Was ist YubiKey und wie schützt er Konten?
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: YubiKey ist ein kleiner Hardware-Sicherheitsschlüssel von Yubico, mit dem du die Anmeldung bei Konten und Diensten bestätigst. Mit FIDO2 oder U2F schützt er wirksamer vor Phishing als Codes, die du manuell eingibst, weil er prüft, ob die Anmeldung zur richtigen Website gehört. Zwei Schlüssel sind nicht zwingend nötig. Ein Ersatzschlüssel verringert aber deutlich das Risiko, den Zugang zu verlieren, wenn der Hauptschlüssel verloren geht oder beschädigt wird.
Was ist YubiKey und wovor schützt er?
YubiKey sieht aus wie ein kleiner USB-Stick, dient aber nicht zum Speichern von Dokumenten. Je nach Modell steckst du ihn in den passenden USB-Anschluss oder hältst ihn an dein Smartphone, um ihn per NFC zu verbinden. NFC ermöglicht eine Verbindung über kurze Entfernungen. Welche Anschlüsse und Funktionen das jeweilige Modell bietet, solltest du vor dem Kauf prüfen.
Der Schlüssel kann als zweiter Faktor bei der Authentifizierung dienen. Er liefert einen zusätzlichen Identitätsnachweis neben dem Passwort: Wer sich anmelden möchte, muss nicht nur das Passwort kennen, sondern auch Zugriff auf das physische Gerät haben. Manche Dienste erlauben außerdem eine Anmeldung mit dem Schlüssel ohne Passwort.
Der wichtigste Vorteil ist der Schutz vor einer Kontoübernahme, insbesondere durch Phishing — also durch gefälschte Anmeldeseiten, die echte Seiten nachahmen. Das bedeutet jedoch keinen umfassenden Schutz des Computers: YubiKey ist kein Antivirenprogramm und schützt nicht automatisch vor Schadsoftware oder der Übernahme einer bereits aktiven Sitzung.
Wie funktioniert die Anmeldung mit YubiKey?
In einem häufigen Einsatzszenario verwendet der Schlüssel FIDO2 oder den älteren Standard U2F. Beide ermöglichen einen kryptografischen Identitätsnachweis. Wenn du den Schlüssel zu einem Konto hinzufügst, entsteht ein kryptografisches Schlüsselpaar. Der Dienst erhält den öffentlichen Schlüssel, während der private Schlüssel auf dem Gerät bleibt.
Bei der Anmeldung sendet der Dienst eine Prüfanforderung, auf die YubiKey eine signierte Antwort erstellt. Browser und Schlüssel binden diesen Vorgang an die richtige Website. Eine gefälschte Seite kann die Antwort deshalb nicht einfach abfangen und für eine Anmeldung beim echten Dienst verwenden.
Für dich läuft die Anmeldung meist so ab:
- Du öffnest die Website des Dienstes und startest die Anmeldung.
- Falls die jeweilige Konfiguration es verlangt, gibst du dein Passwort ein.
- Du steckst YubiKey ein oder hältst ihn an dein Smartphone.
- Nach Aufforderung gibst du die PIN des Schlüssels ein und berührst seine Kontaktfläche.
Die Berührung bestätigt normalerweise nur, dass du physisch anwesend bist. Sie prüft nicht deine Identität anhand eines Fingerabdrucks. Biometrie bieten nur ausgewählte Modelle, nicht jeder YubiKey.
Mit FIDO2 lassen sich auf einem kompatiblen Schlüssel auch Passkeys speichern. Das sind Zugangsschlüssel, mit denen du dich ohne herkömmliches Passwort anmelden kannst. Ob diese Möglichkeit verfügbar ist, hängt vom Modell, vom Dienst und von der Konfiguration ab.
Welche Vorteile bietet er gegenüber SMS und einer App?
Ein SMS-Code oder ein Code aus einer Authentifizierungs-App kann auf einer gefälschten Seite eingegeben und anschließend sofort von einem Angreifer verwendet werden. YubiKey setzt bei FIDO2 oder U2F nicht auf die manuelle Eingabe eines solchen Codes und schützt deshalb besser vor diesem Angriff.
