Die 2 besten Sicherheitsschlüssel für Multi

May 23, 2023

Wir haben einen FAQ-Bereich hinzugefügt und diesen Leitfaden durchgesehen, um sicherzustellen, dass er auf dem neuesten Stand ist. Es haben sich keine Picks geändert.

Ein guter Passwort-Manager ist der erste Schritt zur Online-Sicherheit, aber nicht der letzte. Wenn die Zwei-Faktor-Authentifizierung (2FA) verfügbar ist, sollten Sie diese auch für Ihre Online-Konten verwenden. Während die bekannteste Form von 2FA ein einmaliger Code ist, der per SMS an Ihr Telefon gesendet wird, ist die sicherste Version stattdessen ein physischer Sicherheitsschlüssel, der diesem Zweck dient. Mit einem Sicherheitsschlüssel kann niemand auf die Konten zugreifen, auf denen Sie ihn eingerichtet haben, es sei denn, er hat sowohl Ihr Passwort als auch physischen Zugriff auf den Schlüssel. Der Yubico-Sicherheitsschlüssel, der sowohl für USB-A- als auch für USB-C-Anschlüsse verfügbar ist, bietet die beste Kombination aus Kompatibilität, Benutzerfreundlichkeit und Sicherheit aller von uns getesteten Schlüssel.

Die Security Key-Serie von Yubico bietet starke Kontosicherheit und hervorragende Dokumentation für Neueinsteiger. Es ist für USB-A- und USB-C-Anschlüsse verfügbar (und beide Versionen funktionieren mit NFC-Geräten wie Telefonen), unterstützt jedoch keine erweiterten Protokolle, die für einige Konten möglicherweise erforderlich sind, sodass es weniger zukunftssicher ist als unsere Upgrade-Auswahl.

Möglicherweise nicht vorrätig

Die Yubico Security Key-Serie unterstützt eine Vielzahl von Protokollen und ist mit den meisten Online-Diensten kompatibel, die Menschen nutzen, einschließlich Google, GitHub und Dropbox. Es ist für USB-C-Anschlüsse als Yubico Security Key C NFC und für USB-A-Anschlüsse als Yubico Security Key NFC erhältlich. Diese Schlüssel bieten die meisten der gleichen Vorteile wie unser Upgrade-Angebot, die YubiKey 5-Serie, zu einem Bruchteil des Preises. Nachdem wir die Sicherheitsschlüssel jahrelang getestet und an unseren Schlüsselanhängern aufbewahrt haben, haben wir festgestellt, dass sie langlebig und zuverlässig sind. Yubico bietet außerdem die beste Dokumentation, die wir je von einem Hersteller von Sicherheitsschlüsseln gesehen haben, und seine hervorragende Einführungserfahrung erleichtert Neulingen den Prozess. Die Yubico-Sicherheitsschlüssel unterstützen keine fortgeschritteneren Protokolle wie OpenPGP, Smartcard und OTP, aber wenn Sie diese Protokolle nicht kennen, benötigen Sie sie wahrscheinlich nicht.

Werbung

Die YubiKey 5-Serie bietet Versionen für jedes moderne Gerät sowie Premium-Funktionen für den erweiterten Einsatz.

Die Yubico YubiKey 5-Serie unterstützt ein breiteres Spektrum an Sicherheitsprotokollen als die Security Key-Serie, wodurch sie mit mehr Online-Konten kompatibel ist. Im Vergleich zu fast jedem anderen Sicherheitsschlüssel bietet die 5er-Serie auch mehr Anschlussmöglichkeiten, darunter USB-A, USB-C, USB-C mit NFC und ein Modell mit zwei Anschlüssen für USB-C und Lightning-Anschluss. Sie sind auch als Nano-Tasten in Miniaturgröße erhältlich, die im Gegensatz zur Standard-Tastenform, die aus dem Anschluss herausragt, dauerhafter in Ihrem Computer verbleiben sollen. In jahrelangen Tests haben sie sich als genauso langlebig erwiesen wie die Sicherheitsschlüssel und verfügen über die gleiche hervorragende Dokumentation. Die Modelle der YubiKey 5-Serie können mehr als doppelt so teuer sein wie die Yubico-Sicherheitsschlüssel, aber aufgrund ihrer robusten Kompatibilität mit mehr Geräten und Konten sind sie den höheren Preis wert.

Die Security Key-Serie von Yubico bietet starke Kontosicherheit und hervorragende Dokumentation für Neueinsteiger. Es ist für USB-A- und USB-C-Anschlüsse verfügbar (und beide Versionen funktionieren mit NFC-Geräten wie Telefonen), unterstützt jedoch keine erweiterten Protokolle, die für einige Konten möglicherweise erforderlich sind, sodass es weniger zukunftssicher ist als unsere Upgrade-Auswahl.

Möglicherweise nicht vorrätig

Die YubiKey 5-Serie bietet Versionen für jedes moderne Gerät sowie Premium-Funktionen für den erweiterten Einsatz.

Wir lesen Artikel, Bewertungsseiten, Kundenrezensionen und technische Dokumente, in denen wir Sicherheitsschlüssel und die von ihnen verwendeten Sicherheitsstandards analysieren. Wir haben auch Drew Porter, Gründer und Präsident des Sicherheitsberatungsunternehmens Red Mesa, interviewt, um zu besprechen, wer hardwarebasierte Sicherheitsschlüssel benötigt, worauf bei seinen Sicherheitsprotokollen und -praktiken zu achten ist und wie sich frühere Rückrufe auf die Vertrauenswürdigkeit auswirken.

