Ohne Passwort ist nicht gleich sicher.

Phishing: Daten abgreifen, später nutzen – Eine gefälschte Anmeldeseite sammelt ein, was eingegeben wird, und der Angreifer versucht es später.

• Passwort: anfällig. Das eingegebene Passwort genügt dem Angreifer für spätere Anmeldungen – überall, wo es gilt.
• Passwort + SMS: teilweise. Das Passwort ist verloren. Der erbeutete Code ist dagegen nach kurzer Zeit wertlos (TOTP üblicherweise 30 Sekunden) – später allein reicht er nicht.
• Passwort + TOTP: teilweise. Das Passwort ist verloren. Der erbeutete Code ist dagegen nach kurzer Zeit wertlos (TOTP üblicherweise 30 Sekunden) – später allein reicht er nicht.
• Passwort + Push: teilweise. Das Passwort ist verloren. Für eine spätere Anmeldung muss die Person aber erneut eine Push-Anfrage bestätigen.
• Passwort + Push: teilweise. Das Passwort ist verloren. Für eine spätere Anmeldung muss die Person aber erneut eine Push-Anfrage bestätigen.
• Passkey: widersteht. Auf einer fremden Domain bietet der Browser den Passkey gar nicht an – und es gibt kein Geheimnis, das man dort eintippen könnte.
• Passkey: widersteht. Auf einer fremden Domain bietet der Browser den Passkey gar nicht an – und es gibt kein Geheimnis, das man dort eintippen könnte.
• Sicherheitsschlüssel: widersteht. Auf einer fremden Domain bietet der Browser den Passkey gar nicht an – und es gibt kein Geheimnis, das man dort eintippen könnte.

Echtzeit-Phishing (Adversary-in-the-Middle) – Die gefälschte Seite leitet jede Eingabe sofort an den echten Dienst weiter und übernimmt die angemeldete Sitzung.

• Passwort: anfällig. Das Passwort landet direkt beim Angreifer, die Sitzung gleich mit.
• Passwort + SMS: anfällig. Der Code wird auf der gefälschten Seite eingegeben und innerhalb seiner Gültigkeit weitergereicht. NIST zählt Einmalcodes deshalb nicht zu den phishingresistenten Verfahren.
• Passwort + TOTP: anfällig. Der Code wird auf der gefälschten Seite eingegeben und innerhalb seiner Gültigkeit weitergereicht. NIST zählt Einmalcodes deshalb nicht zu den phishingresistenten Verfahren.
• Passwort + Push: anfällig. Die Push-Anfrage stammt von der echten Anmeldung des Angreifers – wer sie gerade erwartet, bestätigt sie.
• Passwort + Push: anfällig. Die Anfrage stammt von der echten Anmeldung, die der Angreifer im Hintergrund startet. Die gefälschte Seite kann sogar die Zahl für den Nummernabgleich anzeigen.
• Passkey: widersteht. Die signierten Daten enthalten die tatsächlich aufgerufene Adresse. Auf der gefälschten Domain wird der Passkey nicht angeboten; eine weitergeleitete Antwort passt nicht zum echten Dienst.
• Passkey: widersteht. Die signierten Daten enthalten die tatsächlich aufgerufene Adresse. Auf der gefälschten Domain wird der Passkey nicht angeboten; eine weitergeleitete Antwort passt nicht zum echten Dienst.
• Sicherheitsschlüssel: widersteht. Die signierten Daten enthalten die tatsächlich aufgerufene Adresse. Auf der gefälschten Domain wird der Passkey nicht angeboten; eine weitergeleitete Antwort passt nicht zum echten Dienst.

Credential Stuffing (Passwörter aus fremden Lecks) – Angreifer probieren automatisiert E-Mail-Passwort-Paare aus, die bei anderen Diensten erbeutet wurden.

