Authentifizierungsprotokolle: Arten, Beispiele und Anwendungsfälle

Da sich digitale Angriffsvektoren vervielfachen, hat die digitale Identität den klassischen Netzwerkperimeter als zentrale Sicherheitsgrenze abgelöst. Unternehmen verlassen sich nicht mehr allein auf physische Firewalls – stattdessen muss jede Zugriffsanfrage, ob von Mitarbeitenden im Homeoffice, einem Cloud-Dienst oder einem IoT-Gerät, kontinuierlich verifiziert werden.

Authentifizierungsprotokolle bilden das grundlegende Regelwerk dafür, wie Credentials ausgetauscht und validiert werden und wie Vertrauen in Netzwerken hergestellt wird. Die Wahl des richtigen Protokoll-Stacks ist kein rein technisches Detail – sie wirkt sich direkt darauf aus, wie stark ein Unternehmen identitätsbasierten Bedrohungen ausgesetzt ist, wie produktiv die Benutzer arbeiten und wie gut regulatorische Anforderungen erfüllt werden.

Warum sind Netzwerk-Authentifizierungsprotokolle wichtig?

Identität ist der wichtigste Angriffsvektor moderner Breaches. Laut dem Verizon Data Breach Investigations Report (DBIR) gehen über 80 % der Breaches bei Web-Anwendungen auf gestohlene, schwache oder per Brute Force geknackte Credentials zurück. Angreifer nutzen veraltete Authentifizierungsmechanismen gezielt mit ausgefeilten Techniken aus:

• Phishing & Adversary-in-the-Middle (AiTM): Angreifer setzen Proxy-Server auf, um Einmalcodes, Passwörter und klassische zeitbasierte Session-Tokens in Echtzeit abzufangen.
• Credential Stuffing & Brute Force: Automatisierte Bots testen Milliarden geleakter Kombinationen aus Benutzername und Passwort an Unternehmensportalen.
• Pass-the-Hash & Pass-the-Ticket: Angriffe zur lateralen Bewegung in Unternehmensumgebungen nutzen architektonische Schwächen älterer Domänenprotokolle wie NTLM und Kerberos aus.

Moderne, sichere Authentifizierungsprotokolle schließen diese Angriffsvektoren, indem sie statische Geheimnisse eliminieren und einen kryptografischen Identitätsnachweis etablieren. Zudem vereinfacht eine einheitliche Authentifizierung im gesamten Ökosystem das Provisioning, senkt die Helpdesk-Kosten für Passwort-Resets und ermöglicht ein reibungsloses Compliance-Reporting.

Was ist ein Authentifizierungsprotokoll?

Ein Authentifizierungsprotokoll ist eine kryptografische Abfolge, die die Identität einer Entität (eines Benutzers, Geräts oder einer Anwendung) verifiziert, die Zugriff auf ein System, ein Netzwerk oder eine Ressource anfordert. Anders als die Autorisierung – die festlegt, welche Aktionen ein Benutzer nach der Anmeldung ausführen darf – beantwortet die Authentifizierung lediglich die Frage: „Sind Sie wirklich der, der Sie vorgeben zu sein?“

Diese Protokolle stützen sich auf drei primäre Identitätsfaktoren:

1. Etwas, das Sie wissen: Passwörter, PINs oder gemeinsame Geheimnisse.
2. Etwas, das Sie besitzen: Hardware-Security-Keys, Smartcards oder Authenticator-Apps.
3. Etwas, das Sie sind: Biometrische Merkmale wie Fingerabdruck, Gesichtsscan oder Iriserkennung.

