Lydia Schauß Keine Kommentare

Nutzerklima-Test 2026: Mehr Potenzial für nutzerfreundliche digitale Services in Deutschland

Der UIG e.V. veröffentlicht die Ergebnisse der ersten bundesweiten Befragung zur Nutzerfreundlichkeit digitaler Services in Städten. Insgesamt nahmen 1.972 Bürgerinnen und Bürger aus 251 Städten und Gemeinden zwischen November 2025 und April 2026 am Nutzerklima-Test 2026 teil.

Digitale Services wie Online-Terminbuchungen, digitale Verwaltungsangebote oder Gesundheitsservices gehören mittlerweile zum Alltag. Die Ergebnisse zeigen jedoch, dass die Angebote zwar grundsätzlich akzeptiert werden, das Nutzungserlebnis jedoch häufig hinter den Erwartungen zurückbleibt.

Methodik

Der gemeinsam vom UIG e.V. und dem Institut für Wirtschaftsinformatik am Karlsruher Institut für Technologie (KIT) entwickelte Fragebogen erfasst zum einen das allgemeine Nutzerklima anhand der fünf Dimensionen Nützlichkeit, Nutzbarkeit, Nutzerzufriedenheit, Nutzungserlebnis und technische Zuverlässigkeit. Zum anderen bewerten die Teilnehmenden einen selbst gewählten digitalen Service mithilfe der etablierten System Usability Scale (SUS), deren Orientierungswert bei 68 Punkten liegt.

Ergebnisse

Der bundesweite Nutzerklima-Index erreicht einen Durchschnittswert von 3,39 auf einer Skala von 1 bis 5. Die Gebrauchstauglichkeit der bewerteten digitalen Services liegt mit durchschnittlich 69,80 SUS-Punkten nur leicht über dem Orientierungswert. Besonders positiv wird die Nützlichkeit digitaler Angebote bewertet, während Nutzungserlebnis und Nutzerzufriedenheit deutlich schwächer ausfallen.

„Städte werden zunehmend über ihre digitalen Services erlebt. Entscheidend ist deshalb nicht nur, ob Angebote vorhanden sind, sondern wie Bürgerinnen und Bürger sie im Alltag tatsächlich erleben“, sagt Prof. Dr. Alexander Mädche, Professor am KIT und Vorstandsmitglied des UIG e.V.

Städte-Ranking

Zwölf Städte erfüllten die Kriterien für das bundesweite Ranking. Der durchschnittliche Nutzerklima-Index liegt dort bei 3,45, der durchschnittliche SUS-Wert bei 70,44 Punkten. Spitzenreiter ist Rastatt mit einem Nutzerklima-Index von 4,17 und einem SUS-Wert von 86,67 Punkten. Die Ergebnisse zeigen, dass nicht die Größe einer Stadt, sondern die Qualität der digitalen Angebote entscheidend ist.

Unterschiede zwischen Servicebereichen

Am besten schneiden digitale Angebote aus Freizeit und Tourismus (73,47 SUS-Punkte) sowie Bildung und Soziales (70,63) ab. Verwaltungs- und Bürgerdienste liegen mit 69,69 Punkten im Durchschnitt, während Gesundheit und Wohlbefinden mit 67,46 Punkten den niedrigsten Wert erreichen.

Rückmeldungen der Bürgerinnen und Bürger

Häufig kritisiert werden fehlende Terminverfügbarkeiten, Medienbrüche sowie mangelnde Optimierung für mobile Endgeräte. Auch Prozesse, die zwar digital beginnen, aber analog abgeschlossen werden müssen, werden negativ bewertet. Positiv hervorgehoben werden vollständig digitale, übersichtliche und leicht auffindbare Angebote.

Ausblick

Der Nutzerklima-Test soll künftig als regelmäßiges Monitoring-Instrument etabliert werden. Für 2027 planen UIG e.V. und das Karlsruher Institut für Technologie eine Ausweitung der Teilnehmerbasis sowie die Weiterentwicklung des Erhebungsinstruments.

Weitere Informationen und der vollständige Ergebnisbericht stehen unter www.nutzerklima.de zur Verfügung.