• Passwort: anfällig. Wurde dasselbe Passwort anderswo genutzt und dort erbeutet, gelingt die Anmeldung.
• Passwort + SMS: widersteht. Ein passendes Passwort allein reicht nicht; der zweite Faktor fehlt dem Angreifer. Das Passwort bleibt trotzdem kompromittiert.
• Passwort + TOTP: widersteht. Ein passendes Passwort allein reicht nicht; der zweite Faktor fehlt dem Angreifer. Das Passwort bleibt trotzdem kompromittiert.
• Passwort + Push: teilweise. Ein passendes Passwort reicht nicht – löst aber Push-Anfragen aus, die versehentlich bestätigt werden können.
• Passwort + Push: widersteht. Ein passendes Passwort allein reicht nicht; der zweite Faktor fehlt dem Angreifer. Das Passwort bleibt trotzdem kompromittiert.
• Passkey: widersteht. Es gibt kein Passwort, das anderswo wiederverwendet sein könnte.
• Passkey: widersteht. Es gibt kein Passwort, das anderswo wiederverwendet sein könnte.
• Sicherheitsschlüssel: widersteht. Es gibt kein Passwort, das anderswo wiederverwendet sein könnte.

Datenleck beim Dienst – Die Anmeldedatenbank des Dienstes gelangt in fremde Hände.

• Passwort: teilweise. Passwort-Prüfwerte lassen sich offline angreifen; schwache Passwörter fallen zuerst. Ein geknacktes Passwort öffnet das Konto direkt – und jedes andere, in dem es wiederverwendet wurde.
• Passwort + SMS: teilweise. Passwort-Prüfwerte lassen sich offline angreifen; wie schnell, hängt von Passwort und Speicherverfahren ab. Ein separater zweiter Faktor bleibt davon unberührt.
• Passwort + TOTP: teilweise. Passwort-Prüfwerte lassen sich offline angreifen, schwache Passwörter fallen zuerst. Zusätzlich liegt der TOTP-Startwert beim Dienst – gelangt er mit ab, lassen sich gültige Codes erzeugen.
• Passwort + Push: teilweise. Passwort-Prüfwerte lassen sich offline angreifen; wie schnell, hängt von Passwort und Speicherverfahren ab. Ein separater zweiter Faktor bleibt davon unberührt.
• Passwort + Push: teilweise. Passwort-Prüfwerte lassen sich offline angreifen; wie schnell, hängt von Passwort und Speicherverfahren ab. Ein separater zweiter Faktor bleibt davon unberührt.
• Passkey: widersteht. Der Dienst speichert nur öffentliche Schlüssel. Mit ihnen kann sich niemand anmelden.
• Passkey: widersteht. Der Dienst speichert nur öffentliche Schlüssel. Mit ihnen kann sich niemand anmelden.
• Sicherheitsschlüssel: widersteht. Der Dienst speichert nur öffentliche Schlüssel. Mit ihnen kann sich niemand anmelden.

Gerät verloren oder gestohlen – Wer das Gerät findet oder stiehlt, versucht sich damit anzumelden.

• Passwort: nicht betroffen. Kein Gerät beteiligt – solange das Passwort nicht ungeschützt auf dem Gerät gespeichert ist.
• Passwort + SMS: teilweise. Der Finder braucht zusätzlich das Passwort. SMS-Codes erscheinen je nach Einstellung allerdings schon auf dem Sperrbildschirm.
• Passwort + TOTP: teilweise. Der Finder braucht zusätzlich das Passwort. Ob die App selbst geschützt ist, hängt von Gerätesperre und App-Einstellungen ab.
• Passwort + Push: teilweise. Der Finder braucht zusätzlich das Passwort. Ob die App selbst geschützt ist, hängt von Gerätesperre und App-Einstellungen ab.
• Passwort + Push: teilweise. Der Finder braucht zusätzlich das Passwort. Ob die App selbst geschützt ist, hängt von Gerätesperre und App-Einstellungen ab.
• Passkey: widersteht. Ohne PIN, Fingerabdruck oder Gesicht lässt sich der Passkey nicht verwenden; Fehlversuche begrenzt das Gerät.
• Passkey: widersteht. Ohne PIN, Fingerabdruck oder Gesicht lässt sich der Passkey nicht verwenden; Fehlversuche begrenzt das Gerät.
• Sicherheitsschlüssel: widersteht. Ohne PIN, Fingerabdruck oder Gesicht lässt sich der Passkey nicht verwenden; Fehlversuche begrenzt das Gerät.

Diebstahl der Sitzung nach der Anmeldung – Schadsoftware auf dem Gerät, etwa ein sogenannter Infostealer, kopiert Sitzungscookies oder Tokens, nachdem die Anmeldung gelungen ist.

