Es beginnt mit einem Blick. Oder einem Fingerabdruck. Vielleicht mit dem muskul\u00e4ren Ged\u00e4chtnis der Finger, die \u00fcber eine Tastatur fliegen, mit einer bestimmten, unverwechselbaren Rhythmik. In der Sekunde, in der Sie diesen Satz lesen, authentifizieren Sie sich wahrscheinlich gerade selbst \u2013 bewusst oder unbewusst \u2013 gegen\u00fcber einem Ger\u00e4t, einem Programm oder einem Dienst. Die Frage „Wer bist du?“ ist so alt wie die Menschheit selbst. Doch die Antworten, die wir in der digitalen Sph\u00e4re geben, sind komplexer, fragiler und folgenreicher denn je.<\/p>\n\n\n\n
Dieser Artikel unternimmt eine Reise durch die Geschichte und Gegenwart der Authentifikation. Er beleuchtet, wie sich das Verh\u00e4ltnis von Mensch und Maschine, von Vertrauen und Kontrolle, im Spiegel der Zugangsberechtigung gewandelt hat. Von den stummen W\u00e4chtern der Vorzeit \u00fcber die Lochkarten-Pioniere bis hin zu den verhaltensbiometrischen Systemen der Gegenwart \u2013 wir fragen nicht nur nach dem „Wie“, sondern auch nach dem „Warum“ und den oft \u00fcbersehenen Kosten der Sicherheit.<\/p>\n\n\n\n
Die Geschichte der Authentifikation ist \u00e4lter als der Computer. Sie beginnt dort, wo Menschen begannen, Besitz, Wissen und Territorium zu markieren und zu sch\u00fctzen.<\/p>\n\n\n\n
Bereits in den fr\u00fchen Hochkulturen Mesopotamiens vor \u00fcber 5000 Jahren entwickelten die Menschen ein Verfahren, das alle Elemente moderner Authentifikation im Keim enthielt: das Rollsiegel. Ein Zylinder aus Stein, mit einem individuellen Muster versehen, wurde \u00fcber feuchten Ton gerollt. Wer dieses Siegel besa\u00df, konnte Autorit\u00e4t aus\u00fcben, Vertr\u00e4ge besiegeln oder Vorratsgef\u00e4\u00dfe kennzeichnen. Hier verschmolz der Besitzfaktor<\/strong> (der physische Zylinder) mit dem Wissensfaktor<\/strong> \u2013 dem Wissen darum, welches Siegel zu wem geh\u00f6rte und welche Bedeutung es trug. Die Authentifizierung war \u00f6ffentlich und privat zugleich: Das Muster war sichtbar, aber die Verantwortung f\u00fcr den Besitz des Siegels lag beim Einzelnen.<\/p>\n\n\n\n Mit der Verbreitung der Schrift trat ein neues Element hinzu: die Unterschrift. Im r\u00f6mischen Reich wurde sie zur rechtsverbindlichen Form der Willensbekundung. Sie war mehr als ein Name \u2013 sie war ein individuelles, wenn auch erlernbares Muster. In einer Zeit geringer Alphabetisierung blieb sie jedoch ein elit\u00e4res Instrument. Parallel dazu entwickelten sich physische Merkmale als Identifikatoren: Narben, besondere k\u00f6rperliche Male wurden in Steckbriefen und Dokumenten festgehalten. Dies war eine fr\u00fche, wenn auch grobe Form der biometrischen Authentifizierung \u2013 der K\u00f6rper als Ausweis.<\/p>\n\n\n\n \u00dcber Jahrhunderte blieb die direkte, menschliche Interaktion die verl\u00e4sslichste Form der Authentifikation. Der Torw\u00e4chter einer Stadt, der Pf\u00f6rtner eines Klosters, der Diener am Hof \u2013 sie alle waren lebende Firewalls. Ihr Urteil basierte auf Wiedererkennung („Ich kenne dieses Gesicht“), auf kontextuellem Wissen („Er tr\u00e4gt die Livree des Grafen“) oder auf einem Losungswort. Dieses System war sozial eingebettet und scheiterte genau dort, wo das soziale Gef\u00fcge riss oder durch T\u00e4uschung unterwandert wurde.<\/p>\n\n\n\n Die industrielle Revolution und das Aufkommen erster mechanischer und elektrischer Rechenmaschinen stellten die Authentifikation vor ein v\u00f6llig neues Problem: Wie spricht man mit einer Maschine, die kein Gesicht, keine Intuition und kein Ged\u00e4chtnis f\u00fcr Personen hat?