Bevor das Passwort zu einem Computerbegriff wurde, hat es im Laufe der Zeit eine große Veränderung erfahren. Und mit Zeitalter meinen wir wirklich Zeitalter, nämlich die Zeit, lange bevor sie „Passwörter“ genannt wurden.

Passwörter sind etwas sehr Menschliches, sehr abstrakte Gebilde, die man braucht, um seinen Status oder seine Rechte zu beweisen. In diesem Sinne sind sie so alt wie die menschlichen Gesellschaften.

Die allererste Erwähnung eines Passworts findet sich in der Bibel. Im Buch der Richter wird eine Schlacht zwischen den Gileaditern und den Ephraimiten (zwei alte Stämme am Jordan) beschrieben. Die Gileaditer benutzten das Wort „Schibboleth“, um die Ephraimiten zu identifizieren, als sie versuchten, den Fluss zu überqueren. Die Ephraimiten waren aufgrund ihres Dialekts nicht in der Lage, das Wort richtig auszusprechen, was ihre Identität verriet und zu ihrer Gefangennahme führte. Dieser sprachliche Test war eine frühe Form der Authentifizierung, bei der ein einzigartiges, mit regionalen Unterschieden verbundenes Merkmal zur Unterscheidung von Verbündeten und Feinden genutzt wurde.

Später lesen wir von den Römern, die so genannten Wachwörter als eine Form der Authentifizierung für ihre an den Stadttoren stationierten Nachtwächter verwendeten. Diese geheimen Wörter sorgten dafür, dass nur diejenigen, die sie kannten, als Verbündete in der Dunkelheit identifiziert werden konnten, und verwehrten jedem, der die richtige Antwort nicht geben konnte, den Durchgang.

Seit dieser Zeit waren Passwörter immer ein Werkzeug des Militärs und der Geheimdienste. Bis etwa 1960, als Passwörter in ein Computersystem eingeführt wurden und zu einem festen Bestandteil der Computeridentität wurden.

Das erste Computerpasswort wird Fernando Corbato, einem Informatikprofessor am MIT, zugeschrieben, der einen Computer für die gemeinsame Nutzung durch mehrere Personen gebaut hatte und Passwörter als Mittel zur Identifizierung einzelner Benutzer verwendete, um ihnen die Nutzung der ihnen zugewiesenen Zeitfenster zu ermöglichen. Und natürlich wurde der erste Passwortverstoß auf demselben Computer begangen, als Allan Scherr, ein Student am MIT, alle Passwörter ausspähte und sie benutzte, um Zugang zu den anderen zugewiesenen Zeitfenstern zu erhalten.

Um die Benutzer daran zu hindern, wurde später eine neue Technik eingeführt, die zunächst dem Scrambling ähnelte und sich später zum Passwort-Hashing entwickelte, einer Methode, die auch heute noch zur sicheren Speicherung von Passwörtern verwendet wird. Ein mehr oder weniger offizieller Meilenstein für die Speicherung von Kennwörtern in gehashter Form wird Unix um 1974 zugeschrieben.

Passwörter wurden allgegenwärtig, sie waren überall, man musste sie sich merken, und dies schuf ein neues Problem für die Benutzer, da Passwörter nicht benutzerfreundlich waren. Die Benutzer begannen zu „schummeln“: Sie verwendeten gleiche Passwörter auf verschiedenen Systemen oder benutzten lächerlich einfache Passwörter, die mit 12345 begannen und in einem Ein-Zeichen-Passwort wie * gipfelten.

Es musste etwas getan werden, um die Sicherheitsprinzipien von Passwörtern zu schützen, und so wurden in den 1980er Jahren Passwortrichtlinien eingeführt. Darin wurden Mindestlänge, Komplexität und Alter der Passwörter vorgeschrieben. Diese Richtlinien wurden 40 Jahre lang nicht überarbeitet, bis NIST vor kurzem erklärte, dass zyklische Änderungen von Passwörtern die Sicherheit nicht erhöhen, sondern sogar schwächen, da die Menschen dazu neigen, die nun sehr komplexen und schwer zu merkenden Geheimnisse aufzuschreiben. Und als komplexe und richtlinienkonforme Passwörter Institutionen und Unternehmen jeder Größe überfluteten, kamen in den 1990er Jahren Passwortmanager auf, deren erster von keinem Geringeren als Bruce Schneier selbst geschrieben wurde.

Die computerisierte Gesellschaft war noch nicht bereit für starke Passwörter, während die Internetverbindung und die zunehmende Rechenleistung Kriminellen den Weg ebneten, Passwörter zu stehlen, zu knacken und zu berechnen (Brute-Force). Eine neue Technik erwies sich als sehr wirksam gegen sie: die Zwei-Faktor-Authentifizierung. Die Zwei-Faktoren-Authentifizierung (2FA) ist eine Technik, bei der ein Benutzer nicht nur einen, sondern zwei verschiedene Aspekte (Faktoren) seiner Authentifizierung angibt, wobei diese Faktoren sehr unterschiedlicher Natur sein müssen. In der Regel werden Passwörter als erster Faktor (Wissen genannt) verwendet, während ein zweiter Faktor, oft etwas, das den Besitz nachweist, als zusätzlicher Beweis verwendet werden kann.