Isabel Weyerts Keine Kommentare

BITMi zum Gesetz zur Stärkung der Cybersicherheit des BMI

Aachen/Berlin, 11. Mai 2026 – Der IT-Mittelstand unterstützt die Zielsetzung des Referentenentwurfs, die Cybersicherheit in Deutschland zu stärken. In der vorliegenden Form bestehen jedoch erhebliche Bedenken hinsichtlich der praktischen Umsetzbarkeit, der Verhältnismäßigkeit einzelner Maßnahmen sowie der Auswirkungen auf die Wettbewerbsfähigkeit mittelständischer Unternehmen.

Kritisch sind aus Sicht des IT-Mittelstands besonders

  • die weitreichenden Eingriffsbefugnisse staatlicher Stellen in zentrale Infrastrukturen von Unternehmen,
  • die fehlende Differenzierung bei Bußgeldern,
  • unklare und potenziell überfordernde Mitwirkungs- und Informationspflichten sowie zusätzliche bürokratische Belastungen im Zusammenspiel mit bestehenden europäischen Regulierungen wie der NIS-2-Richtlinie und dem Cyber Resilience Act.

Darüber hinaus bestehen wesentliche Unklarheiten hinsichtlich der konkreten Ausgestaltung der Zusammenarbeit zwischen staatlichen Stellen und mittelständischer IT-Wirtschaft. Insbesondere fehlt es an klar definierten, praktikablen Mechanismen für einen strukturierten Informationsaustausch und eine verlässliche Kommunikation, die für eine wirksame Cybersicherheitsarchitektur essenziell sind.

Zur gesamten Stellungnahme

Isabel Weyerts Keine Kommentare

Mittelstand analysiert die europäische Wirtschaftspolitik der AfD

Am 09. Mai feiern wir den Europatag. Dieser Tag erinnert uns an die Erfolge, die unser europäisches Projekt bisher erreicht hat. Die vier Freiheiten der Europäischen Union im freien Verkehr von Personen, Waren, Dienstleistungen und Kapital sind Errungenschaften, von denen nicht nur unsere mittelständischen Unternehmen enorm profitieren, sondern die allen Europäern zugutekommen.

Gleichzeitig muss die Europäische Union jetzt zeigen, dass sie über die Grundfreiheiten hinaus ein zukunftsfähiges Wirtschaftskonzept hat, um der Stagnation entgegenzuwirken.

Der Bundesverband IT-Mittelstand e.V. (BITMi) hat gemeinsam mit dem BVMW den Europatag sowie die aktuelle wirtschaftspolitische Diskussion in Deutschland zum Anlass genommen, um im Verbund mit verschiedenen Branchen- und Unternehmensverbänden aus der Mittelstandsallianz die europapolitische Agenda der aktuell größten Oppositionspartei in Deutschland zu untersuchen. Die Analyse zeigt deutlich, dass die Pläne der Alternative für Deutschland (AfD) enorme negative Folgen für den Mittelstand in Deutschland hätten. Die Europapolitik der AfD wird kein Wirtschaftswachstum erzeugen.

Analyse: Positionierung der AfD zu Europa – Relevanz für den Mittelstand

Isabel Weyerts Keine Kommentare

Stellungnahme zum geplanten 28. Regime der EU: Digitale Integration als Schlüssel zum europäischen Binnenmarkt

Anlässlich der Anhörung des Justizministeriums zum 28. Regime im Gesellschaftsrecht hat der Bundesverband IT-Mittelstand e.V. (BITMi) eine Stellungnahme zur geplanten Reform eingereicht.

Das 28. Regime der EU könnte die einflussreichste Reform des europäischen Binnenmarkts seit mehr  als 20 Jahren werden. Im Kern zielt es auf die Schaffung eines einheitlichen, interoperablen und digital
durchgängigen Unternehmensrahmens in allen 27 Mitgliedstaaten ab. Als Vertreter der deutschen  mittelständischen IT-Unternehmen fordern wir die Bundesregierung auf, Ehrgeiz, Tempo und digitale
Innovation an erste Stelle zu setzen. Europa darf im globalen Wettbewerb um Wettbewerbsfähigkeit  nicht zurückfallen – besonders nicht im digitalen Zeitalter.