<\/p>\n\n\n\n Herman Holleriths Lochkartenmaschine, entwickelt f\u00fcr die US-Volksz\u00e4hlung von 1890, war ein Meilenstein. Die Lochkarte selbst wurde zum ersten weit verbreiteten Tr\u00e4ger maschinenlesbarer Identit\u00e4tsdaten. Die Position der L\u00f6cher codierte nicht nur Zahlen, sondern auch Informationen \u00fcber eine Person. Der Zugang zur Maschine und zu den von ihr verarbeiteten Daten wurde fortan durch den Besitz der richtigen Karte und das Wissen um deren Handhabung geregelt. Die Lochkarte war der archaische Vorfahre aller sp\u00e4teren Chipkarten und Tokens.<\/p>\n\n\n\n In den 1960er-Jahren, am Massachusetts Institute of Technology (MIT), entstand mit dem Compatible Time-Sharing System (CTSS) eines der ersten Mehrbenutzer-Betriebssysteme. Mehrere Nutzer sollten gleichzeitig \u00fcber entfernte Terminals auf den teuren Gro\u00dfrechner zugreifen k\u00f6nnen \u2013 aber jeder nur auf seine eigenen Dateien. Die L\u00f6sung war simpel und folgenreich: Jeder Nutzer erhielt einen geheimen Namen, ein Passwort. Der Pionier Fernando J. Corbat\u00f3, der dieses System mitentwickelte, ahnte kaum, welches Leid er damit \u00fcber zuk\u00fcnftige Generationen bringen w\u00fcrde. Das Passwort war die Digitalisierung des Losungsworts \u2013 nur dass der W\u00e4chter (der Rechner) kein Gesicht hatte und jedes noch so komplexe Wort in einer Datei irgendwo auf der Festplatte gespeichert war.<\/p>\n\n\n\n Ein Quantensprung gelang in den 1970er-Jahren. Die Entwicklung der asymmetrischen Kryptografie durch Whitfield Diffie, Martin Hellman und sp\u00e4ter Ralph Merkle (sowie zeitgleich und geheim durch die britischen Geheimdienste) revolutionierte das Denken \u00fcber Authentifikation. Mit dem Verfahren des „Public Key“ konnte man nun zwei Dinge trennen: den \u00f6ffentlichen Schl\u00fcssel zum Verschl\u00fcsseln oder zum Pr\u00fcfen einer Signatur und den privaten, geheimen Schl\u00fcssel zum Entschl\u00fcsseln oder Signieren. Damit war es erstmals m\u00f6glich, die Identit\u00e4t eines Absenders kryptografisch zweifelsfrei nachzuweisen (digitale Signatur), ohne dass beide Parteien ein gemeinsames Geheimnis teilen mussten. Die Authentifikation wurde mathematisch.<\/p>\n\n\n\n Mit dem Einzug des Personal Computers in die B\u00fcros und Wohnzimmer ab den 1980er-Jahren wurde die Frage des Zugangs pl\u00f6tzlich allt\u00e4glich. Der Rechner war nicht mehr ein entfernter, heiliger Gral, sondern ein pers\u00f6nliches Werkzeug.<\/p>\n\n\n\n Fr\u00fche PCs wie der Apple II oder der IBM PC hatten oft gar keine Benutzerauthentifikation. Sie waren pers\u00f6nliche Ger\u00e4te. Erst mit dem Aufkommen von Netzwerken und Mehrbenutzersystemen wie Windows NT oder Unix-Derivaten hielt das Passwort auch hier Einzug. Doch die Nutzer waren andere: keine geschulten Wissenschaftler, sondern Sekret\u00e4rinnen, Buchhalter und Kinder. Die Folge waren die Geburtsstunde aller heutigen Passwortprobleme: einfache, leicht zu merkende W\u00f6rter, aufgeschriebene Zettel unter der Tastatur und niemals ge\u00e4nderte Standardpassw\u00f6rter.<\/p>\n\n\n\n Mit der wachsenden Zahl von Anwendungen wuchs auch die Zahl der Passw\u00f6rter. Die IT-Abteilungen der 1990er-Jahre standen vor einem Dilemma: Zu viele Passw\u00f6rter f\u00fchrten zu Unsicherheit (weil sie aufgeschrieben wurden) und hohen Supportkosten („Ich habe mein Passwort vergessen“). Die L\u00f6sung hie\u00df Single Sign-On (SSO). Ein einmaliger Login am Rechner oder im Netzwerk sollte den Zugang zu allen berechtigten Diensten erm\u00f6glichen. Systeme wie Kerberos, am MIT entwickelt, schufen eine zentrale Instanz, die den Nutzer einmal authentifizierte und ihm dann „Tickets“ f\u00fcr andere Dienste ausstellte. Der Komfortgewinn war enorm \u2013 doch das SSO-System wurde zur neuen Achillesferse. Wer den Master-Key besa\u00df, besa\u00df das digitale Reich.<\/p>\n\n\n\n Das World Wide Web sprengte die Grenzen des lokalen Netzwerks. Die Identit\u00e4t wurde zur Ware, zum Angriffsziel und zum zentralen Problem des E-Commerce.