Nachdem wir die Schlüssel von Yubico als Auswahl für diesen Leitfaden ausgewählt hatten, sprachen wir mit Christopher Harrell, Chief Engineering Officer von Yubico, um weitere Informationen über die Vorteile von Hardware-Sicherheitsschlüsseln, die Einschränkungen bestimmter Modelle und die Art und Weise zu erhalten, wie sich das Ökosystem verändert.

Thorin Klosowski ist Datenschutz- und Sicherheitsredakteur bei Wirecutter. Vor Wirecutter schrieb er für Lifehacker und in beiden Veröffentlichungen versuchte er, komplizierte Technologie leicht verständlich und nutzbar zu machen.

Yael Grauer führte die ersten Tests für diesen Leitfaden durch und verfasste die ursprünglichen Empfehlungen im Frühjahr 2020. Sie hat über Online-Datenschutz und -Sicherheit für Wired, Vice, BreakerMag, The Intercept, Slate/Future Tense, Ars Technica und mehr geschrieben Sie deckt jetzt die Kategorie für das Consumer Reports Digital Lab ab. Sie arbeitete mit der Electronics Frontier Foundation an ihrem Street-Level-Surveillance-Projekt zusammen und schrieb Lehrpläne für TrollBusters, einen Just-in-Time-Rettungsdienst für Autorinnen und Journalistinnen, die Online-Belästigungen ausgesetzt sind. Sie hat außerdem Veranstaltungen mitorganisiert, Workshops geleitet und auf Podiumsdiskussionen über digitale Sicherheit und Quellenschutz gesprochen.

Wenn Sie neu in der Multi-Faktor-Authentifizierung sind, sehen Sie hier, wie der typische Neuanmeldungsprozess funktioniert, wenn Sie einen Sicherheitsschlüssel bei einer Website oder App registriert haben:

Egal, ob Sie online einkaufen, Bankgeschäfte tätigen, Ihre E-Mails abrufen oder soziale Medien nutzen, Sie sollten die Multi-Faktor-Authentifizierung verwenden, um Ihre Konten zu schützen. Durch das Hinzufügen einer oder mehrerer zusätzlicher Sicherheitsebenen zu Ihren Konten wird es für einen Angreifer schwieriger, diese zu kompromittieren. Das National Institute of Standards and Technology (NIST) empfiehlt die Verwendung einer Form der Multi-Faktor-Authentifizierung. Möglicherweise verfügen Sie bereits über einen zweiten Faktor, z. B. den Erhalt eines Einmalcodes per SMS oder die Verwendung einer Authentifizierungs-App wie Authy.

Doch wenn es um die Sicherung von Konten und Passwörtern geht, bieten Sicherheitsschlüssel den stärksten Schutz. Ein Schlüssel bietet eine höhere Sicherheit als nur ein Passwort und kann vor bestimmten Arten von Phishing schützen, die versuchen, Zwei-Faktor-Authentifizierungscodes zu stehlen. Die meisten Benutzer sollten einen Sicherheitsschlüssel für möglichst viele Konten verwenden, die ihn unterstützen, und die Schlüssel in diesem Leitfaden sollten sowohl für Privat- als auch für Geschäftskonten funktionieren (es sei denn, Sie sind ein Mitarbeiter der Regierung oder einer regulierten Branche, was in diesem Fall wahrscheinlich der Fall sein wird). verschiedene Schlüssel, wie z. B. die Yubico YubiKey 5 FIPS-Serie).

Die Multi-Faktor-Authentifizierung funktioniert, indem sie die Vorlage mehrerer Beweisebenen oder Faktoren erfordert, bevor der Zugriff auf ein Konto gewährt wird. Die Faktoren können unterschiedlich sein, sie lassen sich jedoch im Allgemeinen in eine von drei Kategorien einteilen:

Sicherheitscodes, die per SMS gesendet werden, haben ihre eigenen Probleme, und während Authentifizierungs-Apps SMS vorzuziehen sind, bieten Sicherheitsschlüssel den stärksten Schutz vor Phishing-Angriffen. Wenn Sie beispielsweise auf einen gefälschten Website-Link tippen, der Ihnen in einer SMS zugesandt wurde, kann ein Angreifer, der diese Website kontrolliert, Ihren Benutzernamen, Ihr Passwort und Ihren Authentifizierungscode erhalten, nachdem Sie alles eingegeben haben – aber das kann bei uns nicht passieren ein physischer Schlüssel. Außerdem sind Sicherheitsschlüssel am Computer einfacher zu verwenden als mit dem Telefon. Einige Sicherheitsschlüssel, einschließlich unserer Auswahl, unterstützen auch die „passwortlose Anmeldung“, bei der Sie zum Anmelden nicht einmal ein Passwort, sondern nur den physischen Schlüssel selbst benötigen. Das bekannteste Unternehmen, das derzeit diese Art der Anmeldung unterstützt, ist Microsoft.