Technisch legen Authentifizierungsprotokolle die genauen Nachrichtenaustauschmuster, mathematischen Algorithmen (etwa RSA, ECC oder HMAC) und Payload-Strukturen fest, die zwischen drei Hauptrollen verwendet werden:

• Client / Supplicant: Die Entität, die Zugriff anfordert.
• Relying Party (RP) / Service Provider (SP): Die Anwendung oder Ressource, die den Zugriffskontrollpunkt bereitstellt.
• Identity Provider (IdP) / Authentifizierungsserver: Die zentrale Instanz, die Credentials validiert und Autorisierungs-Tokens ausstellt.

Die wichtigsten Arten von Authentifizierungsprotokollen

Authentifizierungsprotokolle haben sich mit den Architekturen weiterentwickelt: Moderne Authentifizierungsprotokolle unterstützen verteilte Webdienste, föderierte Cloud-Identitäten und passwortlose Authentifizierung ebenso wie klassische domänenbasierte Systeme.

Diese Protokolle und Standards erfüllen unterschiedliche Zwecke: Einige verifizieren die Identität von Benutzern oder Geräten (Authentifizierung), andere ermöglichen delegierten Zugriff auf Ressourcen (Autorisierung), während Föderationsstandards den Austausch von Identitätsinformationen zwischen vertrauenswürdigen Systemen erlauben. In der Praxis greifen sie oft ineinander, um sicheren Zugriff in Unternehmensumgebungen zu gewährleisten.

 

FIDO2 / WebAuthn und CTAP

• Was es ist: FIDO2 ist eine Reihe von Standards für passwortlose und Multi-Faktor-Authentifizierung auf Basis von Public-Key-Kryptografie. Es kombiniert die Web Authentication API (WebAuthn), mit der Webanwendungen Public-Key-Credentials erstellen und nutzen können, mit dem Client to Authenticator Protocol (CTAP), das die Kommunikation zwischen einem Client-Gerät und einem externen Authenticator wie einem Hardware-Security-Key ermöglicht.
• Zentrale Vorteile:
  • Phishing-resistent: Bindungen sind strikt an bestimmte Domainnamen gebunden (Origin Binding). Angreifer mit Proxy-Seiten können abgefangene kryptografische Signaturen nicht auf den echten Domains wiederverwenden.
  • Passwortlos: Eliminiert statische gemeinsame Geheimnisse auf zentralen Servern; private Schlüssel verlassen niemals die Secure Enclave des Hardware-Geräts des Benutzers.
  • Datenschutzfreundlich: Die biometrische Verifizierung erfolgt vollständig lokal auf dem Authenticator am Endpoint des Benutzers und wird nie über das Netzwerk übertragen.
• Primäre Anwendungsfälle: Passwortloser Workstation-Login im Unternehmen, Privileged Access Management (PAM), Hochsicherheits-Webportale und Banking-Apps für Endkunden.

SAML 2.0 (Security Assertion Markup Language)

• Was es ist: Ein XML-basierter offener Standard für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen einem Identity Provider (IdP) und einem Service Provider (SP). Lesen Sie dazu unseren ausführlichen Beitrag darüber, was SAML ist und wie es funktioniert.
• Zentrale Vorteile: Ermöglicht Enterprise Single Sign-On (SSO): Benutzer melden sich einmal mit einem einzigen Satz Credentials an und erhalten Zugriff auf mehrere unabhängige Webanwendungen.
• Primäre Anwendungsfälle: Zugriff auf Unternehmens-SaaS (z. B. Salesforce, Google Workspace, Microsoft 365), integriert in zentrale Identitätssysteme.

OAuth 2.0 & OpenID Connect (OIDC)

• Was es ist: OAuth 2.0 ist ein Autorisierungs-Framework, das Drittanbieteranwendungen einen eingeschränkten Zugriff auf Benutzerressourcen gewährt. OpenID Connect (OIDC) erweitert OAuth 2.0 um eine Identitätsschicht und stellt ein kryptografisch signiertes ID-Token aus (meist als JSON Web Token bzw. JWT strukturiert), das der Anwendung die Identität des authentifizierten Benutzers bestätigt.
• Zentrale Vorteile: Schlanke, API-freundliche JSON-Struktur; optimiert für mobile Apps, Single Page Applications (SPAs) und Microservices.
• Primäre Anwendungsfälle: Moderne Web- und Mobilanwendungen, Schutz von RESTful APIs sowie föderierte Logins für Endkunden („Mit Google/Apple anmelden“).

