Fido2-Zertifizierung: Passwortlos im Internet mit Windows Hello

Mit Windows Hello können sich Nutzer mit ihrem Gesicht oder ihrem Fingerabdruck passwortlos beim Microsoft-Betriebssystem Windows 10 anmelden. Das System wurde kürzlich Fido2-zertifiziert und ermöglicht ab der Windows-10-Version 1903 auch passwortloses Anmelden bei Internetdiensten per Webauthn. Das bringe die 800 Millionen Windows-10-Nutzer einen Schritt näher an eine Welt ohne Passwörter, schreibt Microsoft in einem Blogeintrag.

Viele Internetdienste, die Fido2 unterstützen, gibt es bisher noch nicht. Microsoft unterstützt passwortloses Anmelden mit seiner zentralen Loginseite für Dienste wie Outlook, Office 365 oder Onedrive bereits. Das funktioniert schon mit der Windows-10-Version 1809 - allerdings nur mit dem Browser Edge. Laut Microsoft soll mit Version 1903 des Betriebssystems auch Firefox das passwortlose Anmelden unterstützen. Chrome, Chromium und der darauf basierende neue Edge-Browser sollen folgen.

Sicherer als Passwörter

Statt des Passworts kommt Public-Key-Kryptografie zum Einsatz. Ähnlich wie bei PGP oder SSH werden öffentliche und private Schlüssel generiert. Der private Schlüssel kann bei Fido2-Sticks mit einer PIN oder im Falle von Windows Hello mit biometrischen Daten oder einer PIN geschützt werden.

Der öffentliche Schlüssel wird zwischen Nutzer und Webdienst ausgetauscht. Will sich der Nutzer einloggen, schickt der Dienst eine Challenge an ihn, mit der er beweist, dass er im Besitz des privaten Schlüssels ist - ohne dass der private Schlüssel das Gerät verlässt. Das Ergebnis wird an den Dienst geschickt, der über den öffentlichen Schlüssel überprüft, ob der Einloggende sich auch wirklich im Besitz des privaten Schlüssels befindet. Trotz Kritik an den teilweise schon älteren Algorithmen, die im Webauthn-Standard verwendet werden, ist das System deutlich sicherer als Passwörter - und kann in der Handhabung für den Nutzer angenehmer sein. Der Internetstandard Webauthn für passwortloses Anmelden wurde erst im März dieses Jahres verabschiedet.