„Es ist schwieriger, einen Hardware-Token zu kompromittieren als ein digitales Telefon, weil nicht jeder einen perfekten Einblick in alles hat, was in seinem Telefon passiert oder vor sich geht“, sagte Drew Porter, Gründer und Präsident von Red Mesa. „Die meisten Menschen überwachen nicht alles, was auf ihrem Telefon passiert, und können daher nicht wissen, ob ihr Telefon kompromittiert ist.“

Wir empfehlen, mindestens einen Backup-Sicherheitsschlüssel zu haben, den Sie für den Fall verwenden können, dass Sie Ihren Hauptschlüssel verlieren.

„Die Leute führen viele Kampagnen zum Thema Phishing-Aufklärung durch und lehren die Leute, vorsichtig mit der URL-Leiste im Browser umzugehen, aber es stellt sich heraus, dass wir nur Menschen sind“, sagte Christopher Harrell, Chief Engineering Officer von Yubico. „Wir haben andere Prioritäten und unsere Aufmerksamkeit ist begrenzt.“ Sicherheitsschlüssel sorgen dafür, dass die Websites, bei denen Sie sich anmelden möchten, authentisch sind, sodass Sie nicht so sorgfältig darauf achten müssen, ob Ihnen etwas auffällt. Als Beispiel bemerkte Porter, dass viele Leute gedankenlos „Haben Sie sich angemeldet?“ durchtippen. Push-Benachrichtigungen auf ihren Telefonen, auch wenn dies nicht der Fall sein sollte, ein Problem, das nicht auftreten würde, wenn sie sich mit einem Sicherheitsschlüssel anmelden würden.

Wir empfehlen, mindestens einen Backup-Sicherheitsschlüssel zu haben, den Sie für den Fall verwenden können, dass Sie Ihren Hauptschlüssel verlieren. Bei den meisten Diensten können Sie mehrere Schlüssel registrieren, was Sie im Voraus tun sollten; Auf diese Weise können Sie sich bei Verlust Ihres Hauptschlüssels mit einem Backup anmelden. Wenn Sie kein Backup haben, kann es in manchen Fällen dazu kommen, dass Ihr Konto gesperrt wird. Verschiedene Websites verfügen über unterschiedliche Wiederherstellungsmechanismen, darunter Authentifizierungs-Apps, SMS-basierte Wiederherstellungsschlüssel und Backup-Codes (einmalige Wiederherstellungscodes, die Sie irgendwo speichern können).

Nicht alle Websites und Dienste unterstützen Sicherheitsschlüssel, aber 1Password, Bitwarden, Dropbox, Facebook, Google, Microsoft und Twitter tun dies. Um zu sehen, welche Dienste Sicherheitsschlüssel als Authentifizierungsoption anbieten, suchen Sie auf der Website des 2FA-Verzeichnisses unter „Hardware-Token“ nach einem Häkchen.

Obwohl Sicherheitsschlüssel sicherer sind als Authentifizierungs-Apps, sind sie nicht die beste Wahl für Menschen, die dazu neigen, Dinge zu verlieren. Die meisten Menschen sollten mindestens zwei Sicherheitsschlüssel haben: einen für den täglichen Gebrauch und einen Ersatzschlüssel, der an einem sicheren Ort, beispielsweise in einem Safe, aufbewahrt werden kann, falls Sie Ihren Alltagsschlüssel verlieren. Manche Leute wünschen sich möglicherweise zusätzliche Schlüssel für verschiedene Geräte.

Darüber hinaus weist das Sicherheitsschlüssel-Ökosystem einige Ecken und Kanten auf. Beispielsweise funktioniert nicht jeder Schlüsseltyp reibungslos auf einem Mobiltelefon, und einige Apps werden unter bestimmten Umständen auf Authentifizierungs-Apps zurückgesetzt.

Das Einrichten von Sicherheitsschlüsseln kann schwierig sein. Personen, die nicht die nötige Geduld dazu haben, sollten sich daher an Authentifizierungs-Apps halten. Sobald Sicherheitsschlüssel eingerichtet sind und tatsächlich verwendet werden, sind sie unserer Erfahrung nach in der Praxis viel einfacher zu verwenden als Authentifizierungs-Apps, da kein umständliches Kopieren und Einfügen erforderlich ist und auch nicht durch Codes gescrollt werden muss, um den richtigen Schlüssel zu finden Du suchst.

Sicherheitsschlüssel sind nicht perfekt. Eine Forschungsarbeit (PDF) zeigte, wie ein Hacker einige Sicherheitsschlüssel klonen konnte, sodass er sich theoretisch bei allen durch den Originalschlüssel geschützten Konten anmelden konnte. Der Angriff erfordert physischen Zugriff auf den Schlüssel, Ausrüstung im Wert von etwa 12.000 US-Dollar und mindestens 10 Stunden, zeigt aber, dass selbst die sichersten Produkte Probleme haben können. Die Forscher führten ihren Angriff auf den Google Titan-Schlüssel durch, weisen in ihrer Arbeit jedoch darauf hin, dass auch andere Hardware, die denselben Chip verwendet, angreifbar sein könnte; Zu dieser Gruppe gehören ein älteres Yubico-Modell, der YubiKey Neo, und mehrere Schlüssel von Feitian.