• Passwort: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Passwort + SMS: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Passwort + TOTP: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Passwort + Push: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Passwort + Push: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Passkey: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Passkey: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.
• Sicherheitsschlüssel: anfällig. Kein Anmeldeverfahren schützt eine bereits ausgestellte Sitzung – auch kein Passkey. Dagegen helfen Gerätesicherheit, begrenzte Sitzungsdauer, Richtlinien für den bedingten Zugriff und Schutzfunktionen des Dienstes.

MFA-Fatigue (Flut von Anfragen) – Mit erbeutetem Passwort löst der Angreifer immer neue Bestätigungsanfragen aus, bis jemand genervt oder versehentlich zustimmt.

• Passwort: nicht betroffen. Kein Bestätigungsverfahren per Push beteiligt.
• Passwort + SMS: nicht betroffen. Kein Bestätigungsverfahren per Push beteiligt.
• Passwort + TOTP: nicht betroffen. Kein Bestätigungsverfahren per Push beteiligt.
• Passwort + Push: anfällig. Ein Tipp auf „Genehmigen“ genügt – aus Gewohnheit, aus Versehen oder um Ruhe zu haben. NIST SP 800-63B-4 hält reines Vergleichen und Bestätigen wegen solcher Angriffe nicht mehr für ausreichend.
• Passwort + Push: teilweise. Bestätigen geht nur mit der Zahl vom Anmeldebildschirm, die die Person nicht sieht. Ein Anruf „vom IT-Support“, der nach der Zahl fragt, bleibt ein Risiko.
• Passkey: widersteht. Es gibt keine Anfrage, die sich aus der Ferne auslösen und bestätigen ließe – die Freigabe geschieht am Gerät, an dem man sich anmeldet, oder per QR-Code mit Nähe-Prüfung.
• Passkey: widersteht. Es gibt keine Anfrage, die sich aus der Ferne auslösen und bestätigen ließe – die Freigabe geschieht am Gerät, an dem man sich anmeldet, oder per QR-Code mit Nähe-Prüfung.
• Sicherheitsschlüssel: widersteht. Es gibt keine Anfrage, die sich aus der Ferne auslösen und bestätigen ließe – die Freigabe geschieht am Gerät, an dem man sich anmeldet, oder per QR-Code mit Nähe-Prüfung.

SIM-Tausch, Umleitung von SMS – Angreifer lassen die Rufnummer auf eine eigene SIM übertragen oder leiten Nachrichten um.

• Passwort: nicht betroffen. Keine Rufnummer beteiligt.
• Passwort + SMS: anfällig. Wer die Rufnummer kontrolliert, empfängt die Codes. NIST führt SMS deshalb nur noch als eingeschränkt zulässiges Verfahren.
• Passwort + TOTP: nicht betroffen. Keine Rufnummer beteiligt.
• Passwort + Push: nicht betroffen. Keine Rufnummer beteiligt.
• Passwort + Push: nicht betroffen. Keine Rufnummer beteiligt.
• Passkey: nicht betroffen. Keine Rufnummer beteiligt.
• Passkey: nicht betroffen. Keine Rufnummer beteiligt.
• Sicherheitsschlüssel: nicht betroffen. Keine Rufnummer beteiligt.

Wiederherstellung nach Verlust – Wie kommt die Person wieder an ihr Konto, wenn Gerät oder Schlüssel weg sind?

• Passwort: mit Aufwand. Zurücksetzen über die IT oder einen hinterlegten Weg, etwa eine zweite E-Mail-Adresse. Das braucht eine Identitätsprüfung oder einen gepflegten Ersatzweg – und dieser Weg wird selbst zum Angriffsziel.
• Passwort + SMS: mit Aufwand. Das Passwort wird wie oben zurückgesetzt; für den Code braucht es eine Ersatz-SIM mit derselben Rufnummer vom Mobilfunkanbieter. Genau diesen Weg nutzen Angreifer beim SIM-Tausch.
• Passwort + TOTP: mit Aufwand. Die App muss auf dem neuen Gerät neu eingerichtet werden – mit Wiederherstellungscodes, einer Sicherung der App oder über die IT.
• Passwort + Push: mit Aufwand. Die App muss auf dem neuen Gerät neu eingerichtet werden – mit Wiederherstellungscodes, einer Sicherung der App oder über die IT.
• Passwort + Push: mit Aufwand. Die App muss auf dem neuen Gerät neu eingerichtet werden – mit Wiederherstellungscodes, einer Sicherung der App oder über die IT.
• Passkey: gut lösbar. Die Passkeys kommen über das Anbieterkonto auf ein neues Gerät zurück – vorausgesetzt, dieses Konto ist selbst gut geschützt und erreichbar.
• Passkey: mit Aufwand. Gerätegebundene Passkeys gehen mit dem Gerät verloren; ein neuer wird mit einem zweiten Verfahren oder über die IT registriert.
• Sicherheitsschlüssel: schwierig. Ein verlorener Schlüssel lässt sich weder kopieren noch wiederherstellen. Vorsorge (so empfiehlt es auch das BSI): zweiten Schlüssel registrieren und einen geregelten Weg über die IT vorsehen.

