Sicherheit ohne Passwörter: Warum passwortlose Authentifizierung die Zukunft ist
Warum Passwörter unsicher sind und wie passwortlose Authentifizierung (Magic Links) bei CampusHub funktioniert. Technische und psychologische Erklärung für Admins und Sicherheitsbeauftragte.
Sicherheit ohne Passwörter: Warum passwortlose Authentifizierung die Zukunft ist
Passwörter sind das grösste Sicherheitsproblem des Internets. Sie sind schwierig zu merken, leicht zu knacken, und Menschen verwenden sie immer wieder. Gleichzeitig sind sie die dominierende Authentifizierungsmethode seit den 1960er Jahren.
Das ist anachronistisch. In diesem Artikel erklären wir, warum Passwörter ein Problem sind, wie passwortlose Authentifizierung funktioniert, und warum CampusHub bewusst auf Passwörter verzichtet.
Das Passwort-Problem: Eine Statistik, die schockiert
- 81% aller Datenlecks sind auf schwache oder gestohlene Passwörter zurückzuführen (Verizon DBIR 2023)
- 65% der Nutzer verwenden dasselbe Passwort auf mehreren Seiten
- 23 Millionen Accounts haben das Passwort „123456"
- Das durchschnittliche Passwort wird in weniger als 6 Stunden geknackt
- Passwort-Reset-Anfragen machen 20-50% des Support-Aufwands aus
Warum sind Passwörter so schwach?
1. Das menschliche Gehirn ist nicht für Passwörter gemacht
Das menschliche Gehirn kann sich 5-9 komplexe Informationen gleichzeitig merken. Aber der durchschnittliche Internetnutzer hat 100+ Accounts. Das ist unmöglich.
Die Folge:
- Passwörter werden wiederverwendet
- Passwörter werden vereinfacht
- Passwörter werden aufgeschrieben
- Passwörter werden in Browsern gespeichert
2. Passwörter sind anfällig für Brute-Force-Angriffe
Ein moderner Computer kann Millarden von Passwörtern pro Sekunde testen. Ein 8-stelliges Passwort mit Buchstaben und Zahlen wird in weniger als 1 Stunde geknackt.
Beispiel:
| Passwort-Länge | Buchstaben | Buchstaben + Zahlen | Alle Zeichen | Knackzeit |
|---|---|---|---|---|
| 8 Zeichen | 208 Sekunden | 2 Stunden | 8 Stunden | Sekunden |
| 10 Zeichen | 2 Stunden | 1 Woche | 3 Jahre | Stunden |
| 12 Zeichen | 3 Tage | 2 Jahre | 200 Jahre | Tage |
| 16 Zeichen | 50 Jahre | 1 Million Jahre | 1 Billion Jahre | Jahre |
Das Problem: Die meisten Nutzer verwenden 8-10 Zeichen. Das ist zu wenig.
3. Passwörter sind anfällig für Phishing
Phishing ist die häufigste Cyberbedrohung. Eine gefälschte Login-Seite sieht aus wie die echte. Der Nutzer gibt sein Passwort ein — und der Angreifer hat es.
Die Statistik:
- 3,4 Billionen Phishing-E-Mails werden jährlich verschickt
- 36% aller Datenlecks beginnen mit Phishing
- Passwort-Manager schützen nicht vor Phishing, wenn die Seite gefälscht ist
4. Passwörter werden geleakt
Große Plattformen werden gehackt. Passwörter werden geleakt. Und weil Nutzer Passwörter wiederverwenden, ist ein Leak bei einer Seite ein Leak bei allen Seiten.
Bekannte Leaks:
- LinkedIn (2012): 117 Millionen Passwörter
- Dropbox (2012): 68 Millionen Passwörter
- Adobe (2013): 153 Millionen Passwörter
- Yahoo (2013): 3 Milliarden Accounts
Die Lösung: Passwortlose Authentifizierung
Was ist passwortlose Authentifizierung?
Passwortlose Authentifizierung ersetzt das Passwort durch etwas, das du hast (z.B. dein E-Mail-Postfach) oder etwas, das du bist (z.B. biometrische Daten).
