Ein Security Token ist ein Gegenstand oder Datenpaket, das einen Zugang nachweist. Der Begriff hat zwei Bedeutungen, und welche gemeint ist, verrät erst der Zusammenhang.
- Security Token
Ein Gegenstand oder Datenpaket, das einen Zugang nachweist.
Beispiel: „Jeder Mitarbeiter bekommt einen Security Token für die Anmeldung am Verwaltungszugang.“Zwei Bedeutungen: In der Hardware ist es ein Gerät, etwa ein Sicherheitsschlüssel oder ein Generator für Einmalkennwörter. In der Software ist es ein Datenpaket wie ein JWT.
Abgrenzung zum Passwort: Ein Passwort weiß man, einen Token hat man. Das ist der Unterschied zwischen zwei der drei Faktoren einer Anmeldung.
Was ein Security Token leistet
Er verlagert das Geheimnis weg vom Menschen. Ein Passwort muss erinnert, eingegeben und damit möglicherweise abgefangen werden; ein Token rechnet selbst und gibt nur das Ergebnis heraus. Bei einem Sicherheitsschlüssel verlässt der private Schlüssel das Gerät nie, und genau deshalb hilft ein abgefangenes Kennwort dem Angreifer nicht weiter.
Wann sich Hardware lohnt
Bei Zugängen, deren Verlust den Betrieb trifft. Für die Verwaltung der Domains, für den Zugang zur Infrastruktur, für die Konten mit Verwalterrechten: Dort ist ein Sicherheitsschlüssel die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung, weil er als einziger gegen Phishing wirklich schützt. Für den Rest genügt meist ein Passkey auf dem Gerät.
Was beim Verlust passieren muss
Zwei Dinge, und beide gehören vorher geregelt. Der verlorene Token wird im System gesperrt, und der Nutzer braucht einen zweiten Weg hinein. Ein hinterlegter Ersatzschlüssel oder ein ausgedruckter Wiederherstellungscode im Tresor beantworten das; ohne beides steht jemand vor einem Konto, das niemand mehr öffnen kann. Das ist der häufigste Grund, warum Sicherheitsschlüssel wieder abgeschafft werden.