Ein Schlüssel schützt. Zwei Schlüssel sichern den Zugang.
Passwörter allein bieten heute keinen ausreichenden Schutz für wichtige Konten. FIDO2-Hardware-Sicherheitsschlüssel können die Anmeldung deutlich widerstandsfähiger gegen Phishing machen. Doch was passiert, wenn der Schlüssel verloren geht, defekt ist oder nicht mehr zur Verfügung steht? Hier hilft ein vorher registrierter zweiter Sicherheitsschlüssel.
In einem Praxistest bei EDV Systeme Donner haben wir einen YubiKey 5 NFC (USB-A) und einen Security Key C NFC (USB-C) im Testkonto unseres Passwortmanagers eingerichtet und anschließend beide Anmeldungen sowie einen simulierten Schlüsselverlust geprüft.
Das Wichtigste: Der Ersatzschlüssel ist keine Kopie des Hauptschlüssels. Jeder Hardware-Key wird eigenständig beim jeweiligen Dienst registriert. Zwischen den Keys findet keine Synchronisierung statt.
Schulungsfilm: Zwei Schlüssel, ein sicherer Zugang
Der Schulungsfilm zeigt die Einrichtung und den Verlustfall. Beide Abläufe sind im folgenden Fachtext vollständig beschrieben.
Was ist FIDO2?
FIDO2 verbindet den WebAuthn-Standard für Webanwendungen mit dem CTAP-Protokoll zur Kommunikation mit Authentifikatoren. Ein Sicherheitsschlüssel erstellt für eine Registrierung kryptografisches Schlüsselmaterial. Der Dienst speichert einen öffentlichen Schlüssel; der zugehörige private Schlüssel bleibt durch den Authentifikator geschützt. Die Anmeldung erfolgt durch einen kryptografischen Nachweis, gebunden an den jeweiligen Dienst. Je nach Verfahren und Richtlinie sind PIN, Berührung oder andere Benutzerbestätigungen erforderlich.
Die Anmeldung kann als zusätzlicher Faktor neben einem Passwort oder – wenn der Dienst dies unterstützt – passwortlos erfolgen. Nicht jeder Dienst unterstützt beide Varianten.
Warum lässt sich ein YubiKey nicht einfach kopieren?
Ein normaler FIDO2-Hardware-Key ist gerade darauf ausgelegt, dass seine privaten Anmeldeschlüssel nicht einfach exportiert und auf einen zweiten Key übertragen werden. Bei der Registrierung eines zweiten Keys entsteht eine separate Anmeldeberechtigung für dasselbe Benutzerkonto. Die beiden Geräte benötigen keine Verbindung miteinander.
Beispiel: Für ein Benutzerkonto werden Key A und Key B als zwei erlaubte Authentifikatoren hinterlegt. Fällt A aus, kann B weiterhin verwendet werden – solange der Dienst diese Registrierung akzeptiert und keine weiteren Anmeldebedingungen entgegenstehen.
Praxis: Zwei Sicherheitsschlüssel im EDV-Donner-Passwortmanager registrieren
Die folgenden Menünamen stammen aus unserem dokumentierten Test. Andere Anwendungen verwenden möglicherweise andere Bezeichnungen.
1. Testkonto vorbereiten
Wir haben ein separates Benutzerkonto eingerichtet. Für öffentliches Bildmaterial sollten ausschließlich Testdaten verwendet werden. Passwörter, PINs, QR-Codes, Wiederherstellungsdaten und produktive Tresorinhalte werden nicht veröffentlicht.
2. Hauptschlüssel hinzufügen
Im Testkonto öffnen wir Mein Konto > Zwei-Faktor > Sicherheitsschlüssel (WebAuthn). Wir wählen Sicherheitsschlüssel hinzufügen, vergeben die Bezeichnung YubiKey 5 NFC, bestätigen die Aktion und folgen den Browser-/Windows-Sicherheitsdialogen. Der USB-A-Key wird eingesteckt; eine gegebenenfalls erforderliche PIN wird geschützt eingegeben; die Aufforderung zur Berührung wird bestätigt.
3. Ersatzschlüssel separat hinzufügen
Im selben Konto wiederholen wir die Registrierung für den Security Key C NFC (USB-C). Bei einem neuen Key kann zunächst die Einrichtung einer FIDO2-PIN verlangt werden. Danach zeigt die Verwaltung zwei getrennte registrierte Sicherheitsschlüssel an.
4. Beide Schlüssel einzeln testen
Wir melden uns ab und prüfen zunächst den Hauptschlüssel, danach nach erneutem Abmelden den Ersatzschlüssel. Entscheidend ist, dass jeder Schlüssel ohne den anderen funktioniert. Eine erfolgreiche Registrierung allein ersetzt diesen Test nicht.
5. Verlust simulieren
Der Hauptschlüssel wird beiseitegelegt. Wir melden uns ausschließlich mit dem bereits registrierten USB-C-Ersatzschlüssel an. Im Test konnten wir so auf das Konto zugreifen.
