FIDO2 entwickelt sich zum De-facto-Standard für starke, phishingresistente Authentifizierung in Unternehmen und öffentlichen Einrichtungen. Durch die Kombination aus offenen Web-Standards und hardwaregestützter Kryptografie ermöglicht FIDO2 Logins ohne klassische Passwörter – oder ergänzt bestehende Verfahren um einen sehr starken Faktor. Der Beitrag erläutert die Grundlagen, typische Einsatzszenarien und die wichtigsten Herausforderungen für IT-Abteilungen.
Begriffserklärung: Was ist FIDO2?
FIDO2 ist ein offener Standard für starke, kryptografiebasierte Benutzerauthentifizierung. Er besteht im Kern aus zwei Bausteinen: der WebAuthn-Spezifikation des W3C und dem Client-to-Authenticator-Protocol (CTAP) der FIDO Alliance. WebAuthn definiert eine browser- und plattformübergreifende API, über die Webanwendungen mit Authentifikatoren kommunizieren, CTAP regelt die Kommunikation zwischen Endgerät (Client) und Authentifikator.
FIDO2 ermöglicht verschiedene Betriebsmodelle: vollständig passwortlose Anmeldung (zum Beispiel per „Passkey“), starke Zwei-Faktor-Authentifizierung oder Multi-Faktor-Authentifizierung auf Basis gerätegebundener oder portabler Authentifikatoren. Typische Authentifikatoren sind Plattform-Funktionen wie Secure Enclaves, TPM-gestützte Keys oder mobile Geräte, ebenso wie dedizierte Hardware-Sicherheitsschlüssel (Security Keys).
Im Kontext moderner Zero-Trust-Architekturen und verschärfter regulatorischer Anforderungen (zum Beispiel an starke Kundenauthentifizierung oder Administratorzugriffe) bietet FIDO2 eine standardisierte und interoperable Grundlage, um schwache oder anfällige Passwort-Logins abzulösen.
Funktionsweise & technische Hintergründe
FIDO2 folgt einem klassischen Drei-Schichten-Modell: Relying Party (Anwendung oder Identity Provider), Client (Browser/Betriebssystem) und Authentifikator.
Registrierung (Enrollment):
- Die Relying Party initiiert eine Registrierung und sendet eine Challenge sowie Richtlinien (zum Beispiel unterstützte Algorithmen) an den Client.
- Der Authentifikator erzeugt lokal ein Schlüsselpaar (privat/öffentlich), schützt den privaten Schlüssel im sicheren Speicher und sendet den öffentlichen Schlüssel zusammen mit einer Attestierung (zum Beispiel Informationen zum Authentifikatortyp) zurück.
- Der Server speichert öffentlichen Schlüssel, Credential-ID und Metadaten.
Authentifizierung (Sign-in):
- Bei der Anmeldung erzeugt der Server erneut eine Challenge, die der Authentifikator mit dem privaten Schlüssel signiert, nachdem der oder die Nutzer:in lokal verifiziert wurde (Biometrie, PIN oder ähnliches).
- Der Server prüft Signatur, Challenge, Origin-Bindung (RP-ID) und weitere Parameter, bevor Zugriff gewährt wird.
CTAP2 definiert die Nachrichten und Befehle zwischen Client und Authentifikator; unterstützt werden unter anderem USB HID, NFC und Bluetooth Low Energy als Transport. Moderne Implementierungen kombinieren häufig CTAP2 mit CTAP1 (U2F) für Rückwärtskompatibilität zu älteren Security Keys.
Ein wichtiges Konzept sind „Passkeys“: gerätegebundene oder über Cloud-Dienste synchronisierte FIDO2-Credentials, die Passwortfelder in Anwendungen vollständig ersetzen können.
Anwendungsbeispiele in der Praxis mit FIDO2
Unternehmens-Login & Single Sign-on
Mitarbeitende melden sich an zentralen Identity-Providern (IdPs) mit FIDO2-basierten Passkeys oder Security Keys an, anstatt Passwörter oder OTPs zu verwenden. Nach erfolgreicher Authentifizierung stehen SSO-gestützt Cloud- und On-Prem-Anwendungen zur Verfügung.
Verwaltungs- und Bürgerportale
Bürger:innen können sich mit ihrem Smartphone und lokalem Biometrie-Faktor sicher an Online-Portalen anmelden, ohne komplexe Passwort-Richtlinien erfüllen zu müssen. Dadurch wird die Nutzung digitaler Verwaltungsleistungen deutlich erleichtert.