Während Waren und Dienstleistungen immer einfacher grenzüberschreitend gehandelt werden, hinkt  die digitale Integration Europas hinterher. Nationale Regulierungen, inkompatible technische
Standards und fragmentierte Märkte behindern die Entwicklung eines echten digitalen Binnenmarkts. Die mittelständische Digitalwirtschaft, die ein zentraler Treiber für Innovation und Beschäftigung ist,
leidet besonders unter den aktuellen Barrieren. Vereinfachte, digitale und interoperable Regelungen sind daher kein Luxus, sondern eine Notwendigkeit.

Der BITMi plädiert für die Einführung der EU Inc. als einheitliche, digitale Rechtsform und fordert drei digitale Grundsätze für die Reform:

  1. Digital by Default: Vollständige Digitalisierung aller Prozesse
  2. Offener Rahmen für alle – ohne Ausgrenzung
  3. Interoperabilität als Voraussetzung

zur Stellungnahme

Isabel Weyerts Keine Kommentare

Ein Jahr nach der Bundestagswahl: Digitale Souveränität und die Angst vor der eigenen Courage

Ein Jahr nach der Bundestagswahl 2025 ist das Thema „Digitale Souveränität” in der deutschen und europäischen Debatte von zentraler Bedeutung. Das Bewusstsein für die Gefahren, die sich aus der Abhängigkeit von US-amerikanischen und chinesischen Technologieunternehmen, insbesondere in kritischen Sektoren, ergeben, ist spätestens mit dem Gipfel zur europäischen digitalen Souveränität im November 2025 im breiten Bewusstsein von Öffentlichkeit und Politik angekommen. Denn sowohl Bundeskanzler Merz als auch Frankreichs Präsident Macron riefen dort öffentlich und eindeutig zur Stärkung der digitalen Souveränität durch den Kauf europäischer Produkte auf. Merz sprach aus, was mittlerweile Konsens ist: „Digitale Souveränität hat Kosten, aber digitale Abhängigkeit hat noch höhere Kosten.“

Im Verlauf eines Jahres hat sich die Wahrnehmung von Abhängigkeit als strategisches Risiko für die Wettbewerbsfähigkeit und Sicherheit Europas verschärft. Nun wird allerorts besprochen, wie Europa seine digitale Autonomie stärken kann, um auch in Krisenfällen handlungsfähig zu sein und gleichzeitig Innovationen zu fördern.

Anlässlich der Arbeit des Bundesministeriums für Digitales und Staatsmodernisierung an einer Neudefinition des Begriffs lohnt es sich, auf das vergangene Jahr zurückzublicken, um wichtige Lehren für das weitere Vorgehen der Bundesregierung zu ziehen.

 

Europe in action

Mit der Ankündigung eines Gipfels zur digitalen Souveränität gab der Deutsch-Französische Ministerrat im August 2025 die Stoßrichtung vor. Nach einem halben Jahr der Präsidentschaft von Donald Trump wurden die Konturen des Umbruchs der zuvor regelbasierten internationalen Ordnung deutlich. Mit der Ankündigung startete die deutsch-französische Initiative eine gemeinsame europäische Strategie zur Reduzierung der digitalen Abhängigkeit.

Studien wie der im September von adesso veröffentlichte „Index Digitale Souveränität“ zeigten zudem, dass deutsche Unternehmen fast ausschließlich Hardware, Software, Cloud- und Sicherheitslösungen ausländischer Anbieter nutzen und somit von außereuropäischen Technologieunternehmen abhängig sind. Der „Index Digitale Souveränität“ beziffert den durchschnittlichen Reifegrad europäischer Unternehmen in diesem Bereich auf etwa 66 %, wobei nur eine Minderheit konkrete Souveränitätsstrategien verfolgt. Dass diese Abhängigkeit nicht nur theoretischer Natur ist, zeigte spätestens der Microsoft-Azure-Ausfall im Oktober, der große Teile der globalen Cloud-Infrastruktur lahmlegte.

Im Kontext der zunehmenden geopolitischen Spannungen und Umbrüche wurde diese Abhängigkeit als Bedrohung für die Wettbewerbsfähigkeit und Sicherheit Europas betrachtet, da sie die Handlungsfähigkeit in Krisenfällen einschränkt und die Innovationskraft schwächt.