<\/p>\n\n\n\n Mitte der 2000er-Jahre war der durchschnittliche Internetnutzer l\u00e4ngst \u00fcberfordert. Dutzende von Zug\u00e4ngen zu Online-Shops, E-Mail-Konten, Foren und Banken f\u00fchrten zur „Passwort-M\u00fcdigkeit“. Die Branche reagierte mit immer strengeren Richtlinien: Sonderzeichen, Gro\u00df- und Kleinschreibung, regelm\u00e4\u00dfiger Wechsel. Studien, unter anderem vom National Institute of Standards and Technology (NIST), zeigten jedoch sp\u00e4ter, dass diese Politik oft kontraproduktiv war. Erzwungene, h\u00e4ufige Wechsel f\u00fchrten zu vorhersehbaren Mustern (Passwort1, Passwort2…). Das NIST relativierte diese Empfehlungen in seinen „Digital Identity Guidelines“ (SP 800-63) schlie\u00dflich.<\/p>\n\n\n\n Die Erkenntnis, dass das Passwort allein nicht mehr zu retten war, f\u00fchrte zur breiten Einf\u00fchrung der Zwei-Faktor-Authentifizierung (2FA). Die Idee war alt, aber die Umsetzung wurde nun massentauglich.<\/p>\n\n\n\n Der gro\u00dfe Durchbruch der Biometrie kam mit dem Smartphone. Apples iPhone 5S f\u00fchrte 2013 mit TouchID den Fingerabdrucksensor in der Breite ein. Die Bequemlichkeit war \u00fcberw\u00e4ltigend. Pl\u00f6tzlich war starke Authentifikation (der Finger als K\u00f6rperfaktor) einfacher als die Eingabe eines vierstelligen PIN-Codes. Windows Hello zog mit Gesichtserkennung und Fingerabdruck nach.<\/p>\n\n\n\n Doch die Einf\u00fchrung der Biometrie entfachte auch eine neue Debatte: Was passiert, wenn mein Fingerabdruck gestohlen wird? Ein Passwort kann ich \u00e4ndern, meinen Finger nicht. Und wer sagt mir, dass mein Fingerabdruck nicht irgendwo in einer Cloud-Datenbank des Herstellers gespeichert ist? Die Hersteller beteuern, die Daten blieben lokal in einer sicheren Enklave auf dem Ger\u00e4t (der „Secure Enclave“ bei Apple oder dem „Trusted Platform Module“ unter Windows) \u2013 ein wichtiger Unterschied zu zentralen Datenbanken, wie sie etwa in einigen L\u00e4ndern f\u00fcr Ausweise verwendet werden.<\/p>\n\n\n\n Heute stehen wir an einem Scheideweg. Die Authentifikation ist allgegenw\u00e4rtig, aber ihr Ideal ist es, unsichtbar zu werden.<\/p>\n\n\n\n Auch als adaptive Authentifizierung bekannt, versucht dieses Verfahren, den Benutzer im Hintergrund zu analysieren. Wo melde ich mich an? Zu welcher Uhrzeit? Mit welchem Ger\u00e4t? Wie schnell tippe ich? Wie bewege ich die Maus? Weicht das aktuelle Verhalten vom \u00fcblichen Profil ab, wird eine st\u00e4rkere Authentifizierung verlangt. Ist alles wie immer, bleibt der Zugang fl\u00fcssig. Dies ist der Versuch, die Intuition des menschlichen W\u00e4chters zu simulieren \u2013 nur auf Basis von Statistik und maschinellem Lernen.<\/p>\n\n\n\n Die Technologiebranche (angef\u00fchrt von Apple, Google und Microsoft) hat sich auf einen Nachfolger des Passworts geeinigt: Passkeys, basierend auf dem Standard der FIDO-Allianz. Ein Passkey ist ein kryptografisches Schl\u00fcsselpaar. Der private Schl\u00fcssel verl\u00e4sst niemals das Ger\u00e4t des Nutzers (Smartphone, Rechner). Der \u00f6ffentliche Schl\u00fcssel wird beim Dienst registriert. Zum Anmelden muss der Nutzer lediglich seinen Ger\u00e4te-PIN eingeben oder seinen Fingerabdruck scannen. Der private Schl\u00fcssel wird dann freigegeben und die Anmeldung kryptografisch durchgef\u00fchrt. Das Passwort als shared secret, das auf einem Server liegen und gestohlen werden kann, verschwindet. Es ist ein Paradigmenwechsel: Der Dienst authentifiziert das Ger\u00e4t, und das Ger\u00e4t authentifiziert den Nutzer.