Hochsichere Admin- und Remotezugänge
Für privilegierte Konten (zum Beispiel Domain-Administratoren, OT-Operatoren) kommen hardwarebasierte FIDO2-Token als verpflichtender Faktor zum Einsatz. So lassen sich Credential-Phishing, Passwort-Spraying und Wiederverwendung kompromittierter Kennwörter wirksam eindämmen.
Kontoschutz im B2C-Umfeld
Banken, E-Commerce-Plattformen und SaaS-Anbieter integrieren FIDO2 in ihre Web-Frontends, um Kund:innen eine Option für phishingresistente Anmeldung zu bieten – oft zunächst optional, später als Standard.
Nutzen und Herausforderungen
Zentrale Vorteile von FIDO2
- Sicherheit: Kryptografische Schlüsselpaar-Authentifizierung mit Bindung an die Domain des Dienstes macht klassische Phishing-Angriffe weitgehend wirkungslos.
- Benutzererlebnis: Anmeldung per Fingerabdruck, Gesichtserkennung oder kurzer PIN ist schneller und komfortabler als Passwort-Eingaben oder TOTP-Codes.
- Skalierbarkeit & Standardisierung: Offene Standards reduzieren Integrationsaufwand und schaffen Interoperabilität zwischen Browsern, Betriebssystemen und unterschiedlichen Authentifikatoren.
- Compliance: Starke, nachweisbare Multi-Faktor-Authentifizierung unterstützt regulatorische Anforderungen und interne Sicherheitsrichtlinien.
Typische Herausforderungen
- Migration & Legacy-Systeme: Ältere Anwendungen ohne WebAuthn-Unterstützung müssen modernisiert, migriert oder über Proxys beziehungsweise IdPs angebunden werden.
- Geräte- und Lebenszyklus-Management: Umgang mit verlorenen Geräten, Wechsel des Endgeräts, Backup-Strategien für Passkeys und Richtlinien für Zweit-Credentials erfordern durchdachte Prozesse.
- Nutzerakzeptanz: Umstellungen auf passwortlose Verfahren müssen kommunikativ begleitet und mit klaren Self-Service-Optionen (zum Beispiel Recovery) kombiniert werden.
- Komplexität im Design: Die Vielzahl an Authenticator-Klassen, Attestierungsmodellen und Richtlinien (zum Beispiel für zulässige Kryptografie) verlangt Architekturkompetenz in den IT-Teams.
Alternative Lösungen
Neben FIDO2 setzen viele Organisationen weiterhin auf klassische MFA-Verfahren wie TOTP-Apps, SMS-TAN oder E-Mail-Codes. Diese erhöhen die Sicherheit gegenüber reinen Passwörtern, bleiben aber anfällig für Phishing und Man-in-the-Middle-Angriffe.
Smartcards und PKI-basierte Lösungen bieten ebenfalls starke Authentifizierung, sind in der Praxis jedoch häufig mit höherem Rollout- und Betriebsaufwand verbunden (zum Beispiel Kartenausgabe, Middleware, Treiber).
Frühere FIDO-Generationen wie U2F adressierten vor allem den zweiten Faktor, während FIDO2/WebAuthn passwortlose und plattformübergreifende Szenarien abdeckt und damit langfristig viele proprietäre Verfahren ablösen kann.
Fazit
FIDO2 bietet Unternehmen und Behörden einen zukunftsfähigen, standardisierten Ansatz für starke, nutzerfreundliche Authentifizierung – bis hin zu vollständig passwortlosen Login-Prozessen. Insbesondere im Rahmen moderner Zero-Trust-Strategien und zunehmender Cloud-Nutzung ist FIDO2 ein zentraler Baustein, um Angriffsflächen rund um Identitäten deutlich zu reduzieren.
Für die erfolgreiche Einführung sind neben technischer Integration vor allem ein durchdachtes Credential-Lifecycle-Management, klare Nutzerprozesse und geschulte IT-Teams entscheidend. Wer frühzeitig Pilotprojekte startet und FIDO2 strategisch in seine IAM-Roadmap integriert, kann Sicherheit, Benutzererlebnis und Compliance zugleich verbessern und sich langfristig von passwortbasierten Altlasten lösen.
Autor
Michael Deinhard
Artikel erstellt: 27.02.2026
Artikel aktualisiert: 02.03.2026