Ein Sicherheitsschlüssel muss nicht über viele Funktionen verfügen, um nützlich zu sein, aber ein schlecht gestalteter Schlüssel kann schwierig zu verwenden sein. Im Folgenden sind die Merkmale aufgeführt, die wir bei unserer Recherche als am wichtigsten erachtet haben:

Wir haben Sicherheitsschlüssel abgelehnt, für die es nur begrenzte Besitzerbewertungen gab oder die speziell für die Verwendung durch die Regierung entwickelt wurden (z. B. die Yubico YubiKey 5 FIPS-Serie). Anhand der oben genannten Kriterien haben wir Yubicos Security Key, Security Key NFC, Security Key C NFC sowie YubiKey 5C, 5C NFC, 5Ci und 5 NFC getestet; Googles Titan-Sicherheitsschlüssel (USB-A/NFC-Sicherheitsschlüssel und USB-C/NFC-Sicherheitsschlüssel); Die FIDO U2F- und BLE U2F-Sicherheitsschlüssel von Thetis; und die Modelle Solo USB-C, Solo USB-A, Solo Tap USB-C und Solo Tap USB-A von SoloKeys.

Wir haben die Einrichtung jeder Taste mit verschiedenen Apps getestet und dabei Probleme festgestellt. Wir haben alle Schlüssel ein paar Mal mit einem Auto überprüft, um sicherzustellen, dass sie haltbar genug sind, um einer solchen Belastung standzuhalten, und dann haben wir sie in die Waschmaschine geworfen, um sicherzustellen, dass sie noch funktionieren, falls Sie Ihren Schlüssel in der Tasche lassen. Nachdem wir uns für Yubico-Schlüssel entschieden hatten, wandten wir uns an das Unternehmen, um weitere Einzelheiten zu Funktionen und Kompatibilität zu erfahren.

Die Security Key-Serie von Yubico bietet starke Kontosicherheit und hervorragende Dokumentation für Neueinsteiger. Es ist für USB-A- und USB-C-Anschlüsse verfügbar (und beide Versionen funktionieren mit NFC-Geräten wie Telefonen), unterstützt jedoch keine erweiterten Protokolle, die für einige Konten möglicherweise erforderlich sind, sodass es weniger zukunftssicher ist als unsere Upgrade-Auswahl.

Möglicherweise nicht vorrätig

Der beste Sicherheitsschlüssel für die meisten Menschen ist der Yubico Security Key, den es in zwei Formen gibt: den Yubico Security Key NFC (USB-A) und den Yubico Security Key C NFC (USB-C). Diese Sicherheitsschlüssel funktionieren mit den meisten Geräten, einschließlich Telefonen und Laptops. Sie verfügen über alle Sicherheitsprotokolle, die für die Arbeit mit einer Vielzahl von Webdiensten erforderlich sind, die die meisten Menschen nutzen, darunter 1Password, Bitwarden, Google, Microsoft und viele mehr. Die Dokumentation und der Support von Yubico sind die besten, die wir je gesehen haben, und die Schlüssel haben sich in jahrelangen Tests als langlebig erwiesen. Mit einem Preis von unter 30 US-Dollar sind sie erschwinglich genug, dass Sie ein Paar kaufen können (was wir empfehlen, damit Sie ein Backup haben), ohne zu viel auszugeben, insbesondere wenn man bedenkt, dass es keinen Grund gibt, warum sie nicht viele Jahre halten werden.

In einigen Fällen schlagen Experten vor, dass Programme und Sicherheitsschlüssel, die Open-Source-Software verwenden, die es jedem ermöglicht, den Programmcode zu überprüfen, sicherer sind. Alle Yubico-Schlüssel sind Closed-Source-Schlüssel, aber das Unternehmen hat auf andere Weise Vertrauen in seine Sicherheitspraktiken aufgebaut, einschließlich interner und externer Sicherheitsbewertungen seines Codes für jede größere Version. Als Yubico im Juni 2019 eine Schwachstelle in seinen YubiKey-FIPS-Schlüsselserien (die von Regierungsbehörden verwendet werden) entdeckte, tauschte das Unternehmen die betroffenen Geräte aus. Darüber hinaus listet das Unternehmen proaktiv Sicherheitshinweise und Abhilfemaßnahmen auf seiner Website auf.

Yubico verfügt über Videos und Links zu Anleitungen für Dienste, mit denen Sie Ihren Sicherheitsschlüssel möglicherweise verwenden möchten, einschließlich einer Liste (mit Bildern), die zeigt, welcher Schlüssel mit dem Programm funktioniert.

Die Yubico-Sicherheitsschlüssel entsprechen den FIDO2-Standards und unterstützen U2F, WebAuthn sowie CTAP 1 und 2, wodurch sie mit den meisten Webdiensten kompatibel sind, die Sicherheitsschlüssel unterstützen, einschließlich zukunftsweisenderer Funktionen wie der passwortlosen Anmeldung von Microsoft. Die Standard-Sicherheitsschlüssel bieten einige der Optionen nicht für sehr technisch versierte Leute, die beispielsweise einen GPG-Schlüssel in die Hardware einbauen möchten, oder für Unternehmensbenutzer, die einen Schlüssel wünschen, der mit PIV-Smartcards für Active Directory funktioniert, oder für SSH oder S/MIME. Wenn Sie mit diesen Begriffen nicht vertraut sind, werden Ihnen die erweiterten Funktionen der teureren 5er-Serie wahrscheinlich nicht entgehen.