<\/p>\n\n\n\n Je raffinierter die Methoden werden, desto dr\u00e4ngender werden die ethischen Fragen. Die Verhaltensbiometrie grenzt an Verhaltens\u00fcberwachung. Wer kontrolliert diese Profile? Wer stellt sicher, dass sie nicht f\u00fcr andere Zwecke genutzt werden? Und was ist mit den Menschen, die sich nicht in die Normen pressen lassen? Menschen mit Behinderungen, die anders tippen oder eine Maus bedienen, k\u00f6nnten von solchen Systemen f\u00e4lschlich als Betr\u00fcger eingestuft werden. Auch der Besitz eines teuren Smartphones mit biometrischen Sensoren ist nicht selbstverst\u00e4ndlich. Die digitale Spaltung wird auch zu einer Spaltung in der Sicherheit.<\/p>\n\n\n\n Die Geschichte der Authentifikation ist eine Geschichte der zunehmenden Abstraktion. Vom konkreten Gesicht des Torw\u00e4chters \u00fcber das gedruckte Wort auf dem Papier bis hin zum mathematischen Schl\u00fcsselpaar in der Cloud. Wir haben gelernt, dass es die eine, perfekte Methode nicht gibt. Jeder Faktor \u2013 Wissen, Besitz, Biometrie \u2013 hat seine spezifischen Schw\u00e4chen.<\/p>\n\n\n\n Die Zukunft wird wahrscheinlich multimodal sein. Ein System, das kontextbezogen entscheidet, welche Methode gerade die richtige ist. Mal ein Passkey, mal ein Fingerabdruck, mal eine stille Analyse des Nutzerverhaltens. Die gr\u00f6\u00dfte Herausforderung bleibt der Spagat zwischen Sicherheit und Benutzbarkeit. Und die Frage, die \u00fcber allem schwebt, ist nicht mehr nur „Wer bist du?“, sondern zunehmend „Wem vertraust du, dass er diese Frage stellt?“.<\/p>\n\n\n\n Eine Technikgeschichte der Authentifikation zwischen Vertrauen, Kontrolle und Benutzerfreundlichkeit Einleitung Es beginnt mit einem Blick. Oder einem Fingerabdruck. Vielleicht mit dem muskul\u00e4ren Ged\u00e4chtnis der Finger, die \u00fcber eine Tastatur fliegen, mit einer bestimmten, unverwechselbaren Rhythmik. In der Sekunde, in der Sie diesen Satz lesen, authentifizieren Sie sich wahrscheinlich gerade selbst \u2013 bewusst oder unbewusst \u2013 […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[41,17,19,32],"tags":[636,951,1656,3939,5240,7956],"class_list":["post-1924","post","type-post","status-publish","format-standard","hentry","category-digitalkultur","category-im-herz","category-im-ruckspiegel","category-techarchaologie","tag-authentifikation","tag-biometrie","tag-digitale-identitat","tag-kryptografie","tag-passwort","tag-zwei-faktor-authentifizierung"],"_links":{"self":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/1924","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/comments?post=1924"}],"version-history":[{"count":0,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/1924\/revisions"}],"wp:attachment":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/media?parent=1924"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/categories?post=1924"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/tags?post=1924"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Die Unterschrift und die Geburt der Biometrie im Recht<\/h4>\n\n\n\n
Der Wachposten und das implizite Vertrauen<\/h4>\n\n\n\n
Teil II: Das Maschinenzeitalter \u2013 Authentifikation wird zum Code<\/h3>\n\n\n\n
Die Lochkarte: Der erste maschinenlesbare Ausweis<\/h4>\n\n\n\n
Das Passwort erobert die Gro\u00dfrechner<\/h4>\n\n\n\n
Kryptografie und der \u00f6ffentliche Schl\u00fcssel<\/h4>\n\n\n\n
Teil III: Die PC-\u00c4ra \u2013 Authentifikation f\u00fcr die Massen<\/h3>\n\n\n\n
Das lokale Passwort und seine Kinderkrankheiten<\/h4>\n\n\n\n
Das Aufkommen von Single Sign-On (SSO)<\/h4>\n\n\n\n
Teil IV: Das Internet-Zeitalter \u2013 Der Kampf um die Identit\u00e4t<\/h3>\n\n\n\n
Das Passwort wird zur Qual<\/h4>\n\n\n\n
Die Zwei-Faktor-Authentifizierung wird erwachsen<\/h4>\n\n\n\n
\n
Biometrie am Arbeitsplatz und im Alltag<\/h4>\n\n\n\n
Teil V: Die Gegenwart und Zukunft \u2013 Zwischen Frictionless und Zero Trust<\/h3>\n\n\n\n
Die Risk-Based Authentication (RBA)<\/h4>\n\n\n\n
Passkeys: Der gro\u00dfe Befreiungsschlag?<\/h4>\n\n\n\n
Die Schattenseiten: \u00dcberwachung und Ausschluss<\/h4>\n\n\n\n
Fazit und Ausblick<\/h3>\n\n\n\n
\n