Nutzung auf mehreren Geräten – Smartphone, Firmen-Notebook, ein fremder Rechner im Besprechungsraum.

• Passwort: gut lösbar. Lässt sich überall eintippen – genau das macht es anfällig.
• Passwort + SMS: mit Aufwand. Das Passwort geht überall, für den zweiten Faktor wird jedes Mal das Smartphone gebraucht.
• Passwort + TOTP: mit Aufwand. Das Passwort geht überall, für den zweiten Faktor wird jedes Mal das Smartphone gebraucht.
• Passwort + Push: mit Aufwand. Das Passwort geht überall, für den zweiten Faktor wird jedes Mal das Smartphone gebraucht.
• Passwort + Push: mit Aufwand. Das Passwort geht überall, für den zweiten Faktor wird jedes Mal das Smartphone gebraucht.
• Passkey: gut lösbar. Auf allen Geräten im selben Anbieterkonto verfügbar; an anderen Geräten per QR-Code mit dem Smartphone in der Nähe.
• Passkey: mit Aufwand. Nur auf dem einen Gerät; an anderen Geräten über die geräteübergreifende Anmeldung per QR-Code.
• Sicherheitsschlüssel: mit Aufwand. An jedem passenden Gerät per USB, NFC oder Bluetooth nutzbar – den Schlüssel muss man dabeihaben.

Steuerung durch die IT – Kann das Unternehmen festlegen, wo die Anmeldedaten liegen, und sie beim Austritt zuverlässig entziehen?

• Passwort: mit Aufwand. Zurücksetzen und Richtlinien ja – aber nicht kontrollieren, wo das Passwort überall eingegeben, notiert oder wiederverwendet wurde.
• Passwort + SMS: mit Aufwand. Registrierte Apps und Rufnummern sind im Verzeichnis sichtbar und entfernbar. Das Passwort selbst lässt sich zurücksetzen, aber nicht kontrollieren, wo es überall eingegeben oder notiert wurde.
• Passwort + TOTP: mit Aufwand. Registrierte Apps und Rufnummern sind im Verzeichnis sichtbar und entfernbar. Das Passwort selbst lässt sich zurücksetzen, aber nicht kontrollieren, wo es überall eingegeben oder notiert wurde.
• Passwort + Push: mit Aufwand. Registrierte Apps und Rufnummern sind im Verzeichnis sichtbar und entfernbar. Das Passwort selbst lässt sich zurücksetzen, aber nicht kontrollieren, wo es überall eingegeben oder notiert wurde.
• Passwort + Push: mit Aufwand. Registrierte Apps und Rufnummern sind im Verzeichnis sichtbar und entfernbar. Das Passwort selbst lässt sich zurücksetzen, aber nicht kontrollieren, wo es überall eingegeben oder notiert wurde.
• Passkey: mit Aufwand. Die Kopien liegen beim Passkey-Anbieter, unter Umständen im privaten Konto der Person. Entziehen lässt sich der Passkey beim Dienst, wo er überall liegt, sieht die IT nicht.
• Passkey: gut lösbar. Der Passkey bleibt auf einem bestimmten, idealerweise verwalteten Gerät und lässt sich beim Dienst sperren.
• Sicherheitsschlüssel: gut lösbar. Die IT kann zugelassene Schlüsselmodelle festlegen, Schlüssel ausgeben, zurücknehmen und beim Dienst sperren.