CampusHub nutzt Magic Links:
- Du gibst deine E-Mail ein
- Du erhältst einen zeitlich begrenzten, einmaligen Link
- Du klickst auf den Link — und bist eingeloggt
Warum ist das sicherer?
1. Kein Passwort, das geknackt werden kann
Es gibt kein Passwort. Kein Hash, der geknackt werden kann. Keine Datenbank, die geleakt werden kann. Nichts.
2. Zeitlich begrenzt
Der Token ist 15 Minuten gültig. Selbst wenn jemand den Token abfängt, hat er nur 15 Minuten Zeit. Nach Ablauf ist der Token wertlos.
3. Einmalig
Der Token kann nur einmal verwendet werden. Nach dem Login wird er ungültig. Selbst wenn jemand den Token hat, kann er ihn nicht wiederverwenden.
4. Keine Phishing-Anfälligkeit
Ein Phishing-Angriff auf den Magic-Link würde nicht funktionieren:
- Der Token ist an die E-Mail-Adresse gebunden
- Der Token ist an das Gerät gebunden
- Der Token ist zeitlich begrenzt
- Selbst wenn der Angreifer den Token hat, kann er ihn nicht wiederverwenden
5. Keine Wiederverwendung
Weil es kein Passwort gibt, kann es auch nicht wiederverwendet werden. Ein Leak bei einer anderen Seite hat keinen Einfluss auf CampusHub.
Technische Details: Wie funktioniert der Magic Link?
Token-Generierung
Token = HMAC-SHA256(Nonce + Timestamp + UserID, SECRET_KEY)
- Nonce: Ein zufälliger, 256-bit Wert, der nur einmal verwendet wird
- Timestamp: Aktuelle Zeit in Millisekunden, ermöglicht Ablauf
- UserID: Die eindeutige ID des Benutzers
- SECRET_KEY: Ein 256-bit Schlüssel, der nur dem Server bekannt ist
Token-Validierung
- Empfang: Server erhält den Token vom Client
- Ablauf-Prüfung: Ist der Token noch gültig (weniger als 15 Minuten alt)?
- Verwendungs-Prüfung: Wurde der Token bereits verwendet?
- Signatur-Prüfung: Stimmt die HMAC-Signatur?
- UserID-Prüfung: Ist die UserID gültig?
- Login: Wenn alle Prüfungen bestanden, wird ein Session-Cookie gesetzt
Session-Cookie
Cookie = base64url(UserID).HMAC-SHA256(UserID, SESSION_SECRET)
- HttpOnly: Cookie kann nicht von JavaScript gelesen werden
- Secure: Cookie wird nur über HTTPS übertragen
- SameSite: Cookie wird nur bei Same-Site-Requests gesendet
- HMAC-SHA256: Stellt sicher, dass das Cookie nicht manipuliert wurde
Psychologische Vorteile von Magic Links
1. Weniger Cognitive Load
Das menschliche Gehirn hat begrenzte Kapazität. Wenn du dir keine Passwörter merken musst, hast du mehr Kapazität für wichtige Dinge.
Studie: Nutzer, die Passwort-Manager verwenden, haben eine höhere Zufriedenheit und niedrigere Frustration. Magic Links gehen noch einen Schritt weiter — sie eliminieren das Passwort komplett.
2. Höhere Nutzung
Je weniger Reibung bei der Anmeldung, desto höher die Nutzung. Wenn die Anmeldung so einfach ist wie ein E-Mail-Link anklicken, loggen sich Nutzer häufiger ein.
Studie: Plattformen mit passwortloser Anmeldung haben eine 20-40% höher Login-Rate als plattformen mit Passwort-Anmeldung.
3. Weniger Support-Aufwand
Passwort-Reset-Anfragen sind der grösste Teil des Support-Aufwands. Mit Magic Links entfällt das komplett.
Studie: Unternehmen, die auf passwortlose Authentifizierung umgestellt haben, haben einen 50-80% niedrigeren Support-Aufwand bei Login-Problemen.
4. Höhere Sicherheit
Nutzer fühlen sich sicherer, wenn sie keine Passwörter verwalten müssen. Das steigert das Vertrauen in die Plattform.
Studie: 70% der Nutzer bevorzugen passwortlose Anmeldung gegenüber Passwort-Anmeldung.
