Anmeldung ohne Passwort: W3C erklärt WebAuthn zum Standard

Die Standardisierungsorganisation World Wide Web Consortium (W3C) hat die Web Authentication API – meist als WebAuthn bezeichnet – zu einem offiziellen Webstandard erklärt. Bislang galt nur die Empfehlung, das passwortlose Anmeldeverfahren zu nutzen.

Die Befürwortung als Standard soll ausdrücken, dass die API jetzt in einer stabilen Version verfügbar ist. Websites sollen WebAuthn demnach in seiner gegenwärtigen Form implementieren können, ohne befürchten zu müssen, das künftige Änderungen das Verfahren brechen. Unterstützt wird der Standard ohnehin schon in Browsern wie Google Chrome, Microsoft Edge und Firefox – wie auch in einer Vorschauversion von Apples Safari. Auch Android und Windows 10 unterstützen ihn bereits.

Als Web-Authentifizierungsmethode soll WebAuthn Passwörter überflüssig machen. Die WebAuthn-API des W3C kann in Browser und Webplattform-Infrastrukturen integriert werden und ermöglicht starke, eindeutige, auf öffentlichen Schlüsseln basierende Anmeldeinformationen für jede Website. Sie eliminiert damit das Risiko, dass ein von einer Website gestohlenes Passwort verwendet werden kann.

WebAuthn erlaubt dem Nutzer die Anmeldung und Authentifizierung bei Websites und Mobil-Apps mit einem „Authentikator“ anstelle eines Passworts. Dabei kann es sich um einen Hardware-Security-Key handeln, der mit seinem Computer verbunden wurde. Ebenso möglich ist eine Identifizierung durch Mobilgeräte und durch biometrische Informationen – etwa anhand von Fingerabdruck, Gesichtsscan oder Iris-Scan. Die Befürworter erhoffen sich davon mehr Sicherheit und eine breitere Akzeptanz als bei herkömmlicher Multi-Faktor-Authentifizierung (MFA) wie etwa dem Versenden von Einmal-Codes per SMS, bei dem noch immer eine Anfälligkeit für Phishing-Attacken gegeben sei.

Die Entwicklung des WebAuthn-Standards begann 2015, nachdem die FIDO Alliance (Fast Identity Online) dem W3C die Spezifikation FIDO2 überließ. FIDO ist eine 2012 gegründete Vereinigung mit dem Ziel, Passwörter weitgehend überflüssig zu machen durch offene und plattformübergreifende Authentifizierungsmethoden. Zu ihren Gründungsmitgliedern gehören Lenovo und Paypal, auch Google, Microsoft, Samsung und andere namhafte Firmen sind vertreten.

Die vorhergehende FIDO-Spezifikation U2F wird bereits von Browsern und Webdiensten unterstützt und erlaubt die Anmeldung mit Sicherheitsschlüsseln wie Yubicos YubiKey. Mit FIDO2 und WebAuthn erfolgte eine Weiterentwicklung, bei der eine Vielzahl weiterer Authentifizierungssysteme einschließlich biometrischer Verfahren Unterstützung findet. „Jetzt ist es Zeit für Webdienste und Unternehmen, WebAuthn einzuführen, um angreifbare Passwörter hinter sich zu lassen und Nutzern zu helfen, die Sicherheit ihrer Online-Erfahrungen zu verbessern“, sagte W3C-Chef Jeff Jaffe.

ZDNet.de Redaktion

Recent Posts

Wie ChatGPT Cyberkriminelle unterstützen kann

Experten von Bitdefender warnen vor den zukünftigen Gefahren durch Chatbots mit künstlicher Intelligenz.

4 Stunden ago

SAP Analytics Cloud – aus der Praxis für die Praxis

Checkliste unterstützt Anwender mit Empfehlungen für Datenmodellierung, Reportdesign und Einsatz der SAP Analytics Cloud.

4 Stunden ago

Facebook-Mutter meldet Gewinneinbruch im vierten Quartal

Einmalige Kosten in Höhe von mehr als vier Milliarden Dollar belasten das Ergebnis. Anleger verhelfen…

9 Stunden ago

Ab 949 Euro: Samsung stellt Galaxy S23, S23+ und S23 Ultra vor

Der Qualcomm Snapdragon 8 Gen 2 ersetzt Samsungs hauseigenen Exynos-Prozessor. Das S23 Ultra nimmt Fotos…

11 Stunden ago

Verbesserte Audioqualität und Interoperabilität für Hybrid Work

Mehr Auswahlmöglichkeiten bei hybriden Meetings verspricht Cisco mit neuen Collaboration-Geräten für Microsoft Teams.

1 Tag ago

AMD meldet Umsatzplus und Gewinneinbruch im vierten Quartal

Einmalige Kosten aus der Übernahme von Xilinx fressen den Profit fast vollständig auf. Die Einnahmen…

1 Tag ago