Obwohl die 2FA in den 1980er Jahren formell entwickelt wurde (mit RSA und AT&T als Vorreiter), konnte sie sich erst in großem Umfang durchsetzen, als die Mittel zur Bereitstellung des zweiten Faktors leichter zugänglich wurden.

2FA hat die Welt sicherer gemacht, aber nicht für sehr lange. In den meisten dieser Systeme spielten Passwörter immer noch eine entscheidende Rolle bei der Authentifizierung, und schon bald gab es fast täglich Meldungen, dass 2FA hier und da umgangen wurde. Es musste also etwas völlig Neues her, nicht nur eine weitere Sicherheitsebene, um ein inzwischen kaputtes Design zu flicken, sondern ein völlig neuer Ansatz für die Authentifizierung.

Dieser neue Ansatz hatte endlich einen Namen. Er wurde passwortlose Multifaktor-Authentifizierung genannt. Sie verwendet zwei oder mehr Faktoren zur Authentifizierung, von denen keiner ein Kennwort ist. Unter der Haube wurde fortschrittliche Kryptographie verwendet, aber sie war sehr benutzerfreundlich und versprach schließlich, alle Probleme früherer Authentifizierungssysteme zu lösen.

Systeme, die durch passwortlose MFA gesichert waren, wurden nahezu unknackbar, und so waren Passwörter in nicht allzu ferner Zukunft zum Verschwinden verurteilt.

Im Jahr 2007 stand Systola als einer der ersten Anbieter von Cloud-basierten RDP-Diensten vor einer Herausforderung: Kunden verbanden sich über das Internet mit unseren Servern und nutzten ihre passwortbasierten Anmeldedaten, um sich bei den RDP-Farmen zu authentifizieren.

Alle bekannten Sicherheitsmechanismen waren dazu verdammt, unpraktisch zu sein: VPNs, Smartcards, usw. Es musste etwas Neues, Übertragbares und sehr Einfaches her. Aber es gab eine Sache, die uns störte, egal was wir verwendeten: Passwörter. Wir mussten sie verteilen, sichern und pflegen. Und wir mussten sicherstellen, dass sie nicht kompromittiert werden konnten - eine unmögliche Aufgabe.

Da wir die Passwörter nicht loswerden konnten, mussten wir zumindest dafür sorgen, dass sie das Haus nicht verlassen. Und die einzige Möglichkeit, dies zu erreichen, war eine automatische, verdeckte Passwortverwaltung für den Benutzer. Wie wir später herausfanden, taten dies auch andere MFA-Anbieter (und tun es in gewissem Maße immer noch). So entstand die erste Generation von SystoLOCK, bei der ein MFA-Zugangsnachweis nach erfolgreicher Verifizierung durch ein vorgeneriertes Passwort ersetzt wurde, das an anderer Stelle gespeichert war, ohne dass der Benutzer dies bemerkte.

Die Lösung war robust, aber nicht über lokale Anmeldung und RDP mit deaktivierter Authentifizierung auf Netzwerkebene hinaus skalierbar. Und das war zu einer Zeit, als Microsoft alle dazu drängte, NLA für Remote-Desktop-Verbindungen zu erzwingen. Wir mussten das Protokoll aktualisieren.

Nach einem großen Durchbruch in der Forschung und Entwicklung wurde ein neues und vollständig überarbeitetes SystoLOCK geboren. Mit seiner neu geschriebenen und patentierten Kerntechnologie und einer internen Version 2 war es nun in der Lage, sich gegenüber jedem dem Netz bekannten Knoten zu authentifizieren.

Diesmal wurde zur Authentifizierung des Benutzers nicht mehr ein Passwort, sondern ein digitales Zertifikat verwendet. Und um sicherzustellen, dass ein Passwortangriff unmöglich ist, haben wir das eigentliche Benutzerpasswort ganz entfernt, so dass die einzige Möglichkeit zur Authentifizierung die Verwendung der SystoLOCK-Anmeldedaten ist.

Die eigentliche Arbeit stand uns noch bevor: Mit dem neuen Authentifizierungsschema machten wir das System zwar sehr sicher, aber weniger benutzerfreundlich. Die Nutzer mussten mehr tippen, die Tippfehler nahmen zu, und die Nutzerakzeptanz war gering. Doch Ende 2019 wurde der SystoLOCK Companion eingeführt: die mobile Anwendung, die nun ein schlüsselloses Login, phishing-resistente Token und viele andere nützliche Funktionen ermöglicht. Die App löste alle ergonomischen Probleme und machte SystoLOCK zum benutzerfreundlichsten MFA-System, das man je gesehen hat.

Jetzt ist SystoLOCK in der Lage, Benutzer mit verschiedenen Methoden zu authentifizieren, und aufgrund seiner universellen Architektur werden ständig neue Authentifizierungsschemata eingeführt, die Türen für das neue, sichere und ergonomische Arbeiten öffnen.