Kerberos

• Was es ist: Ein vom MIT entwickeltes Netzwerk-Authentifizierungsprotokoll, das auf einem Ticket-Granting-Mechanismus basiert und symmetrische Kryptografie nutzt.
• Zentrale Vorteile: Verhindert, dass Passwörter über das Netzwerk übertragen werden; unterstützt die gegenseitige Authentifizierung zwischen Client und Server.
• Primäre Anwendungsfälle: Domänen im lokalen Active Directory (On-Premises), Intranet-Authentifizierung und Zugriff auf Dateifreigaben im Unternehmen.

HOTP / TOTP (RFC 4226 / RFC 6238)

• Was es ist: HMAC-Based One-Time Password (HOTP) erzeugt dynamische Einmalcodes auf Basis eines Zählers. Time-Based One-Time Password (TOTP) berechnet Einmalcodes aus einem gemeinsamen geheimen Schlüssel und der aktuellen Uhrzeit (meist im 30-Sekunden-Takt wechselnd).
• Warum es an Bedeutung verliert: TOTP war zwar ein deutlicher Fortschritt gegenüber statischen Passwörtern, ist aber nicht phishing-resistent. Angreifer, die automatisierte AiTM-Proxys (wie Evilginx) einsetzen, können Benutzer dazu bringen, ihren 6-stelligen TOTP-Code auf einer gefälschten Seite einzugeben, und dabei sowohl das Passwort als auch das aktive Session-Cookie abfangen – womit der MFA-Schutz vollständig umgangen wird.

Legacy-Netzwerkprotokolle (RADIUS, TACACS+, NTLM)

• RADIUS / TACACS+: Protokolle zur Zentralisierung von Authentication, Authorization und Accounting (AAA) für Netzwerkzugangsgeräte wie VPNs, Switches und Router.
• NTLM (NT LAN Manager): Eine veraltete Microsoft-Authentifizierungssuite und ein Challenge-Response-Protokoll, das über SMB-, RPC- und HTTP-Verbindungen arbeitet.
• Sicherheitsgrenzen: NTLM ist hochgradig anfällig für Relay-, Pass-the-Hash- und Offline-Brute-Force-Angriffe. Microsoft empfiehlt ausdrücklich, NTLM zugunsten von Kerberos und modernen FIDO2/WebAuthn-Workflows abzulösen. Moderne Security-Frameworks fordern explizit die Ablösung dieser Klartext- oder Weak-Hash-Protokolle.

Authentifizierungsprotokolle nach Anwendungsfall

Unterschiedliche betriebliche Kontexte erfordern eine gezielte Protokollauswahl, um ein ausgewogenes Verhältnis zwischen hoher Identitätssicherheit, technischer Kompatibilität und Benutzererlebnis zu erreichen.

 

Enterprise Single Sign-On (SSO) & Cloud-Apps

• Szenario: Mitarbeitende müssen täglich auf Dutzende Webanwendungen (SaaS, interne Entwickler-Tools, HR-Portale) zugreifen, ohne immer wieder unterschiedliche Credentials einzugeben.
• Protokolle: OpenID Connect (OIDC), SAML 2.0, FIDO2/WebAuthn.
• Branchentrend: Übergang von klassischer Multi-Faktor-Authentifizierung mit Passwort + TOTP zu passwortlosem SSO auf FIDO2-Basis – das entschärft AiTM-Phishing und beseitigt zugleich die Passwort-Fatigue.

