Login ohne Passwort - WebAuthn ist neuer Authentifizierungsstandard

Das World Wide Web Consortium hat WebAuthn als neuen Standard zur Authentifizierung im Internet gebilligt.

Das World Wide Web Consortium (W3C) hat in Kooperation mit der FIDO Alliance die Web Authentication API (auch WebAuthn genannt) als neuen, offiziellen Web-Standard bestätigt (via Heise). Mithilfe von WebAuthn können Nutzer sich im Internet mithilfe von biometrischen Daten, portablen Geräten oder spezifischen FIDO-Sicherheitskeys in ihre Accounts einloggen. Der klassische Login mit Nutzername und Passwort entfällt.

WebAuthn soll dabei nicht nur für mehr Bequemlichkeit und Flexibilität beim Login sorgen, sondern gegenüber Passwörtern auch ein höheres Maß an Sicherheit gewährleisten. Es sei an der Zeit, erklärte W3Cs CEO Jeff Jaffe in einer Pressemitteilung, dass Web-Dienste und -Firmen WebAuthn nutzen, um die Sicherheit der Online-Erfahrung ihrer Nutzer über verwundbare Passwörter hinaus zu verbessern.

Mehr Sicherheit durch WebAuthn

Das W3C betont dabei die Vorteile, die sich aus WebAuthn ergeben und verweist auf die Vermeidung von Risiken wie Phishing, Passwort-Diebstahl und Replay-Angriffen. Dienstleister und Web-Firmen, die auf WebAuthn zurückgreifen möchten, können sich über ein separates Programm entsprechend der FIDO2-Standards zertifizieren lassen.

Aktuell unterstützen Firefox, Chrome und Edge den WebAuthn-Standard. Unter Safari gibt es eine entsprechende Funktion bislang nur als Test-Feature. Wer WebAuthn selbst nutzen möchte, kann das mithilfe spezifischer Anmeldeverfahren tun, die auf biometrische Merkmale zurückgreifen. Alternativ stehen Hardware-Security-Token und Apps für Smartphones zur Verfügung.

Erste Webseiten wie Dropbox, Facebook, GitHub und Twitter haben übrigens bereits damit begonnen, WebAuthn als Login-Verfahren in ihre Services zu integrieren. Der Standard hat unter anderem den Segen von Amazon, Apple, IBM und Google erhalten, die Mitglieder des World Wide Web Consortiums sind.