Phishing-sichere Anmeldung mit dem YubiKey
Ein Hardware-Schlüssel ersetzt Benutzername und Passwort durch einen kurzen Fingertipp und kann auf einer gefälschten Seite gar nicht erst missbraucht werden. Hier erkläre ich euch, warum das so ist und wie das technisch funktioniert. Auf den verlinkten Testseiten könnt ihr es mit einem YubiKey gern selbst einmal ausprobieren.
Gegen Phishing gebaut
Der Schlüssel merkt sich, für welche Webadresse er angelegt wurde, und antwortet nur dieser. Eine täuschend echte Fälschung bekommt vom Schlüssel schlicht keine Antwort. Es gibt kein Geheimnis, das ihr versehentlich auf der falschen Seite eingeben könntet.
Bequemer als Passwörter
Kein krampfhaftes Ausdenken, umständliches Merken und ständiges Zurücksetzen von Passwörtern mehr. Anmelden bedeutet: Schlüssel anstecken oder auflegen und antippen. Kein zweiter Code aus einer App, kein Abtippen.
Nichts Geheimes verlässt den Schlüssel
Kein Geheimnis verlässt den Schlüssel. Der private Schlüssel bleibt immer auf dem Sicherheitschip und kann nicht ausgelesen werden. Die Seite bekommt bei jeder Anmeldung eine frische, einmalige Signatur, die beweist, dass euer YubiKey den Schlüssel hält und damit diesen Login bestätigt hat. Es gibt kein Passwort, das gestohlen oder bei einem Daten-Leck erbeutet werden könnte.
Und der Passwort-Tresor?
Ein guter Passwort-Tresor ist ein großer Fortschritt gegenüber wiederverwendeten Passwörtern, vor allem als Browser-Erweiterung, die nur auf der echten Adresse automatisch ausfüllt. Der Hardware-Schlüssel geht einen Schritt weiter: kein auslesbares Geheimnis, kein Master-Passwort als einzelner Angriffspunkt, und er verweigert die falsche Seite selbst. Beides ergänzt sich gut, mehr dazu unten.
Im Vergleich
| Passwort | Passwort-Tresor | Hardware-Schlüssel | |
|---|---|---|---|
| Phishing-resistent | ✕ Nein | ~ teilweise | ✓ Ja |
| Nichts zum Merken | ✕ Nein | ✓ Ja | ✓ Ja |
| Kein auslesbares Geheimnis | ✕ Nein | ✕ Nein | ✓ Ja |
| Übersteht ein Server-Daten-Leck | ✕ Nein | ✕ Nein | ✓ Ja |
| Kein einzelner Angriffspunkt | ✕ Nein | ✕ Nein | ✓ Ja |
„Teilweise": ein automatischer Tresor (Browser-Erweiterung) füllt nur auf der echten Adresse aus und wehrt Lookalike-Seiten dadurch gut ab. Ein händisch bedienter Tresor schützt hier nicht, siehe unten.
Passwort-Tresore richtig einordnen
Ein händisch bedienter Tresor (ihr öffnet ihn, sucht den Eintrag, kopiert Passwort und Benutzernamen selbst) schützt nicht davor, auf einer täuschend echten Adresse zu landen. Kommt ihr über einen Link aus einer E-Mail oder Nachricht, kann die Adresse minimal gefälscht sein, und ihr fügt eure Zugangsdaten auf der Seite des Angreifers ein.
Ein gut konfigurierter automatischer Tresor (Browser-Erweiterung) entschärft genau das: Er füllt Zugangsdaten nur auf der Adresse automatisch aus, für die sie gespeichert wurden. Eine Lookalike- oder Homograph-Adresse ist für ihn eine andere Adresse, also füllt er dort nichts aus, ein starkes Warnsignal. Dieser Angriffsweg lässt sich damit also durchaus weitgehend abfangen.
Welchen Passwort-Tresor?
Wir nennen nur Tresore, die das oben beschriebene origin-gebundene Autofill nachweislich sauber umsetzen (kein Ausfüllen auf fremden oder nur ähnlichen Adressen). Das sind Beispiele, keine vollständige Marktübersicht.
Strengstes Origin-Binding, füllt nur auf exakt gespeicherten Adressen, plus Paste-Warnung bei URL-Mismatch.
Sauber, mit granularen Match-Regeln (Domain/Host/Wildcard), passt zum Privacy-Fokus.
Füllt nur auf der gespeicherten Domain, Option „nur exakte URL", Phishing-Alert bei Mismatch (Desktop).
KeeperFill matcht die gespeicherte Adresse und füllt nicht bei Mismatch (herstellerbelegt).
Exakter Domain-Match laut Hersteller, eine Lookalike-Adresse bekommt kein Autofill.
Open-Source, Homograph-Schutz per Default korrekt. Härten: Match auf „Host/Exact", Autofill-beim-Laden aus (iframe-/Subdomain-Einschränkung).
Transparentes Origin-Binding, Per-Site-Abfrage vor dem Ausfüllen, Open-Source.
Mit „Herstellerangabe" markierte Punkte sind vom Anbieter formuliert (kein unabhängiges Audit); 1Password, Bitwarden und KeePassXC haben externe/transparente Belege. Bewusst nicht empfohlen: RoboForm (Match-Strenge nicht belegbar) und Enpass (nur mit Zusatz-Setup).
Transparenz: Mit „Affiliate" markierte Anbieter haben ein Partnerprogramm. Sobald wir beitreten, werden deren Links zu Affiliate-Links: Nutzt ihr sie, erhalten wir ggf. eine Provision, euer Preis bleibt gleich. Wir listen einen Anbieter nur, wenn er das genannte Feature wirklich unterstützt, nie für Provision in die Irre.
Wie der Schutz technisch greift
Beim Einrichten merkt sich der Schlüssel die Webadresse (den „Origin") der Seite. Beim Anmelden fragt der Browser den Schlüssel nur dann, wenn die aktuelle Adresse exakt dazu passt. Eine Phishing-Seite läuft zwangsläufig unter einer anderen Adresse, also verweigert der Browser die Anfrage, bevor der Schlüssel überhaupt reagiert. Genau das zeigt der „böse Zwilling".