Jedes Sicherheitsschlüsselmodell passt entweder in einen USB-A- oder USB-C-Anschluss und die meisten Telefone unterstützen NFC, sodass die Schlüssel für die meisten Geräte einwandfrei funktionieren sollten. Besorgen Sie sich den Schlüssel, der in den Anschluss Ihres Computers passt. Wenn Sie weitere Optionen benötigen, beispielsweise Lightning für eine physische Verbindung zu einem iPhone (oder bestimmten iPad-Modellen), oder wenn Sie Tasten in Miniaturgröße benötigen, die nicht hervorstehen, entscheiden Sie sich für die YubiKey 5-Serie.

Um einen beliebigen Sicherheitsschlüssel verwenden zu können, müssen Sie ihn einrichten und mit jedem einzelnen Online-Konto koppeln. Die Einrichtung eines Kontos dauert nur ein paar Minuten, aber die Suche nach dem richtigen Ort dafür kann einiges an Detektivarbeit erfordern. Hilfreich ist die umfangreiche Dokumentation von Yubico: Zusätzlich zu einer Setup-Seite bietet Yubico Videos und Links zu Anleitungen für Dienste, mit denen Sie Ihren Sicherheitsschlüssel möglicherweise verwenden möchten, einschließlich einer Liste (mit Bildern), welche Schlüssel mit dem Programm funktionieren, sowie Informationen Informationen zur Unterstützung von Sicherheitsprotokollen, zur Unterstützung von Desktop- und Laptop-Plattformen, zur mobilen Unterstützung, zur Browser-Unterstützung und zu Sonderangeboten. Diese Dokumentation ist weitaus umfassender als das, was wir von der Konkurrenz gesehen haben.

Die meisten Tasten in voller Größe von Yubico sind wasserbeständig und bruchfest. Wie andere Schlüssel, die wir getestet haben, haben sich sowohl die Yubico Security Keys als auch die 5er-Serie in unseren regelmäßigen Tests gut bewährt und funktionierten immer noch einwandfrei, nachdem wir sie mit einem Auto überfahren und einem Waschgang in der Waschmaschine unterzogen hatten. Alle ließen sich auch leicht am Schlüsselbund tragen. Nach mehr als zwei Jahren Gebrauch sehen die Schlüssel an unseren Schlüsselanhängern immer noch fast wie neu aus und funktionieren weiterhin. In Tests, die vom Trainer für digitale Sicherheit der Freedom of the Press Foundation, David Huerta, durchgeführt wurden, erzielten sie die gleichen Haltbarkeitsergebnisse.

Mit 25 US-Dollar bzw. fast 30 US-Dollar für die USB-A- bzw. USB-C-Modelle sind die Yubico-Sicherheitsschlüssel günstiger als die ähnlich gestalteten Titan-Sicherheitsschlüssel von Google und fast halb so teuer wie die meisten Modelle der Yubico YubiKey 5-Serie. Den Yubico-Sicherheitsschlüsseln fehlen die netten Funktionen der 5er-Serie, wie z. B. mehrere Verbindungsoptionen, Computeranmeldung und Unterstützung für zeitbasierte Einmalkennwörter in der Yubico Authenticator-App. Aber die meisten Leute brauchen diese zusätzlichen Funktionen nicht genug, um den Preisanstieg für ein 5er-Modell zu rechtfertigen.

Im Großen und Ganzen empfanden wir die Verwendung eines Sicherheitsschlüssels sowohl auf Windows- als auch auf Mac-Laptops als unkompliziert, aber Kompatibilitätsprobleme betreffen immer noch bestimmte Browser und einige Software unterstützt Schlüssel nicht direkt, sodass auch Sie auf Probleme stoßen könnten.

Die Unterstützung auf Mobilgeräten hat sich in den letzten Jahren ausgeweitet, aber wir sind immer noch auf Macken bei den Tasten sowohl auf Android als auch auf iOS gestoßen; Auf beiden Plattformen können Sie sich beispielsweise mit einem Schlüssel über den Browser Ihres Smartphones bei Dropbox anmelden, nicht jedoch über die Dropbox-App. Wir haben jedoch Verbesserungen bei anderen Apps festgestellt, beispielsweise bei Facebook, das jetzt Schlüssel in seinen mobilen Apps vollständig unterstützt, und bei Twitter, bei dem Sie sich bald nur mit dem Schlüssel anmelden können, ohne dass ein Passwort erforderlich ist. Um die Verwirrung noch zu verstärken, unterstützen einige Apps und Dienste möglicherweise einen Schlüssel, wenn er angeschlossen ist, jedoch nicht über NFC. Diese Art von Nichtübereinstimmung kann ärgerlich sein, insbesondere wenn man bedenkt, dass man selbst dann, wenn NFC unterstützt wird, den Schlüssel immer noch nah an das Telefon halten und die Daumen drücken muss, in der Hoffnung, dass es registriert wird. Wenn Sie es wirklich nicht mögen, mit NFC herumzuspielen, ist die YubiKey 5-Serie möglicherweise die bessere Option.

Die YubiKey 5-Serie bietet Versionen für jedes moderne Gerät sowie Premium-Funktionen für den erweiterten Einsatz.