Desktop-, Workstation- & Domänen-Login (Windows / macOS / Linux)

• Szenario: Absicherung des lokalen und Remote-Zugriffs auf Betriebssysteme an allen Endpoints im Unternehmen – online wie offline – bei gleichzeitiger Abschaffung anfälliger lokaler Passwörter.
• Protokolle: FIDO2 / CTAP2, Kerberos, Smartcard / PKI (X.509).
• Branchentrend: Abkehr von NTLM und passwortbasierten Domänen-Credentials hin zu passwortlosem Windows Hello for Business oder dedizierten Hardware-Security-Tokens, die sich nativ in die Identitätsarchitektur des Endpoints einfügen.

Remote-Zugriff & Netzwerkinfrastruktur (VPN, Zero Trust Network Access)

• Szenario: Absicherung des Infrastrukturzugriffs für Remote-Mitarbeitende, die sich über Unternehmens-VPNs, WLAN-Netzwerke (802.1X) und administrative SSH-Sitzungen verbinden.
• Protokolle: EAP-TLS, RADIUS, IPsec, SSH mit Public Keys.
• Branchentrend: Ersatz statischer VPN-Passwörter und Push-Benachrichtigungen durch zertifikatsbasierte Client-Authentifizierung (EAP-TLS), integriert in Lösungen für Zero Trust Network Access (ZTNA).

Vergleichstabelle der Authentifizierungsprotokolle

Vergleichen Sie gängige Authentifizierungsprotokolle nach Rolle und Sicherheit.

So wählen Sie das richtige Authentifizierungsprotokoll für Ihr Unternehmen

Die Auswahl der richtigen Authentifizierungssuite erfordert eine Bewertung Ihrer aktuellen technischen Schulden, Ihres regulatorischen Umfelds und Ihrer Zielarchitektur. Verantwortliche für Security Engineering und Infrastruktur sollten dafür ein strukturiertes dreistufiges Bewertungs-Framework anwenden.

1. Infrastrukturanalyse

• Stellen Sie Legacy-Anwendungen und Cloud-native Apps gegenüber. Moderne Anwendungen unterstützen in der Regel OIDC oder SAML, während Legacy-Anwendungen und Thick Clients Authentifizierungs-Proxys oder andere Integrationsmechanismen erfordern können.
• Bewerten Sie Ihr Endpoint-Ökosystem (Windows, macOS, Linux, Thin Clients), um sicherzustellen, dass das native Betriebssystem moderne Credential Provider wie WebAuthn oder FIDO2 über Hardware-Authenticators unterstützt.

2. Umstieg auf Zero Trust & phishing-resistente MFA

• Richten Sie die Protokollauswahl an den Vorgaben der CISA (Cybersecurity and Infrastructure Security Agency) aus – insbesondere zu phishing-resistenter MFA. Priorisieren Sie FIDO/WebAuthn für unterstützte Szenarien der Benutzerauthentifizierung und prüfen Sie zertifikatsbasierte Authentifizierung für geeignete Anwendungsfälle beim Netzwerk- und Gerätezugriff.
• Beseitigen Sie die Abhängigkeit von SMS, Push-Benachrichtigungen (anfällig für MFA-Fatigue-Angriffe) und TOTP-Codes in allen kritischen Systemen.

3. Compliance- und Standard-Mapping

Authentifizierungsprotokolle bilden die zentrale Mechanik, um strenge Anforderungen von Cybersecurity-Compliance-Frameworks zu erfüllen. Statt Compliance als reine Checkbox-Übung zu behandeln, sollten Sie prüfen, wie konkrete Protokollentscheidungen explizite technische Sicherheitskontrollen umsetzen:

• NIST SP 800-63B: AAL3 erfordert hardwarebasierte Authentifizierung, Verifier-Impersonation-Resistenz, zwei unterschiedliche Authentifizierungsfaktoren sowie die Einhaltung der geltenden Anforderungen an Kryptografie und Authenticators. FIDO2/WebAuthn kann Verifier-Impersonation-Resistenz bieten, doch der Einsatz dieses Protokolls allein begründet noch keine AAL3-Konformität. Die gesamte Authentifizierungsimplementierung muss alle anwendbaren NIST-Anforderungen erfüllen.
• PCI DSS 4.0: Anforderung 8.3 schreibt robuste MFA-Implementierungen für jeden Zugriff auf die Cardholder Data Environment (CDE) vor. Phishing-Resistenz auf Protokollebene hilft, Token-Diebstahl zu verhindern, und adressiert Risiken durch Adversary-in-the-Middle-Angriffe (AiTM).
• HIPAA & GDPR: Beide Frameworks verlangen technische Schutzmaßnahmen, Zugriffskontrollen und Schutz vor unbefugter Offenlegung von Daten. Protokollarchitekturen auf Basis von Public-Key-Kryptografie (wie WebAuthn oder mTLS) sind starke technische Maßnahmen, um den Endpoint-Zugriff abzusichern und die Übertragung von Credentials im Klartext zu verhindern.
• NIS2-Richtlinie: Europäische Organisationen, die unter NIS2 fallen, müssen strenge Richtlinien für Cybersecurity-Risikomanagement und Zugriffskontrolle umsetzen. Eine Standardisierung der Authentifizierung über föderierte Protokolle (SAML 2.0, OIDC) und moderne Standards (FIDO2) in einer zentralen Identitätsarchitektur unterstützt die konsistente Durchsetzung von Richtlinien und eine auditierbare Zugriffskontrolle in allen IT-Umgebungen.

Strategische Umsetzung mit Hideez

Die Umstellung einer Unternehmensinfrastruktur von passwortbasierten oder TOTP-Legacy-Protokollen auf moderne, phishing-resistente Standards kann komplex sein – insbesondere, wenn Legacy-Domänenumgebungen und moderne Cloud-Workloads unter einen Hut gebracht werden müssen. Die Plattform Hideez Workforce Identity schließt diese architektonische Lücke mit einer einheitlichen Infrastruktur für passwortlose, phishing-resistente Authentifizierung in unterschiedlichsten Umgebungen:

• Hardwaregebundene FIDO2-Sicherheit: Hideez liefert dedizierte Hardware-Security-Keys (Hideez Key) und Sicherheitssoftware, die nativ mit den Standards WebAuthn/FIDO2 arbeiten und Workstations, SaaS-Anwendungen sowie privilegierte Infrastruktur vor AiTM-Phishing-Angriffen schützen.
• Modernisierung von Legacy-Systemen: Hideez ermöglicht passwortlosen Windows-Domänen-Login und Desktop-Zugriff, ohne dass die zugrunde liegende Active-Directory-Infrastruktur komplett neu konzipiert werden muss. So wird die Lücke zwischen lokaler Legacy-Authentifizierung und modernen Cloud-Identity-Providern geschlossen. Erfahren Sie mehr über Hideez AuthShield.
• Zentrales Key-Management: Für IT-Administratoren und CISOs bietet der Hideez Enterprise Server die zentrale Verwaltung physischer Security-Keys, Abläufe im Identitäts-Lifecycle, Remote-Provisioning von Credentials und automatisierten Session-Widerruf – und vereinfacht so das Compliance-Reporting für Audits nach NIST, PCI DSS und ISO 27001.