 

Strategische Initiativen und Gipfel

Ein Höhepunkt der politischen Debatte um die digitale Souveränität war der europäische Gipfel zur digitalen Souveränität, der am 18. November 2025 in Berlin stattfand. Auf dem Gipfel betonten Bundeskanzler Friedrich Merz und der französische Präsident Emmanuel Macron die dringende Notwendigkeit, die digitale Abhängigkeit Europas von nicht-europäischen Anbietern zu reduzieren und eine gemeinsame europäische Strategie zu entwickeln. Ein zentrales Ergebnis des Gipfels war die Verabschiedung der „Declaration for European Digital Sovereignty“, in der konkrete Ziele und Maßnahmen zur Stärkung der digitalen Autonomie Europas festgelegt wurden. Der Gipfel markierte einen wichtigen Schritt zur Koordinierung der europäischen Digitalpolitik und demonstrierte europäische Einigkeit in diesem Bereich.

Nur wenige Wochen später wurde mit dem „Tech Sovereign Catalogue“ eine komplementäre Wirtschaftsinitiative vorgestellt. Ziel ist es, europäische Softwareprodukte und Alternativen zu nicht-europäischen Anbietern aufzuzeigen. Damit soll bei Politik und Anwendern ein Bewusstsein für europäische Alternativen geschaffen und die Nachfrage nach europäischen Lösungen gestärkt werden.

Auch die globale technologische Entwicklung, insbesondere in den Bereichen Künstliche Intelligenz, Halbleiter und Cloud-Computing, hat die Debatte um die digitale Souveränität weiter beeinflusst. Die EU erkennt zunehmend, dass die Abhängigkeit von nicht europäischen Anbietern ein strategisches Risiko für die Wettbewerbsfähigkeit und Sicherheit Europas darstellt. Diese Abhängigkeit wurde durch die geopolitischen Spannungen und die Haltung der Trump-Administration besonders deutlich. Durch ihre engen Verbindungen zu US-Tech-Konzernen verschärfte sie die transatlantischen Spannungen über die Regulierung von Big Tech weiter.

Sovereignty „made in europe“?

Ein Jahr nach der Bundestagswahl finden die zahlreichen Initiativen und Strategiepapiere langsam ihren Weg in die Umsetzung. Am 12. Februar trafen sich die Staats- und Regierungschefs der EU zu einer Diskussion über die digitale Wettbewerbsfähigkeit Europas und die Notwendigkeit einer einheitlichen EU-Politik. Das Vergabekriterium „Made in Europe“,das ein zentraler Baustein auf dem Weg zu langfristig resilienten digitalen Infrastrukturen wird, wird sowohl auf EU-Ebene als auch auf Ebene der einzelnen Mitgliedsstaaten erörtert. Dennoch zögert die Bundesregierung, den von ihr mit dem Gipfel zu europäischer Souveränität eingeschlagenen Weg konsequent weiterzugehen.

Um die Resilienz und Handlungsfähigkeit Europas langfristig zu sichern, braucht es die gleiche politische Entschlossenheit, die die Bundesregierung bei der Erarbeitung von Strategien und Gipfeln an den Tag gelegt hat, nun auch in der Umsetzung. Die Neudefinition digitaler Souveränität durch das BMDS kann ein erster wichtiger Schritt dazu sein – oder aber ein Eingeständnis der Angst vor der eigenen Courage. Nur indem eine konsequent europäisch gedachte Definition von Souveränität angelegt wird, können die zukünftigen Maßnahmen auch ihre Wirkung entfalten. Deshalb schlagen wir vor, Digitale Souveränität konsequent als die Fähigkeit zu definieren, die digitale Transformation in allen wesentlichen Bereichen nach eigenen Wertvorstellungen und mithilfe eigener, vertrauenswürdiger Lösungen „Made in Germany & Europe“ zu gestalten. Um diese Handlungsfähigkeit sicherzustellen, sind digitale Resilienz, digitale Wertschöpfung, Datensouveränität und Europarechtstreue zentrale Kriterien.

Anna Brodmann, Digitalpolitische Referentin

 

Isabel Weyerts Keine Kommentare

Öffentlicher Online Pitch für Smart Factory Lösungen: Factory Innovation Award 2026

Sie sind Anbieter, Anwender, Forschungs– oder Weiterbildungseinrichtung?

