren auf Basis von FIDO-Standards³.

• Benutzerfreundlichkeit: Die Anmeldung mit einem Fingerabdruck, Gesichts-Scan oder Tippen auf einen Sicherheitsschlüssel ist schneller als die Eingabe eines Passworts. Benutzer müssen sich Passwörter nicht mehr merken oder zurücksetzen, was das Helpdesk-Aufkommen reduziert. Wenn Sie verstehen, wie MFA und passwortlose Authentifizierung im Vergleich abschneiden, können Sie den richtigen Ansatz wählen.

• Niedrigere Betriebskosten: Durch den Wegfall passwortbezogener Support-Tickets und die Reduzierung des Volumens der Kontowiederherstellungen senkt die FIDO-Authentifizierung die laufenden Kosten für die Verwaltung des Benutzerzugriffs.

Diese Vorteile verstärken sich mit zunehmender Einführung. Je mehr Dienste und Benutzer Sie zur FIDO-Authentifizierung migrieren, desto stärker reduzieren Sie Ihre passwortbezogene Angriffsfläche und Ihren Support-Aufwand.

Häufig gestellte Fragen zur FIDO-Authentifizierung