Wenn Sie auf der Suche nach zusätzlichen Funktionen sind und gerne an erweiterten Einstellungen in Web-Apps herumbasteln, besorgen Sie sich einen Schlüssel der Yubico YubiKey 5-Serie. Die 5er-Serie umfasst mehrere Modelle und ist damit mit mehr Geräten kompatibel als jeder andere Schlüssel, einschließlich der Security Key-Reihe von Yubico. Die 5er-Serie verfügt über die gleichen hervorragenden Yubico-Videoanleitungen und Einrichtungsanweisungen, und die Tasten selbst sind tragbar und langlebig, obwohl sie fast doppelt so viel kosten wie unser Hauptangebot.

Die Entscheidung, welcher 5er-Schlüssel für Sie am besten geeignet ist, hängt davon ab, welche Geräte Sie besitzen. Yubico bietet ein Quiz an, das Ihnen hilft, den richtigen Schlüssel zu finden, aber die Aufschlüsselung sieht in etwa so aus:

Die 5er-Serie bietet mehr Anschlussoptionen und -kombinationen als die Auswahl aller anderen Unternehmen, darunter die günstigere Security Key-Reihe von Yubico und die Titan Security Keys von Google, die keine Lightning-Anschlussoption für iPhone-Besitzer haben und stattdessen auf NFC basieren. Obwohl die 5er-Serie eine größere Kompatibilität mit Smartphone-Anschlüssen aufweist als andere Optionen, weist sie immer noch die gleichen scheinbar zufälligen Macken der Yubico-Sicherheitsschlüssel auf. Dennoch unterstützt die 5er-Serie mehrere Protokolle, darunter FIDO2, U2F, PIV, Yubico OTP und OATH HOTP, was dazu beiträgt, dass sie in Zukunft mit möglichst vielen Diensten kompatibel ist.

Die YubiKey 5-Serie ist teurer als die Konkurrenz und einige Versionen sind doppelt so teuer wie der Basis-Yubico-Sicherheitsschlüssel. Aber für viele Menschen ist es den hohen Preis wert, weil es zukunftssicher ist und nette Extras bietet.

Obwohl einige der Extras der YubiKey 5-Serie nicht unbedingt Dinge sind, die die meisten Menschen jeden Tag benötigen, sind sie für jeden, der ein Höchstmaß an Sicherheit sucht, eine nette Ergänzung. Vor allem kann die 5er-Serie zeitbasierte einmalige Passcodes für bis zu 32 Konten generieren, ähnlich wie die mobilen Apps Authy und Authenticator funktionieren, die Anmeldeinformationen werden jedoch auf dem Schlüssel gespeichert. Diese Funktion erfordert das Herunterladen der Yubico Authenticator-App und funktioniert mit Diensten, die andere Authentifizierungs-Apps wie Authy unterstützen. Wenn Sie auf eine Site mit Softwareauthentifizierung, aber ohne Schlüsselunterstützung stoßen, können Sie diese Codes auf dem Schlüssel speichern. Die Yubico-App zeigt diese Codes dann nur an, wenn der Schlüssel angeschlossen ist. Selbst wenn es jemandem gelingt, an Ihr Telefon zu gelangen, benötigt er dennoch den Schlüssel, um auf die Authentifizierungscodes zuzugreifen. Keiner der anderen von uns getesteten Schlüssel, auch nicht die der günstigeren Security Key-Reihe von Yubico, verfügt über diese Funktionalität. Wenn Sie diese Funktion verwenden, müssen Sie jedoch alle Zwei-Faktor-Backup-Codes speichern oder Anmeldeinformationen auf einem zweiten Schlüssel speichern. Stellen Sie daher sicher, dass Sie sich dabei wohl fühlen.

Obwohl die Einrichtung schwierig ist, unterstützt die 5er-Serie auch die Computeranmeldung unter Windows, Mac und Linux, sodass niemand auf Ihren Computer zugreifen kann, ohne nach dem Systemstart den Schlüssel einzuführen. Die meisten anderen Schlüssel, einschließlich der Yubico Security Key-Modelle, können das nicht.

Wie die Security Key-Modelle von Yubico haben sich auch die Schlüssel der 5er-Serie in unseren jahrelangen Tests als widerstandsfähig erwiesen. Nachdem sie ein paar Jahre lang an einem Schlüsselbund baumelten, funktionieren sie immer noch und sehen fast brandneu aus.

Um Ihren Sicherheitsschlüssel einzurichten, beginnen Sie am besten auf einem Laptop oder Desktop, da einige mobile Apps die Registrierung eines Hardwareschlüssels für Ihr Konto auf Ihrem Telefon nicht zulassen. Sobald Sie einen Schlüssel auf Ihrem Computer registriert haben, sollte er problemlos mit Ihrem Telefon funktionieren. Als Beispiel sehen Sie hier, wie Sie einen Schlüssel mit unserem bevorzugten Passwort-Manager 1Password einrichten. Der Vorgang ist für jeden Sicherheitsschlüssel, den eine App unterstützt, derselbe:

Wenn Sie fertig sind, wiederholen Sie den Vorgang mit Ihrem Backup-Schlüssel. Sie sollten auch eine Authentifizierungs-App wie Authy einrichten, falls Sie dies noch nicht getan haben, für den Fall, dass Sie auf einen Fall stoßen, in dem Sie Ihren Schlüssel nicht auf einem mobilen Gerät verwenden können. Der Vorgang ist für andere unterstützte Dienste mehr oder weniger derselbe.

