Kurz gesagt: Beim YubiKey bleibt der private Schlüssel dauerhaft auf dem Gerät und verlässt es nie. Die Anmeldung läuft über ein Challenge-Response-Verfahren, das an die konkrete Website gebunden ist. Damit laufen Phishing-Angriffe ins Leere, weil abgefangene Anmeldedaten nicht wiederverwendbar sind.

Wie ein YubiKey funktioniert

Der YubiKey arbeitet mit einem Schlüsselpaar. Der private Schlüssel wird sicher auf dem Gerät gespeichert und verlässt es nie. Der öffentliche Schlüssel wird dem Dienst mitgeteilt, bei dem Sie sich anmelden möchten.

Der Anmeldevorgang läuft in drei Schritten ab:

  1. Der Dienst sendet eine Aufgabe, eine sogenannte Challenge, an den YubiKey.
  2. Der YubiKey signiert diese Challenge mit seinem privaten Schlüssel und sendet die Antwort zurück.
  3. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Stimmt sie, sind Sie authentifiziert.

Wofür er eingesetzt wird

  • Passwortlose Anmeldung: In Kombination mit FIDO2 ist eine vollständig passwortfreie Authentifizierung möglich, abgesichert allein über den Hardware-Schlüssel.
  • Anmeldung im Web: Über FIDO U2F und WebAuthn dient der YubiKey bei vielen Onlinediensten als zweiter Faktor nach dem Passwort.
  • SSH und PGP: Entwicklerinnen und Entwickler speichern SSH- und PGP-Schlüssel auf dem Gerät und nutzen sie für verschlüsselte Kommunikation.

Die Vorteile

  • Schutz vor Phishing: Die Authentifizierung ist an die konkrete Website gebunden. Eine gefälschte Seite kann die Anmeldung weder abfangen noch wiederverwenden.
  • Der Schlüssel bleibt geheim: Der private Schlüssel wird nie herausgegeben, ein Diebstahl der Zugangsdaten läuft ins Leere.
  • Auch offline nutzbar: Der YubiKey funktioniert ohne Internetverbindung und eignet sich damit auch für abgeschottete Umgebungen.

Der Yubico Authenticator

Der Yubico Authenticator funktioniert ähnlich wie andere Authenticator-Apps, mit einem entscheidenden Unterschied: Die zeitbasierten Einmalcodes werden nicht auf dem Telefon gespeichert, sondern auf dem YubiKey. Codes werden nur erzeugt, wenn der Schlüssel eingesteckt oder in der Nähe ist.

  • Flexibel über mehrere Geräte: Weil die Codes auf dem Schlüssel liegen, sind sie auf jedem Gerät mit installierter App verfügbar. Der Wechsel zwischen Telefon und Notebook ist nahtlos.
  • Sicher bei Geräteverlust: Geht ein Gerät verloren, bleiben die Codes sicher, denn sie waren nie darauf gespeichert.
  • Unabhängig von der Cloud: Die Zwei-Faktor-Authentifizierung läuft lokal, ohne Abhängigkeit von Drittanbietern.
  • Plattformübergreifend: Verfügbar für Windows, macOS, Linux, Android und iOS.

Was das für Sie bedeutet

Hardware-Schlüssel sind die derzeit wirksamste Massnahme gegen Kontoübernahmen durch Phishing, und sie sind für Verwaltungen und KMU erschwinglich. Wir unterstützen bei Auswahl, Einführung und Schulung, und binden das Thema in unsere Sicherheitsschulungen ein.