Das Passwort hat ausgedient
Die meisten erfolgreichen Angriffe beginnen nicht mit Hacker-Magie, sondern mit einem Passwort: gephisht, wiederverwendet oder geleakt. Die gute Nachricht – die Branche ist dabei, das Passwort abzulösen. Das solltest du über die neuen Verfahren wissen:
1. Passkeys: Anmelden wie entsperren
Ein Passkey ist ein kryptografisches Schlüsselpaar nach dem FIDO2/WebAuthn-Standard. Der private Schlüssel bleibt auf deinem Gerät, entsperrt per Fingerabdruck oder Gesicht – der Dienst sieht nur den öffentlichen Teil. Es gibt nichts, das man dir abphishen könnte: Der Passkey funktioniert nur auf der echten Domain, eine gefälschte Login-Seite geht leer aus. Google, Microsoft, Apple und die meisten grossen Dienste unterstützen Passkeys bereits – aktivieren lohnt sich heute.
2. OIDC und OAuth: «Login mit …» richtig verstanden
Hinter «Mit Google/Microsoft anmelden» steckt OpenID Connect (OIDC), aufgebaut auf OAuth 2.0. Statt jedem Dienst ein eigenes Passwort zu geben, bestätigt ein vertrauenswürdiger Anbieter deine Identität mit einem signierten Token – die App sieht dein Passwort nie. Mit OAuth 2.1 wird der Standard gerade aufgeräumt: PKCE wird Pflicht, unsichere alte Abläufe verschwinden. Für Firmen heisst das: zentrales Login (SSO), zentrales Ausschalten, wenn jemand geht.
3. MFA ist nicht gleich MFA
Jeder zweite Faktor ist besser als keiner – aber es gibt eine klare Rangordnung: SMS-Codes lassen sich umleiten und abphishen. App-Codes (TOTP) sind besser, aber bei Echtzeit-Phishing ebenfalls knackbar. Phishing-resistent sind nur FIDO2-Verfahren – Passkeys und Hardware-Schlüssel. Wo sensible Daten liegen, sollte genau das der Standard sein.
4. Was du konkret tun kannst
Privat: Passkeys bei den wichtigen Konten aktivieren (E-Mail zuerst!), Passwortmanager für den Rest. Im Unternehmen: SSO über OIDC einführen, SMS-MFA schrittweise durch phishing-resistente Faktoren ersetzen und alte Protokolle ohne moderne Authentifizierung abschalten. Der Umstieg ist kein Grossprojekt – er passiert Konto für Konto.
Fazit: Die Richtung ist eindeutig – weg vom geteilten Geheimnis, hin zu Schlüsseln, die dein Gerät nie verlassen. Wer jetzt umstellt, ist der nächsten Phishing-Welle einen Schritt voraus.
Sicherheits-Tipps für KMU – direkt ins Postfach
Praxisnahe Hinweise zu E-Mail-Schutz, Phishing und sicherer IT. Kein Spam, jederzeit abbestellbar.
Mit der Anmeldung erhältst du eine Bestätigungs-Mail (Double-Opt-In). Wir geben deine Adresse nicht weiter.