Passwortfreie Authentifizierung: So gelingt der Umstieg auf PKI

Die Bedrohungslage im Cyberraum verschärft sich stetig. Immer mehr Unternehmen sind mit Angriffen konfrontiert – von Phishing-Kampagnen bis hin zu Ransomware-Attacken. Zudem verlangen Gesetzgeber mit Vorschriften wie NIS-2 ein hohes Maß an Sicherheit und Nachvollziehbarkeit der Authentifizierung. Herkömmliche Methoden wie Passwörter oder SMS-TANs sind den steigenden Anforderungen kaum mehr gewachsen. Eine  Alternative: die Public Key Infrastructure (PKI).

Passwortfreie Sicherheit statt MFA-Lücken

Wer sensible Systeme und Daten zuverlässig schützen will, muss sicherstellen, dass nur autorisierte Personen Zugriff erhalten – und zwar ohne die bekannten Schwächen von Passwörtern. Selbst komplexe Passwörter lassen sich durch Phishing oder Brute-Force-Angriffe kompromittieren. Auch viele gängige Zwei-Faktor-Methoden – etwa SMS-Codes – sind angreifbar.

Lesetipp: Die größten Lücken im MFA-Schutz

PKI setzt daher auf digitale Zertifikate anstelle von Passwörtern. Diese Zertifikate funktionieren wie digitale Ausweise: Statt sich mit einem Passwort zu authentifizieren, weisen sich Nutzer über ein gültiges Zertifikat aus. Beim Zugriff auf Systeme oder Daten prüft das System automatisch, ob das Zertifikat authentisch und gültig ist – die Passwortabfrage entfällt. Das erhöht nicht nur die Sicherheit, sondern auch die Benutzerfreundlichkeit.

Lesetipp: 10 Passwordless-Optionen für Unternehmen

Das PKI-Prinzip

Die technische Grundlage bildet asymmetrische Kryptografie. Dabei entsteht ein kryptografisches Schlüsselpaar: ein geheimer privater Schlüssel und ein öffentlicher Schlüssel. Der private Schlüssel verbleibt sicher gespeichert beim Nutzer – etwa auf einer Smartcard oder in einem Token – und wird niemals übertragen.

Der öffentliche Schlüssel als Pendant wird einmalig von einer Certificate Authority (CA) zertifiziert. So entsteht eine vertrauenswürdige Kette, auf deren Basis eine nachvollziehbare und manipulationssichere Authentifizierung möglich ist. Denn der öffentliche Schlüssel dient später dazu, die Identität des Nutzers oder Geräts zu bestätigen. Damit ist gewährleistet, dass nur autorisierte Nutzer und Geräte auf geschützte Systeme zugreifen können.

Vorteile der zertifikatsbasierten Authentifizierung

Da es keine Passwörter gibt, lassen sich diese auch nicht vergessen, stehlen oder manipulieren. Darüber hinaus arbeiten Mitarbeitende schneller und sicherer, da aufwendige Authentifizierungsprozesse entfallen. Auch die IT-Abteilungen profitieren von weniger Support-Anfragen und Passwort-Resets – folglich können sie sich auf wesentlichere Aufgaben konzentrieren. Das steigert nicht nur die Zufriedenheit, sondern spart auch Ressourcen. Nicht zuletzt erfüllt PKI Datenschutz- und IT-Sicherheitsstandards – sogar über die aktuell üblichen Vorgaben für Zugriffskontrollen und Authentifizierung hinaus. Dies sorgt auch in Zukunft dafür, dass Organisation auf der sicheren Seite bleiben.

Einstieg in PKI: Was ist zu tun?

Doch wie gelingt die Umstellung? Zunächst sollten Unternehmen eine Bestandsaufnahme ihrer aktuellen Authentifizierungsverfahren durchführen und prüfen, in welchen Bereichen digitale Zertifikate zum Einsatz kommen könnten – etwa beim Zugriff auf interne Systeme, bei VPN-Verbindungen und/oder beim E-Mail-Versand. Danach gilt es, Anforderungen zu definieren:

Für welche Nutzergruppen ist die Authentifizierung relevant?

Welche Infrastruktur ist vorhanden oder muss aufgebaut werden?

Je nach Ausgangslage bietet sich ein gestaffeltes Rollout an – beispielsweise mit einem Pilotprojekt in einer besonders sicherheitsrelevanten Abteilung. So lassen sich auch etwaige Herausforderungen schnell erkennen und meistern.

Verwaltungsaufwand senken mit Lifecycle-Management

Eine häufige Hürde bei der Einführung von PKI ist der vermeintlich hohe Verwaltungsaufwand. Gerade in größeren Organisationen ist es erforderlich, Zertifikate laufend auszustellen, zu verlängern oder zu sperren – etwa beim Ein- und Austritt von Mitarbeitenden. Ohne passende Prozesse entsteht hier schnell ein Sicherheitsrisiko. Lifecycle-Management-Lösungen automatisieren diese Aufgaben und entlasten die IT-Abteilung. Sie sorgen dafür, dass Zertifikate stets aktuell sind und ehemalige Mitarbeitende keine Zugriffsmöglichkeiten behalten.

Self-Service-Funktionen erhöhen die Akzeptanz

Nutzerfreundlichkeit ist nicht weniger entscheidend als Rechtskonformität: Auch ohne Passwörter kann es passieren, dass Nutzer sich aussperren, PINs vergessen und Tokens verlieren oder auch eine Smartcard mal defekt ist. Moderne PKI-Lösungen bieten deshalb Self-Service-Portale, über die Nutzer selbst neue Zertifikate anfordern oder PINs zurücksetzen können – ganz ohne Helpdesk-Ticket. Das spart Ressourcen und erhöht gleichzeitig die Zufriedenheit. 

Zudem sorgt ein mehrstufiges Sicherheitskonzept für Schutz vor unbefugtem Eingreifen in diesem Prozess. So ist der Self-Service nur nach einer starken Vor-Authentifizierung zugänglich – etwa über ein bestehendes, gültiges Zertifikat, ein Hardware-Token oder über eine temporär freigegebene Identität durch den Helpdesk. Außerdem lassen sich alle Schritte des Self-Service nachvollziehbar protokollieren und mit Rollen- und Rechtemodellen absichern. So bleibt der Prozess benutzerfreundlich, ohne zur Sicherheitslücke zu werden.

Zukunftssicher dank Kryptoagilität

Cyberbedrohungen entwickeln sich ständig weiter. Damit Unternehmen nicht regelmäßig ihre Sicherheitsarchitektur neu aufsetzen müssen, sollten PKI-Lösungen kryptoagil sein. Das heißt: Sie können neue kryptografische Verfahren flexibel integrieren und Zertifikate automatisch aktualisieren. So bleibt die Lösung langfristig zuverlässig und investitionssicher. (jm)