Anmeldung ohne Passwort: W3C erklärt WebAuthn zum Standard

Bislang galt nur die Empfehlung, das neue Anmeldeverfahren zu nutzen. WebAuthn findet bereits Unterstützung durch Webbrowser und Betriebssysteme. Zur Authentifizierung können Hardware-Security-Keys, Mobilgeräte und biometrische Verfahren dienen.

Die Standardisierungsorganisation World Wide Web Consortium (W3C) hat die Web Authentication API – meist als WebAuthn bezeichnet – zu einem offiziellen Webstandard erklärt. Bislang galt nur die Empfehlung, das passwortlose Anmeldeverfahren zu nutzen.

Die Befürwortung als Standard soll ausdrücken, dass die API jetzt in einer stabilen Version verfügbar ist. Websites sollen WebAuthn demnach in seiner gegenwärtigen Form implementieren können, ohne befürchten zu müssen, das künftige Änderungen das Verfahren brechen. Unterstützt wird der Standard ohnehin schon in Browsern wie Google Chrome, MicrosoftEdge und Firefox – wie auch in einer Vorschauversion von Apples Safari. Auch Android und Windows 10 unterstützen ihn bereits.

Als Web-Authentifizierungsmethode soll WebAuthn Passwörter überflüssig machen. Die WebAuthn-API des W3C kann in Browser und Webplattform-Infrastrukturen integriert werden und ermöglicht starke, eindeutige, auf öffentlichen Schlüsseln basierende Anmeldeinformationen für jede Website. Sie eliminiert damit das Risiko, dass ein von einer Website gestohlenes Passwort verwendet werden kann.

WebAuthn erlaubt dem Nutzer die Anmeldung und Authentifizierung bei Websites und Mobil-Apps mit einem „Authentikator“ anstelle eines Passworts. Dabei kann es sich um einen Hardware-Security-Key handeln, der mit seinem Computer verbunden wurde. Ebenso möglich ist eine Identifizierung durch Mobilgeräte und durch biometrische Informationen – etwa anhand von Fingerabdruck, Gesichtsscan oder Iris-Scan. Die Befürworter erhoffen sich davon mehr Sicherheit und eine breitere Akzeptanz als bei herkömmlicher Multi-Faktor-Authentifizierung (MFA) wie etwa dem Versenden von Einmal-Codes per SMS, bei dem noch immer eine Anfälligkeit für Phishing-Attacken gegeben sei.

Die Entwicklung des WebAuthn-Standards begann 2015, nachdem die FIDO Alliance (Fast Identity Online) dem W3C die Spezifikation FIDO2 überließ. FIDO ist eine 2012 gegründete Vereinigung mit dem Ziel, Passwörter weitgehend überflüssig zu machen durch offene und plattformübergreifende Authentifizierungsmethoden. Zu ihren Gründungsmitgliedern gehören Lenovo und Paypal, auch Google, Microsoft, Samsung und andere namhafte Firmen sind vertreten.

Die vorhergehende FIDO-Spezifikation U2F wird bereits von Browsern und Webdiensten unterstützt und erlaubt die Anmeldung mit Sicherheitsschlüsseln wie Yubicos YubiKey. Mit FIDO2 und WebAuthn erfolgte eine Weiterentwicklung, bei der eine Vielzahl weiterer Authentifizierungssysteme einschließlich biometrischer Verfahren Unterstützung findet. „Jetzt ist es Zeit für Webdienste und Unternehmen, WebAuthn einzuführen, um angreifbare Passwörter hinter sich zu lassen und Nutzern zu helfen, die Sicherheit ihrer Online-Erfahrungen zu verbessern“, sagte W3C-Chef Jeff Jaffe.