Ab und zu beschwert sich jemand aus meiner Familie darüber, sich irgendwo nicht anmelden zu können. Der Grund? Das Passwort wurde vergessen. Wenn das passiert, helfe ich beim Zurücksetzen. Damit ist der Zugang meistens wiederhergestellt, das eigentliche Problem löst es aber nicht: Passwörter sind nicht und waren nie besonders benutzerfreundlich.

Warum sind Passwörter so schwierig?

In den frühen Tagen des Webs waren Passwörter eine einfache Methode, Nutzer zu authentifizieren. Man wählt ein Geheimnis, das nur man selbst kennt, und beweist damit seine Identität. Das funktioniert, solange niemand anders dieses Geheimnis erraten oder stehlen kann.

Mit der Zeit wurden Angreifer immer besser darin, genau das zu tun. Große Passwortlecks wurden alltäglich und Computer schnell genug, um in kurzer Zeit Millionen von Passwörtern auszuprobieren. Websites reagierten darauf mit immer mehr Regeln für Passwörter. Plötzlich brauchte man mindestens acht Zeichen, Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen und manchmal zusätzlich regelmäßige Passwortwechsel.

Aus Sicherheitsperspektive verständlich, für die meisten Menschen aber nicht besonders angenehm.

Das NIST hat seine Empfehlungen später angepasst und rät zu längeren, besser merkbaren Passwörtern statt zu kurzen, komplizierten. Viele Dienste folgen aber noch den alten Regeln. Unter diesen Anforderungen greifen Menschen oft zu vorhersehbaren Mustern wie „Sommer2023!“ oder kleinen Variationen alter Passwörter. Dadurch sind sie leichter zu merken, aber auch leichter zu erraten.

Als Ausgleich hat die Branche Zwei-Faktor-Authentifizierung und Passwortmanager eingeführt. Diese helfen, machen den gesamten Anmeldevorgang aber auch komplexer als früher.

Ein besserer Weg

Es gibt mehrere Alternativen zu klassischen Passwörtern. Manche sind sicherer, andere bequemer.

Hardware-Token wie YubiKeys sind sehr sicher, weil sie eine physische Bestätigung benötigen. Ohne das Gerät ist keine Anmeldung möglich. Sie funktionieren gut, aber für jeden Dienst ein separates Gerät dabeizuhaben, kann sich umständlich anfühlen.

Passkeys sind eine benutzerfreundlichere Option. Sie funktionieren mit den Geräten, die Menschen ohnehin verwenden. Ein Passkey wird auf dem Smartphone oder Laptop gespeichert oder über Dienste wie iCloud-Schlüsselbund oder Google Passwortmanager synchronisiert. Die Anmeldung wird so einfach wie Face ID, Touch ID oder die Geräte-PIN. Weil Passkeys auf kryptografischen Schlüsselpaaren basieren, die das Gerät nicht verlassen, können sie nicht dienstübergreifend wiederverwendet werden und sind resistent gegen Phishing.

Ein Mittelweg

Leider ist die Unterstützung für Passkeys noch begrenzt. Viele Dienste haben sie noch nicht eingeführt und manche vorhandenen Authentifizierungswerkzeuge unterstützen sie nicht gut. In meinen eigenen Projekten verwende ich deshalb oft einmalige Codes per E-Mail als einfache Alternative.

E-Mail-Codes sind nicht perfekt, aber leicht zu verstehen. Nutzer fordern einen Code an, wenn sie sich anmelden wollen, und Entwickler müssen keine Passwortrücksetzungen verwalten. Der E-Mail-Anbieter übernimmt außerdem die Kontowiederherstellung – nicht ideal, aber besser als für jede App und jeden Dienst einen eigenen Wiederherstellungsprozess zu haben.

Sobald der von mir verwendete Authentifizierungsdienst Passkeys vollständig unterstützt, kann ich sie integrieren, ohne das gesamte Authentifizierungssystem zu ändern.

Social Logins wie „Mit Google anmelden“, „Mit Apple anmelden“ oder „Mit GitHub anmelden“ (für Entwickler) sind eine weitere ziemlich gute Option. Sie sind vertraut, schnell und der Anbieter hat die E-Mail-Adresse des Nutzers bereits überprüft, sodass die App meist auf eine separate Verifizierung verzichten kann. Dadurch entsteht zwar eine Abhängigkeit von einem anderen Anbieter, dieser Kompromiss kann sich aber lohnen.

Fazit

Passwörter sind seit Jahrzehnten Teil des Webs, aber sie passen nie besonders gut dazu, wie Menschen Technologie tatsächlich nutzen. Sie sind leicht zu vergessen, leicht zu erraten und oft der schwächste Teil eines Kontos.

Neuere Methoden wie Passkeys oder hardwaregestützte Authentifizierung lösen viele dieser Probleme, indem sie das Merken von Geheimnissen überflüssig machen und Phishing deutlich erschweren. Diese Systeme sind nicht perfekt und noch nicht überall unterstützt, zeigen aber klar in die richtige Richtung.

Bis Passkeys weiter verbreitet sind, werde ich einfache Ansätze wie E-Mail-Codes oder Social Logins verwenden. Und ja, ich werde meiner Familie weiter beim Zurücksetzen ihrer Passwörter helfen – aber hoffentlich nicht für immer.