Warum zehn Passwörter unsicherer sind als eines
Der Einwand gegen Single Sign-On lautet: ein Schlüssel für alles. Er stimmt — und er übersieht, was heute schon offen steht.
Wer im Haus arbeitet, braucht heute für jede Anwendung ein eigenes Konto: Solutions, Digital Fitness OS, Akademie, Hub, DS_Lead, das GWG-Risikoportal, SecurityCenter, dazu Coolify, Gitea, IONOS und die Server. Jede Anwendung hat ihre eigene Anmeldemaske, ihren eigenen Weg zum Zurücksetzen, ihr eigenes TOTP.
Was an vielen Passwörtern unsicher ist
| Was passiert | Warum es passiert | Was es kostet |
|---|---|---|
| Passwörter werden wiederverwendet | Niemand merkt sich zehn gute Passwörter. Ein Passwortmanager hilft, wird aber nicht von allen benutzt. | Wird eines bekannt, ist es meist an mehreren Stellen gültig. |
| Jede Maske ist ein Angriffsziel | Jede Anwendung muss Sperren, Zurücksetzen und MFA selbst richtig machen. | Die schwächste Maske bestimmt die Sicherheit des ganzen Hauses. |
| Abgefischt wird beim Tippen | Ein Passwort lässt sich in eine täuschend echte Seite eintippen. | Auch ein starkes Passwort hilft dagegen nicht. |
| Austritte bleiben halb | Wer geht, muss an zehn Stellen gesperrt werden. | Eine Stelle wird vergessen, und das merkt niemand. |
Was eine Anmeldestelle daran ändert
Mit einer zentralen Anmeldestelle gibt es eine Maske, die gut gebaut ist, und eine Art, sich anzumelden: einen Passkey, also Fingerabdruck, Face ID oder einen Hardware-Schlüssel. Ein Passkey kann nicht wiederverwendet und nicht abgefischt werden (Station 03). Wer geht, wird an einer Stelle deaktiviert und ist aus allen Anwendungen draußen.
WarumWarum „ein starkes Passwort je Anwendung“ das Problem nicht löst
Die naheliegende Antwort auf wiederverwendete Passwörter ist ein Passwortmanager mit einem starken, eigenen Passwort je Anwendung. Das ist richtig und beseitigt die Wiederverwendung. Zwei Probleme bleiben.
Abfischen. Ein starkes Passwort lässt sich genauso in eine gefälschte Seite eintippen wie ein schwaches. Manche Passwortmanager füllen auf einer fremden Adresse nicht aus, das ist ein Schutz. Aber wer dann von Hand kopiert, weil „das Ausfüllen gerade nicht geht“, hebt ihn auf. Ein Passkey kennt diesen Weg nicht: Das Gerät antwortet einer falschen Adresse schlicht nicht.
Zehn Masken. Auch mit perfekten Passwörtern bleibt jede Anwendung eine eigene Anmeldestelle mit eigener Sperre, eigenem Zurücksetzen per Mail und eigener Sitzungsverwaltung. Der Weg „Passwort vergessen“ ist dabei oft die schwächste Stelle, weil er nur das Postfach prüft. Mit der zentralen Anmeldestelle gibt es diesen Weg in den Anwendungen nicht mehr.