Die wichtigsten Erkenntnisse

• Wählen Sie Protokolle anhand von Sicherheitsanforderungen und Anwendungsfällen. FIDO2/WebAuthn ist eine starke Option für phishing-resistente, passwortlose Benutzerauthentifizierung, während Kerberos für Windows-Domänenumgebungen weiterhin wichtig ist. OIDC und SAML 2.0 unterstützen föderierte Identitäten und Enterprise Single Sign-On (SSO).
• Priorisieren Sie phishing-resistente Authentifizierung. Passwörter und TOTP-Codes können durch Phishing und Adversary-in-the-Middle-Angriffe (AiTM) kompromittiert werden. FIDO2/WebAuthn und korrekt implementierte zertifikatsbasierte Authentifizierung bieten stärkeren Schutz vor Credential-Diebstahl.
• Betrachten Sie die gesamte Authentifizierungsarchitektur. Bei der Protokollauswahl sollten Anwendungskompatibilität, Endpoint-Fähigkeiten, Integration des Identity Providers, Session-Sicherheit, Wiederherstellung von Credentials und laufende Wartung berücksichtigt werden.
• Modernisieren Sie Legacy-Authentifizierung schrittweise. Unternehmen können die Abhängigkeit von Legacy-Protokollen wie NTLM verringern, indem sie stärkere Authentifizierungsmethoden einführen und zugleich die Kompatibilität mit bestehender Infrastruktur und bestehenden Diensten wahren.
• Richten Sie Authentifizierungskontrollen an Geschäfts- und Compliance-Anforderungen aus. Bewerten Sie den Sicherheitsbedarf jeder Umgebung, einschließlich Cloud-Anwendungen, Domänendiensten, VPNs, APIs und privilegierten Konten. Wählen Sie Protokolle und Konfigurationen, die die erforderlichen Zugriffskontrollen und das nötige Sicherheitsniveau unterstützen.
• Nutzen Sie zentrales Identitätsmanagement, wo es sinnvoll ist. Die Integration moderner Authentifizierungsstandards in die Identitätsinfrastruktur des Unternehmens kann das Zugriffsmanagement vereinfachen, die Transparenz verbessern und einheitliche Sicherheitsrichtlinien über Anwendungen und Geräte hinweg unterstützen.
• Planen Sie Implementierung und Lifecycle-Management. Sichere Authentifizierung erfordert eine passende Konfiguration, Schlüssel- und Zertifikatsverwaltung, Verfahren zur Kontowiederherstellung, Monitoring und die rechtzeitige Ablösung anfälliger Methoden.

Häufig gestellte Fragen

Welches ist das sicherste Authentifizierungsprotokoll?

FIDO2/WebAuthn ist eine starke Wahl für einen phishing-resistenten Benutzer-Login. Zertifikatsbasierte Methoden eignen sich zudem für die Netzwerk- und Workload-Authentifizierung. Die beste Wahl hängt von der jeweiligen Ressource ab – Wiederherstellung und Session-Schutz gehören mit in die Bewertung.

Kann FIDO2 Kerberos vollständig ersetzen?

Nein, nicht direkt. FIDO2 kann einen Benutzer bei der Anmeldung authentifizieren, während Kerberos Tickets für Domänendienste bereitstellt. Unterstützte Windows-Bereitstellungen können eine passwortlose Anmeldung mit Kerberos-Zugriff kombinieren. Um Kerberos zu entfernen, müssen die Authentifizierungsabhängigkeiten der Dienste geändert werden, die darauf angewiesen sind.

Welches Protokoll sollte ich für ein Enterprise-VPN verwenden?

Für VPNs mit Föderationsunterstützung empfiehlt sich SAML oder OIDC mit phishing-resistenter MFA am IdP. Zertifikatsbasierte Authentifizierung ist eine weitere starke Option. Prüfen Sie bei RADIUS die zugrunde liegende Authentifizierungsmethode und den Schutz der Übertragung.

Hideez vereint FIDO2-Hardware-Keys, passwortlosen Windows-Domänen-Login und zentrales Key-Management, sodass Sie NTLM, TOTP und statische Passwörter ablösen können, ohne Ihren Identity-Stack neu aufzubauen. Buchen Sie eine Demo, um die passenden Protokolle für Ihre Umgebung zu bestimmen, oder treten Sie dem Partnerprogramm bei, um Ihren Kunden phishing-resistente Authentifizierung anzubieten.