FIDO2 & WebAuthn Sicherheitsübersicht Portal-Leitfaden

Zugangsmethoden & Sicherheit

Übersicht aller Anmeldeverfahren für unsere internen und externen Dienste – von klassischen Passwörtern bis zum hardwaregestützten YubiKey auf Smartphone, Windows und Linux.

🔑
Passwort
Klassisch / Gering

Traditionelle wissensbasierte Anmeldung. Einfach, aber anfällig für Phishing und Brute-Force.

Voraussetzungen Benutzername & Passwort. Keine zusätzliche Hardware nötig.
📱
YubiKey (Handy)
Hoch (2FA / Passkey)

Anmeldung via NFC oder USB-C am Smartphone. Bietet starken Schutz unterwegs.

Voraussetzungen Aktiver Handy-Sperrbildschirm (PIN/Biometrie) + NFC/USB-C + YubiKey-PIN.
🪟
YubiKey (Win PC)
Höchste Sicherheit

Nahtloser FIDO2-Hardware-Login im Browser über das native Windows-Sicherheits-Subsystem.

Voraussetzungen Freier USB-Port / NFC + Token-PIN des YubiKeys (keine OS-Sperre nötig).
🐧
YubiKey (Linux PC)
Höchste Sicherheit

Direkter Zugriff via USB-HID oder komfortables Auflegen per NFC über den FIDO2-Bridge-Daemon.

Voraussetzungen USB: Udev-Rules / NFC: pcscd & Bridge-Daemon + YubiKey-PIN.
⚖️

Detaillierter Vergleich der Zugangsmethoden

Technische Voraussetzungen, Funktionsweise und typische Hürden im direkten Vergleich.

Methode Technischer Ablauf Voraussetzungen Besonderheiten & Hürden
1. Passwort
Klassischer Login 		Wissensbasierte Authentifizierung direkt am Authentifizierungsserver / Portal.
  • Gültiger Benutzername & Passwort
  • Keine spezielle Hardware erforderlich
 Phishing-anfällig, kein Hardware-Schutz vor Credential-Theft oder Brute-Force.
2. YubiKey an Smartphone
Android / iOS 		WebAuthn via NFC oder USB-C vermittelt durch Google Play Services / iOS Keychain.
  • Aktiver Sperrbildschirm am Smartphone (PIN, Muster, Face-ID oder Fingerabdruck)
  • NFC eingeschaltet bzw. USB-C Port
  • FIDO2-PIN des YubiKeys (falls verlangt)
 OS-Zwang: Ohne aktiven Handy-Sperrbildschirm verweigert das Smartphone das FIDO2-Subsystem komplett – selbst mit eigenem Hardware-Key!
3. YubiKey an Windows-PC
Windows 10 / 11 		Nativer USB-HID / CTAP2-Treiber über das Windows Security Dialogfenster.
  • Freier USB-Port oder kompatibler PC/SC Reader
  • FIDO2-PIN des YubiKeys
  • (Keine Windows-Hello- oder OS-Sperre nötig)
 Nahtlos integriert. Windows fragt direkt die Token-PIN des YubiKeys ab, das Betriebssystem selbst benötigt keine Displaysperre.
4. YubiKey an Linux-PC
Linux Workstation 		• USB: Direkt via /dev/hidraw
• NFC: Via fido2-nfc-bridge (PC/SC → /dev/uhid)
  • USB: Passende Udev-Regeln (z.B. plugdev)
  • NFC: pcscd + fido2-nfc-bridge
  • FIDO2-PIN des YubiKeys
  • (Kein OS-Sperrbildschirm nötig)
 Volle Kontrolle. Für NFC-Reader wird der Bridge-Daemon benötigt, damit Browser den Key als USB-HID-Gerät erkennen.
📱 Warum verlangt das Smartphone einen Sperrbildschirm?

Viele Nutzer wundern sich, warum ihr Smartphone eine PIN oder Displaysperre verlangt, obwohl der YubiKey bereits eine eigene PIN besitzt:

  • Auf Mobilgeräten greift der Browser nicht direkt auf NFC/USB zu, sondern übergibt den Aufruf an Google Play Services bzw. den iOS Keychain Daemon.
  • Beide Betriebssysteme koppeln kryptografische APIs aus Sicherheitsrichtlinien zwingend an den lokalen Secure Lock Screen.
  • Ist kein Sperrbildschirm eingerichtet, wird der WebAuthn-Aufruf vom Betriebssystem vorzeitig blockiert.
💡 Praxistipp: Auf gemeinsam genutzten Diensthandys muss für FIDO2 zwingend eine Geräte-PIN eingerichtet sein.
💻 Desktop-Vorteil: Direkte Hardware-Kontrolle

Auf Desktop-Betriebssystemen (Windows & Linux) existiert dieser OS-Sperrbildschirm-Zwang nicht:

  • Windows: Der Dialog fragt direkt die FIDO2-PIN des Security Keys ab. Eine lokale Windows-Hello-Einrichtung ist für externe Keys nicht zwingend erforderlich.
  • Linux (USB): Der Browser greift über udev-Regeln direkt auf das Raw-HID-Gerät zu.
  • Linux (NFC): Durch den Bridge-Daemon wird ein ACR1252U/ACR122U NFC-Reader als echtes virtuelles USB-Gerät (/dev/uhid) bereitgestellt.
🔒 Sicherheit: Die Sicherheitsgrenze liegt hier ausschließlich auf dem Hardware-Token selbst.