Kein Token, kein Zugriff: Die neue Null-Toleranz-Politik

Der Wind im Netz hat sich massiv gedreht. Während früher Exploits das größte Risiko waren, basieren heute über 75 % aller Sicherheitsvorfälle auf kompromittierten Identitäten. Hacker brechen nicht mehr ein – sie loggen sich schlicht ein.

Da Infostealer wie LummaC2 heute Browser-Cookies und Session-Tokens schneller absaugen, als man „Zwei-Faktor“ sagen kann, haben wir die Reißleine gezogen.

Unsere neue Null-Toleranz-Politik bedeutet: Für den Zugriff auf Root-Ebenen, Datenbanken und Backup-Systeme ist ein passwortbasierter Login ab sofort technisch gesperrt. Es gibt keinen „Fallback“ auf E-Mail oder SMS. Wer seinen registrierten Hardware-Token nicht physisch mit dem Gerät verbindet, bleibt draußen.

Warum FIDO2 der Endgegner für Hacker ist

Technisch setzen wir auf eine strikte Implementierung von WebAuthn und CTAP2. Im Gegensatz zu Passwörtern, die ein „geteiltes Geheimnis“ zwischen dir und dem Server sind, nutzt FIDO2 asymmetrische Kryptographie.

Phishing wird damit praktisch wirkungslos, weil der Hardware-Key nur mit der echten, registrierten Domain spricht. Selbst wenn ein Mitarbeiter auf eine täuschend echte gefälschte VZC System Login Seite klickt, gibt der Key keine Freigabe, weil die Adresse nicht zur echten Domain passt.

Auch bei den Hardware-Keys selbst setzen wir klare Grenzen. Es wird nicht irgendein günstiger Token akzeptiert, nur weil er technisch funktioniert. Beim Registrieren prüft unser System, um welches Gerät es sich handelt und ob es unseren Sicherheitsstandards entspricht. Zugelassen werden nur vertrauenswürdige Modelle.

Der wichtigste Punkt ist aber: Der private Schlüssel bleibt immer im geschützten Chip des Hardware-Keys. Er wird nie an den Computer, den Browser oder den Server weitergegeben. Selbst wenn ein Gerät mit Malware infiziert wäre, könnte ein Infostealer wie LummaC2 diesen Schlüssel nicht einfach auslesen oder kopieren.

Schluss mit dem Kuschelkurs

Wir haben diese Entscheidung im Team nicht leichtfertig getroffen. Es ist unbequem, immer einen Dongle dabeihaben zu müssen. Aber im Jahr 2026 ist Bequemlichkeit der größte Feind der Sicherheit.

Wenn wir sehen, wie ganze Konzerne in die Knie gehen, nur weil ein Admin genervt auf eine MFA-Push-Benachrichtigung am Handy geklickt hat, wird uns schlecht.

Meiner Meinung nach ist Null-Toleranz der einzige Weg. Wer heute noch auf SMS-TANs oder App-basierte Authentifizierung setzt, spielt russisches Roulette mit seinen Daten. Intern haben wir uns für die digitale Festung entschieden.

Ein Hardware-Key ist kein Accessoire, sondern die Lebensversicherung für unsere Datenintegrität. Wer den Schlüssel verliert, muss durch einen extrem harten, manuellen Verifizierungsprozess – und genau so muss es sein, damit ein Hacker keine Chance hat, sich per Social Engineering einzuschleichen.