Ein Beispiel: Du erhältst eine Nachricht, dein E-Mail-Konto sei angeblich gesperrt. Der Link führt zu einer überzeugenden Kopie der Anmeldeseite. Wenn du dort dein Passwort und den aktuellen Code aus der App eingibst, kann der Betrüger versuchen, dein Konto zu übernehmen. Die FIDO-Authentifizierung funktioniert auf dieser Kopie nicht wie auf der echten Website, weil die Adresse eine andere ist.
Allerdings bietet nicht jede Funktion von YubiKey denselben Schutz. Ausgewählte Modelle unterstützen auch Einmalcodes und andere Verfahren. Die oben beschriebene Phishing-Resistenz gilt für die Anmeldung über FIDO2 oder U2F, nicht für jede beliebige Verwendung des Geräts.
Der Schlüssel ist besonders nützlich zum Schutz deines wichtigsten E-Mail-Kontos, deines Passwortmanagers, von Administratorkonten und des Verwaltungsbereichs bei deinem Domainregistrar. Wer dein E-Mail-Konto übernimmt, kann möglicherweise Passwörter bei anderen Diensten zurücksetzen. Wer Zugriff auf dein Konto beim Domainregistrar erhält, kann die Einstellungen ändern, die den Verkehr zu deiner Website und deinem E-Mail-Dienst lenken.
Braucht man zwei Schlüssel?
Meist reicht ein Schlüssel, um einen Dienst zu nutzen. Zwei Schlüssel sind jedoch eine sinnvolle Absicherung für den Notfall. Den ersten verwendest du im Alltag, den zweiten bewahrst du an einem anderen, sicheren Ort auf. Beide am selben Schlüsselbund zu tragen, schützt nicht davor, sie gleichzeitig zu verlieren.
Den Ersatzschlüssel musst du jedem Konto separat hinzufügen. Er wird nicht automatisch zu einer Kopie des ersten Schlüssels. Kaufst du erst nach dem Verlust des Zugangs einen zweiten, stellt dieser die früheren Registrierungen nicht wieder her. Prüfe außerdem, ob der Dienst die Registrierung mehrerer Schlüssel erlaubt.
Wenn du nur einen YubiKey hast, sorge für einen alternativen Weg, wieder Zugang zum Konto zu erhalten. Dazu können Wiederherstellungscodes dienen, die du außerhalb dieses Kontos aufbewahrst, oder eine andere vom Dienst zugelassene Methode. Eine schwächere Notfallmethode kann allerdings den Schutz des gesamten Kontos schwächen.
Wenn du den Schlüssel verlierst, melde dich mit der Ersatzmethode an und entferne das verlorene Gerät aus den Sicherheitseinstellungen. Der Verlust des Schlüssels bedeutet nicht zwangsläufig, dass dein Konto übernommen wurde. Trotzdem solltest du ihn nicht als aktive Anmeldemethode hinterlegt lassen.
Wie wählst du YubiKey aus und richtest ihn sicher ein?
Prüfe zuerst in der offiziellen Dokumentation deiner wichtigsten Dienste, ob sie Sicherheitsschlüssel unterstützen. Falls dir die passwortlose Anmeldung wichtig ist, prüfe auch deren Unterstützung. Vergleiche anschließend anhand der Dokumentation von Yubico die Anschlüsse, NFC, unterstützten Standards und die Kompatibilität des gewählten Modells mit deinem Smartphone und Computer. Ein passender Anschluss allein garantiert nicht, dass alle Funktionen unterstützt werden.
Beginne die Einrichtung mit einem wichtigen Konto. Füge den Hauptschlüssel hinzu, registriere den Ersatzschlüssel und bewahre die verfügbaren Wiederherstellungscodes auf. Bevor du andere Methoden deaktivierst, prüfe in einem separaten Browserfenster, ob du dich mit jedem Schlüssel anmelden und den vorgesehenen Notfallweg nutzen kannst.
Siehe auch: Was ist HAproxy?
Lesen Sie auch
