Yubico startet YubiID: Identitätsprüfung vor der Ausgabe von Anmeldedaten

Hintergrund des Starts ist die Einsicht, dass ein phishing-resistenter Login allein nicht mehr genügt: Er belegt weder, dass die richtige Person das Credential erhalten hat, noch dass derjenige, der Ersatz anfordert, auch der rechtmäßige Inhaber ist. Yubicos Field CTO Derek Hanson beschrieb diese Verschiebung im vergangenen Monat auf der Authenticate-Konferenz der FIDO Alliance: Der Helpdesk sei „in den meisten Unternehmen von einer operativen Kontrolle zu einer echten Sicherheitskontrolle geworden".

Yubico arbeitet mit einer Gruppe nicht näher benannter „großer Organisationen" als Designpartner zusammen. CEO Jerrod Chong zufolge soll YubiID in der ersten Hälfte des Jahres 2027 allgemein verfügbar werden. Preise hat das Unternehmen bislang nicht genannt.

Lücke zwischen Personalabteilung und IT

Nach Chongs Darstellung galt das Problem, das YubiID adressiert, lange als Nebensache: die Bestätigung, dass ein Schlüssel die richtige Person erreicht, und dass derjenige, der ihn als verloren meldet, tatsächlich diese Person ist. Der Dienst liefert eine grundlegende Identitätsprüfung, Kunden können aber auch eigene Verfahren einsetzen oder andere Anbieter nutzen. Geplante Integrationen mit Clear, Nametag und HYPR sollen es Organisationen erlauben, Anbieter zu kombinieren, deren Abdeckung regional unterschiedlich ausfällt.

Für die meisten Unternehmen ist das Szenario vertraut: Beschäftigte weisen sich in einem Teil des Büros gegenüber der Personalabteilung aus und holen ihre Anmeldedaten anschließend in einem anderen Teil bei der IT ab. Werden beide Schritte verbunden, sinken die Gelegenheiten für Identitätsmissbrauch, weil sowohl bei der Erstregistrierung als auch bei der Ausgabe von Ersatz-Credentials eine Identitätsprüfung verlangt wird.

„Die Wiederherstellung ist eine solche Schwachstelle im Credential-Management", sagt Andrew Shikiar, Executive Director und CEO der FIDO Alliance. Digitale Identitätsnachweise gäben Unternehmen eine Möglichkeit, die Identität eines Nutzers bei der Wiederherstellung neu zu belegen, ohne auf wissensbasierte Geheimnisse zurückzugreifen. Das Problem sei jedoch nicht allein technisch lösbar: Es brauche auch Richtlinien, regulatorische Abstimmung, verändertes Nutzerverhalten und die Gestaltung von Geschäftsprozessen.

Was Bestandskunden von Identitätsplattformen gewinnen

Für Organisationen, die bereits in Okta, Ping oder Microsoft Entra investiert haben, koordiniert YubiID Prüfung und Registrierung — es ersetzt die Identitätsplattformen nicht. Yubico hat Konnektoren gebaut, um Credentials aus diesen Systemen heraus zu registrieren, und unterstützt zudem selbst entwickelte Identitätssysteme. „Wir sind kein IDP", sagt Chong. „Ich denke, es gibt mehr Gelegenheiten zur Zusammenarbeit als zur Konkurrenz."

Der praktische Nutzen liegt in der engeren Verzahnung: Ein Unternehmen kann sein gewähltes Prüfverfahren direkt an die Registrierung in den bereits genutzten Identitätssystemen anbinden, statt beide Schritte als getrennte Abläufe zu verwalten. Besonders relevant wird das bei Unternehmen mit mehreren parallelen Identitätsanbietern, wo der Beschäftigte schlicht funktionierende Zugangsdaten braucht — unabhängig davon, welche Plattform das Konto verwaltet.

Ein Unternehmen, das vor dem Weihnachtsgeschäft 10.000 Saisonkräfte einstellt, kann mit YubiID sowohl eine administratorgestützte Registrierung vor Ort als auch eine entfernte Registrierung samt Prüfung abbilden. Der Nutzen sei ebenso betrieblicher wie sicherheitstechnischer Natur, sagt Chong — weniger unverbundene Schritte zwischen der Prüfung einer Arbeitskraft und deren Authentifizierung; Zahlen zu möglichen Zeitersparnissen oder zur Entlastung des Helpdesks nannte er nicht. Das Interesse sei bei Organisationen mit großen, verteilten oder saisonalen Belegschaften am stärksten, darunter Transport, Einzelhandel, Gesundheitswesen, Beratung und global tätige Dienstleister.