Sobald der Schlüssel aktiviert ist, sollte er automatisch mit Ihrem Smartphone funktionieren, wenn beide über eine physische Verbindung verfügen. Bei Android- und iPhone-Handys können Sie sich mit einem NFC-Schlüssel anmelden, indem Sie ihn an die Rückseite Ihres Telefons halten, bis das Telefon aufhört zu summen.

Im Alltag müssen Sie Ihren Hardwareschlüssel möglicherweise nicht allzu oft verwenden. Dienste berücksichtigen häufig verschiedene Risikofaktoren, um zu entscheiden, ob sie erforderlich sind. Auf einigen Websites werden Sie möglicherweise aufgefordert, Ihren Schlüssel einzugeben, wenn Sie verwalten, welche Art von Authentifizierung Sie verwenden, während andere Sie möglicherweise dazu auffordern, Ihren Schlüssel nur zu verwenden, wenn Sie sich von einem neuen Computer aus anmelden.

SoloKeys kündigte eine Neugestaltung seiner nächsten Generation von Sicherheitsschlüsseln an, bei der das Drucktastendesign, mit dem wir Probleme hatten, durch berührungsempfindliche Seitentasten ersetzt wird, die denen der Yubico- und Google-Tasten ähneln. SoloKeys plant außerdem, die NFC-Leistung zu verbessern, Wasserdichtigkeit hinzuzufügen und vieles mehr. Wir planen, die neuen Schlüssel zu testen, sobald sie verfügbar sind.

Zu den Titan-Sicherheitsschlüsseln von Google gehören USB-A- und USB-C-Modelle, beide mit NFC-Unterstützung. Die Titan-Schlüssel unterstützen nur U2F, nicht FIDO2, das derzeit von Diensten wie Microsoft verwendet wird und möglicherweise in Zukunft von potenziellen „passwortlosen“ Konten verwendet wird. Die Schlüssel von Google funktionieren mit seinem Advanced Protection Program, das für Aktivisten, Journalisten, politische Kampagnenteams oder Führungskräfte nützlich ist, aber die erhöhte Sicherheit bringt einige Kompromisse bei der Benutzerfreundlichkeit mit sich. Die wenigen Dokumentationen, die Google zur Verfügung stellt, sind nicht nützlich, und allein um herauszufinden, welche Protokolle und Standards der Schlüssel erfüllt, sind umfangreiche Recherchen erforderlich. Beide Titan-Schlüssel sind den Security Key-Modellen von Yubico sehr ähnlich, allerdings empfanden wir das weiße Plastik als anfälliger für Schmutzansammlungen, wenn die Schlüssel an einem Schlüsselbund befestigt wurden. Die Titan-Tasten sind in Ordnung, wenn Sie bereits eine haben, aber alle Optionen von Yubico sind zukunftssicherer.

Feitian-Sicherheitsschlüssel verfügen über die meisten Sicherheitsfunktionen und Protokolle wie die Yubico-Optionen und bieten eine Vielzahl von Konnektivitätsoptionen, darunter USB-C und NFC und sogar eine Fingerabdruckoption. Feitian ist auch das Unternehmen, das die Schlüssel von Google herstellt. Aber die Dokumentation, einschließlich grundlegender Informationen zu Funktionen und Sicherheit, ist nicht so gut wie die von Yubico; Einige Links auf der Website des Unternehmens führen sogar zu unvollendeten Seiten. Feitian-Schlüssel sind jedoch oft halb so teuer wie die ähnlichen Yubico-Optionen und könnten eine gute Wahl sein, wenn Sie bereits Erfahrung mit Sicherheitsschlüsseln haben.

Sowohl Google als auch Feitian wurden von Experten wegen mangelnder Transparenz in der Produktionspipeline für die in China hergestellten Schlüssel kritisiert. Wir haben weder neue Informationen über die Herstellung dieser Schlüssel noch Nachrichtenmeldungen gefunden, die darauf hindeuten, dass dies seit der Einführung der Schlüssel im Jahr 2018 ein Problem darstellt.

SoloKeys sind die ersten Open-Source-FIDO2-Sicherheitsschlüssel; Sie ermöglichen es Entwicklern, zum Projekt beizutragen oder Fehlerberichte auf GitHub einzureichen. Aber jede Taste besteht lediglich aus einer Platine und einer weichen Silikonhülle, die man sich selbst anzieht, und in unseren Tests schienen die Tasten nicht so langlebig zu sein wie die anderen, die wir ausprobiert haben. Außerdem passten die Hüllen für die USB-C-Versionen nicht so gut: Anstatt einfach auf die Taste zu tippen, um sie zu aktivieren, mussten wir sie drücken, und wir stellten fest, dass das Drücken nicht jedes Mal funktionierte.

Die YubiKey Bio-Serie von Yubico ist sowohl als USB-C- als auch als USB-A-Modell erhältlich und verfügt über eine Fingerabdruckerkennung anstelle einer einfachen Touch-Authentifizierung. Dieses Design verleiht Ihrem Schlüssel eine zusätzliche Sicherheitsebene, denn wenn jemand ihn stiehlt, kann er ihn nicht verwenden. Aber bei einem Preis von 80 bis 85 US-Dollar sind die Bio-Schlüssel für die meisten Menschen nicht notwendig.