6. Verlorenen Schlüssel entfernen
Bei einem tatsächlichen Verlust sollte die Registrierung des verlorenen Schlüssels im betroffenen Benutzerkonto widerrufen beziehungsweise entfernt werden. Im Test haben wir den Eintrag YubiKey 5 NFC entfernt und die Anmeldung mit dem verbliebenen Ersatzschlüssel erneut erfolgreich geprüft. Der physische Key wird durch das Entfernen aus diesem Konto nicht automatisch bei anderen Diensten gesperrt.
Was tun, wenn der Hardware-Key verloren geht?
- Mit dem bereits registrierten Ersatzschlüssel oder einem vom Dienst unterstützten sicheren Wiederherstellungsverfahren anmelden.
- Den verlorenen Key bei jedem betroffenen Dienst aus den registrierten Anmeldeverfahren entfernen.
- Auffällige Kontoaktivitäten und mögliche weitere Risiken prüfen.
- Einen neuen Ersatzschlüssel beschaffen, separat registrieren und erfolgreich testen.
- Die Dokumentation der registrierten Keys und Aufbewahrungsorte aktualisieren – ohne PINs im Klartext in allgemein zugänglichen Dokumenten.
Achtung: Ohne zweiten Schlüssel oder anderes zulässiges Wiederherstellungsverfahren kann der Zugang dauerhaft verloren gehen. Die Wiederherstellungsoptionen unterscheiden sich je nach Anbieter.
FIDO2, TOTP und synchronisierte Passkeys: Was ist der Unterschied?
| Verfahren | Funktionsweise | Ersatzstrategie |
|---|---|---|
| FIDO2-Hardware-Key | Eigene kryptografische Anmeldeberechtigung je registriertem Authentifikator und Dienst | Zweiten Key beim Dienst separat registrieren |
| TOTP-App | Zeitbasierte Einmalcodes aus einem gemeinsamen geheimen Ausgangswert | Geschützte Wiederherstellung bzw. Einrichtung auf zweitem Gerät, sofern unterstützt |
| Synchronisierter Passkey | Passkey wird über einen unterstützten Credential-Provider verschlüsselt auf berechtigte Geräte synchronisiert | Wiederherstellung über Provider und dessen Kontoschutz |
| Gerätegebundener Passkey | Passkey bleibt an den jeweiligen Authentifikator gebunden | Weiteren Authentifikator/Passkey oder Recovery-Methode registrieren |
Wichtig: Dass zwei TOTP-Apps denselben Code erzeugen können, bedeutet nicht, dass zwei FIDO2-Hardware-Keys denselben privaten Schlüssel besitzen. Auch Passkeys auf Hardware-Keys sind nicht automatisch über andere Geräte synchronisiert.
Wo sollte der Ersatzschlüssel liegen?
Der Hauptschlüssel kann für den täglichen Einsatz griffbereit sein. Der Ersatzschlüssel gehört an einen sicheren, räumlich getrennten Ort, beispielsweise in einen verschlossenen Tresor. Nicht beide Schlüssel dauerhaft am selben Schlüsselbund transportieren. Für Unternehmen sollten Verantwortlichkeiten, Zugriff auf den Notfallschlüssel und regelmäßige Funktionstests verbindlich geregelt werden.
Was wir in unserem Praxistest nachgewiesen haben
- Zwei unterschiedliche Yubico-Hardware-Keys konnten im selben Testkonto separat registriert werden.
- Beide Keys ermöglichten unabhängig voneinander eine Anmeldung.
- Der Reserve-Key funktionierte, während der Hauptschlüssel nicht verfügbar war.
- Nach Entfernen der Registrierung des Hauptschlüssels funktionierte der Reserve-Key weiterhin.
Diese Ergebnisse gelten für die getestete Konfiguration unseres Passwortmanagers. Andere Dienste müssen hinsichtlich Mehrfachregistrierung und Wiederherstellung einzeln geprüft werden.
Video: Die Einrichtung Schritt für Schritt
Der Schulungsfilm führt anhand von Illustrationen und Ausschnitten aus dem Test durch die Einrichtung: vom ersten Schlüssel über den Ersatzschlüssel bis zur Notfallsimulation.
Fazit
Wer FIDO2-Hardware-Keys einsetzt, sollte den Ersatzschlüssel vor dem Ernstfall registrieren und testen. Zwei separat registrierte Schlüssel bieten starken Anmeldeschutz und reduzieren das Risiko, durch einen Defekt oder Verlust ausgesperrt zu werden. Entscheidend sind nicht nur die Hardware, sondern ein sauber dokumentierter Registrierungs- und Wiederherstellungsprozess.
EDV Systeme Donner unterstützt Unternehmen bei der Einführung sicherer Anmeldeverfahren, dem Schutz von Benutzerkonten und der praxisgerechten Umsetzung von IT-Sicherheitsmaßnahmen.
Quellen und weiterführende Informationen
Sichere Anmeldung im Unternehmen einführen
Wir unterstützen Sie bei der Auswahl, Registrierung und dokumentierten Wiederherstellung sicherer Anmeldeverfahren.