Partner mit überlappenden Produkten

Yubico betritt einen Markt, in dem Identitätsanbieter und Verifikationsspezialisten bereits überlappende Funktionen für Onboarding und Wiederherstellung anbieten. Die verifizierte Kontowiederherstellung von Microsoft Entra wurde im Mai allgemein verfügbar; sie nutzt Identitätsprüfung, damit Nutzer wieder Zugang erhalten und Authentifizierungsmethoden registrieren können, ohne den üblichen manuellen Helpdesk-Prozess. Nametag und HYPR — beide künftige YubiID-Integrationspartner — verkaufen ebenfalls Verifikations- und Wiederherstellungsfunktionen für Belegschaften. Beyond Identity koppelt die Identitätsprüfungen von Nametag bereits an Passkey-Registrierung und -Wiederherstellung, 1Kosmos kombiniert Identitätsprüfung mit passwortloser Authentifizierung.

Chong sieht das Unterscheidungsmerkmal von YubiID darin, Prüfung und Registrierung plattformübergreifend zu verknüpfen, statt den Ablauf an einen einzelnen Identitätsanbieter zu binden. Hinzu komme das Hardwaregeschäft: Yubico stellt die Geräte her, auf denen bei vielen Kunden die Authentifizierungs-Credentials liegen. Chong verknüpft diese Erfahrung mit der Aufgabe, Schlüssel zu verteilen, Empfänger zu prüfen und Ersatzgeräte in einer weltweiten Belegschaft zu registrieren.

Hardware ist nicht zwingend nötig. Die Unterstützung von Credentials auf Mobilgeräten dürfte Kunden ansprechen, denen die Verteilung von Hardware-Schlüsseln zu aufwendig ist. Diese Kunden hätten die Sicherheitsvorteile der Schlüssel nicht grundsätzlich abgelehnt, die Logistik sei jedoch „manchmal recht herausfordernd", sagt Chong.

Bundesbehörden könnten laut Chong vorhandene PIV-Credentials ihrer Beschäftigten nutzen, um deren Identität beim Registrieren von FIDO-Credentials auf YubiKeys oder mobilen Authentifikatoren zu belegen — solche Abläufe seien allerdings künftige Möglichkeiten und zum Start nicht vollständig verfügbar.

Post-Quanten-Schlüssel nur als Beta

Unabhängig davon kündigte Yubico ein öffentliches Beta-Programm für einen post-quanten-fähigen YubiKey an. Der Beta-Schlüssel soll von NIST standardisierte Post-Quanten-Algorithmen unterstützen; welche genau, ließ Yubico offen. Frühe Implementierungen wurden mit Chrome und Firefox getestet, erste Schlüssel gingen an staatliche Labore und Hyperscaler. Yubico rechnet damit, den Schlüssel binnen etwa eines Jahres zur FIPS-Validierung einzureichen — abhängig von Beta-Tests und Kundenrückmeldungen und ohne Garantie für den Abschluss.

Trotz „Krypto-Agilität" können die Beta-Geräte laut Chong keine Firmware-Updates empfangen. Organisationen müssten die Schlüssel also später austauschen, falls andere Algorithmen gefordert werden. „Firmware-Updates sicher über das Internet durchzuführen, ist nicht trivial", sagt er. Eine Executive Order vom Juni verpflichtet Behörden, hochwertige Vermögenswerte und Systeme mit hoher Auswirkung bis Ende 2030 beim Schlüsselaustausch und bis Ende 2031 bei digitalen Signaturen auf Post-Quanten-Kryptografie umzustellen. Wer die Beta-Schlüssel evaluiert, muss sowohl die neue Kryptografie als auch den Prozess für Austausch und Neuregistrierung der Geräte testen.

Autorisierung von KI-Agenten als Perspektive

Langfristig will Yubico einen überprüfbaren Nachweis liefern, dass eine Person eine bestimmte Aktion eines KI-Agenten autorisiert hat. Chong bestätigt jedoch, dass Funktionen zur Agenten-Autorisierung nicht Teil dieses Starts sind. Das Zusammenspiel aus Backend-Diensten, Anwendungen und Hardware-Schlüsseln bilde die Grundlage für weitere Anwendungsfälle; vorerst konzentriere sich YubiID auf die Prüfung von Personen, die Registrierung von Credentials und die Wiederherstellung. „Vereinfacht gesagt bieten wir eine Ende-zu-Ende-Lösung an statt nur eine YubiKey-Lösung", sagt Chong.