Uns gefällt das physische Design der Thetis-Tasten, da es sich um ein ausklappbares Design handelt, das den Hauptteil der Taste schützt. Wir haben zwei USB-A-Schlüssel des Unternehmens getestet; Beide Schlüssel, insbesondere aber der NFC-Schlüssel, waren sperriger als die anderen von uns getesteten Schlüssel. Thetis mangelt es an guter Dokumentation und wir konnten auf der Website des Unternehmens keine Informationen darüber finden, wie Sicherheitsforscher Schwachstellen melden könnten.

Wenn Sie Ihren Sicherheitsschlüssel verlieren, können Sie sich möglicherweise nicht bei Konten anmelden, die ihn erfordern. Aus diesem Grund empfehlen wir die Registrierung von zwei Schlüsseln, einem Primärschlüssel und einem Backup. Einige Dienste erfordern möglicherweise auch eine andere Sicherungsmethode, z. B. eine App-, SMS- oder E-Mail-Authentifizierung.

Die beliebtesten E-Mail-Dienste und sozialen Netzwerke unterstützen alle Sicherheitsschlüssel als zweiten Authentifizierungsfaktor. Eine vollständige Liste fast aller Websites, die sie unterstützen, finden Sie hier.

Wenn Sicherheitsschlüssel keine Option sind, empfehlen wir, wann immer möglich, eine App anstelle von Textnachrichten oder E-Mails zu verwenden. Die SMS-Verifizierung kann durch einen SIM-Tausch umgangen werden, wenn jemand Social Engineering nutzt, um Ihre Telefonnummer einer neuen SIM-Karte zuzuweisen, damit er Ihre SMS-Tokens abfangen kann. Die E-Mail-Verifizierung ist nur dann sicher, wenn Sie eine starke Zwei-Faktor-Authentifizierung aktiviert haben auch dieses E-Mail-Konto.

Sowohl Android als auch iOS unterstützen Sicherheitsschlüssel über einen physischen Eingang (USB-C oder Lightning) oder NFC. Da jedoch nicht alle Apps die Anmeldeschlüssel unterstützen, müssen Sie möglicherweise manchmal eine andere Methode auf Ihrem Telefon verwenden, z. B. eine App oder, weniger bevorzugt, eine Textnachricht.

Drew Porter, Gründer und Präsident von Red Mesa, Telefon- und E-Mail-Interviews, 12. Dezember 2019

Christopher Harrell, Chief Engineering Officer bei Yubico, Telefon- und E-Mail-Interviews, 24. Januar 2020

Paul Stamatiou, Erste Schritte mit Sicherheitsschlüsseln, PaulStamatiou.com, 21. Oktober 2019

Stefan Etienne, Die besten Hardware-Sicherheitsschlüssel für die Zwei-Faktor-Authentifizierung, The Verge, 22. Februar 2019

Chris Hoffman, Hardware-Sicherheitsschlüssel werden immer wieder zurückgerufen; Sind sie sicher?, How-To Geek, 14. Juni 2019

The Best Security Key Review, Keylock Guide, 6. Juni 2019

Brad Hill, U2F Reviews, GitHub, 5. September 2018

Yael Grauer

Yael Grauer ist eine investigative Tech-Journalistin mit Sitz in Phoenix. Ihre Arbeiten sind in The Intercept, Wired, Ars Technica, Motherboard, Future Tense, OneZero und anderen erschienen. Sie liebt es zu kochen, zu wandern, Puzzlespiele zu spielen, Bluegrass-Musik zu hören und Zeit mit ihrem Mann und ihrem Rettungs-Chiweenie zu verbringen.

Thorin Klosowski

Thorin Klosowski ist der ehemalige Redakteur für Datenschutz- und Sicherheitsthemen bei Wirecutter. Er schreibt seit über einem Jahrzehnt über Technologie, wobei der Schwerpunkt auf „Learning by Doing“ liegt – das heißt, Dinge so oft wie möglich kaputt zu machen, um zu sehen, wie sie funktionieren. Im Guten wie im Schlechten wendet er bei seiner Berichterstattung den gleichen DIY-Ansatz an.

von Haley Perry

Von Passwort-Managern bis hin zu Backup-Software – hier finden Sie die Apps und Dienste, die jeder braucht, um sich vor Sicherheitsverletzungen und Datenverlust zu schützen.

von Andrew Cunningham und Thorin Klosowski

Jeder sollte einen Passwort-Manager verwenden, und nachdem wir Dutzende recherchiert und sechs getestet haben, empfehlen wir 1Password, weil es sicher und einfach zu verwenden ist.

von Thorin Klosowski

Die Wiederverwendung von Passwörtern erhöht die Wahrscheinlichkeit, dass jemand anderes auf Ihre Konten zugreift. Hier finden Sie einige Tipps zur Aufrechterhaltung sicherer Passwörter.

von Thorin Klosowski

Bevor Sie Telefone, Laptops oder andere Geräte loswerden, stellen Sie sicher, dass Sie Ihre Daten nicht an Fremde weitergeben.