Vergleich: Passwort vs. Magic Link vs. 2FA
| Kriterium | Passwort | Magic Link | 2FA (SMS) |
|---|---|---|---|
| Benutzerfreundlichkeit | Schlecht | Hervorragend | Mittel |
| Sicherheit | Mittel | Hervorragend | Hervorragend |
| Phishing-Resistenz | Schlecht | Hervorragend | Mittel |
| Brute-Force-Resistenz | Schlecht | Hervorragend | Hervorragend |
| Keine Wiederverwendung | Nein | Ja | Ja |
| Support-Aufwand | Hoch | Niedrig | Mittel |
| Kosten | Niedrig | Niedrig | Mittel |
| Akzeptanz | Hoch | Wachsend | Hoch |
Fazit: Magic Links bieten die beste Kombination aus Sicherheit und Benutzerfreundlichkeit.
Häufige Einwände gegen Magic Links
„Was, wenn meine E-Mail gehackt wird?"
Wenn deine E-Mail gehackt ist, hat der Angreifer Zugriff auf alle Accounts, die mit dieser E-Mail verknüpft sind — nicht nur CampusHub. Das ist ein Problem deines E-Mail-Providers, nicht von CampusHub.
Lösung:
- Aktiviere Zwei-Faktor-Authentifizierung bei deinem E-Mail-Provider
- Verwende einen sicheren E-Mail-Provider
- Wenn du deine E-Mail nicht sicherstellen kannst, ist das ein größeres Problem als CampusHub
„Was, wenn der E-Mail-Server ausfällt?"
Wenn du keinen Zugriff auf deine E-Mail hast, kannst du dich nicht anmelden. Das ist ein bewusster Trade-off. Die Alternativen (Passwort + 2FA) sind komplexer und weniger benutzerfreundlich.
Lösung:
- Stelle sicher, dass du Zugriff auf deine E-Mail hast
- Hinterlege eine alternative E-Mail-Adresse
- Wenn du keinen Zugriff hast, kontaktiere deinen Admin
„Was, wenn jemand meine E-Mail liest?"
Wenn jemand deine E-Mail lesen kann, hat er Zugriff auf den Magic Link. Aber:
- Der Link ist nur 15 Minuten gültig
- Der Link ist nur einmalig nutzbar
- Der Link ist an das Gerät gebunden
Fazit: Selbst wenn jemand deine E-Mail liest, hat er nur ein kleines Zeitfenster — und selbst dann ist der Nutzen begrenzt.
„Ist das nicht umständlicher als ein Passwort?"
Nein. Die Anmeldung mit Magic Link ist schneller als die Anmeldung mit Passwort:
| Schritt | Passwort | Magic Link |
|---|---|---|
| E-Mail eingeben | 5 Sekunden | 5 Sekunden |
| Passwort eingeben | 10 Sekunden | — |
| Passwort merken | 2 Sekunden | — |
| Auf E-Mail warten | — | 10 Sekunden |
| Link anklicken | — | 2 Sekunden |
| Gesamt | 17 Sekunden | 17 Sekunden |
Und das ist der Worst-Case für Magic Links. In den meisten Fällen ist der Link bereits im Postfach, wenn du dorthin wechselst.
Fazit: Passwortlos ist die Zukunft
Passwörter sind ein Relikt aus einer anderen Zeit. Sie sind unsicher, unbequem und kosten Support-Aufwand. Magic Links sind sicherer, bequemer und reduzieren den Support-Aufwand.
CampusHub nutzt Magic Links, weil:
- Wir die Sicherheit unserer Nutzer ernst nehmen
- Wir die Benutzerfreundlichkeit priorisieren
- Wir den Support-Aufwand minimieren wollen
- Wir die Zukunft der Authentifizierung mitgestalten wollen
Die nächsten Schritte:
- Magic-Link-Anmeldung erklärt — Schritt-für-Schritt-Anleitung
- Datenschutz und DSGVO — Wie deine Daten geschützt sind
- Account wiederherstellen — Was tun bei Problemen
- Erste Schritte mit CampusHub — So startest du sicher
Hast du Fragen zur Sicherheit von CampusHub? Schreibe uns an support@campushub.ch — wir beraten dich gerne.