Dann präsentieren Sie Ihre innovative Lösung beim Online-Pitch der Factory Innovation Awards 2026! Überzeugen Sie Jury und Publikum mit Ihren Alleinstellungsmerkmalen.

Als Zuschauer können Sie sich kostenfrei und bequem online über inspirierende Use Cases und modernste Technologien für die Smart Factory informieren und Ihr Fachwissen erweitern.

Die #FIAward-Preisträger werden am 22. April auf der Hauptbühne der Hannover Messe ausgezeichnet.

Veranstaltet wird der Wettbewerb von GITO Media (Veranstalter), der Hannover Messe (Event Partner), LSWI der Universität Potsdam (Wissenschaftlicher Partner) sowie der Fachzeitschrift FACTORY INNOVATION (Medienpartner).

HIER informieren und registrieren
https://factory-innovation.de/artikel/factory-innovation-award-2026/

 

Isabel Weyerts Keine Kommentare

Einladung zum Mitmachen: BITMi Messestände 2026

Mit dem BITMi Gemeinschaftsstand stellen wir einen ersten Anlaufpunkt für alle Besucher dar, die Wert auf digitale Souveränität legen. Profitieren Sie bei unserem Gemeinschaftsstand von einem starken Branding, den Marketingaktivitäten des Verbandes sowie einer rundum sorglos Organisation von Seiten des BITMi.

Im kommenden Jahr könnten wir auf folgenden Messen ausstellen*:

* Die Messeauftritte kommen nur bei ausreichender Beteiligung/Nachfrage zustande.

 

     KommDigitale in Bielefeld | 25.03 – 26.03

Die KommDIGITALE ist die zentrale Messe für Digitalisierung in Kommunen und Verwaltung – ein wachsender Markt, in dem die Nachfrage nach praxisnahen IT-Lösungen stark steigt. Sie findet am 25. und 26. März 2026 in der Stadthalle Bielefeld statt. Ihr besonderer Fokus auf Best-Practice-Beispiele, Live-Demonstrationen und konkrete Digitalprojekte macht sie zu einer hervorragenden Gelegenheit, unsere Kompetenzen im öffentlichen Sektor zu präsentieren und wertvolle Kontakte zu Entscheidern zu knüpfen.

KommDigitale 

 

     Hannover Messe in Hannover | 20.04 – 24.04

Die Hannover Messe ist die weltweit führende Industriemesse und bietet die perfekte Plattform, um den deutschen IT-Mittelstand sichtbar zu machen. Themen wie Automatisierung, Digitalisierung, Energie und nachhaltige Produktion stehen hier im Mittelpunkt – und genau diese Schnittstellen zwischen Industrie und IT sind unsere Stärke. 2026 findet sie vom 20. bis 24. April in Hannover statt. Besonders ihr interdisziplinärer Charakter macht sie zu einem idealen Ort, um Innovationen, Forschung und digitale Technologien miteinander zu verbinden. Die Standgröße jedes Mitausstellers liegt bei 9 qm . Der Gemeinschaftsstand wird direkt von der Messe organisiert, der BITMi nimmt dort gemeinsam mit seinen Mitgliedern als Aussteller teil.

Hannover Messe

 

     TechRiderSummit in Köln | 17.06 – 18.06

Der TechRiders Summit ist ein junges, dynamisches Event, das Konferenz und Festival miteinander verbindet. Themen wie KI, Web3, Cloud, Cybersecurity und digitale Geschäftsmodelle stehen im Mittelpunkt. Geplant ist der Summit für den 17. und 18. Juni 2026 in Köln. Die besondere Atmosphäre und der Netzwerkcharakter bieten eine ideale Bühne für moderne IT-Unternehmen.

Tech Riders  

     GITEX EUROPE in Berlin | 30.06 – 02.07

Die GITEX EUROPE ist die europäische Schwester der international bekannten GITEX GLOBAL aus Dubai. Sie findet vom 30. Juni bis 2. Juli 2026 auf dem Messegelände Berlin (Messe Berlin, Nordeingang) statt. Mit ihrem Fokus auf Künstliche Intelligenz, Cloud, Cybersecurity, Startups und Smart Cities vereint sie internationales Flair mit europäischem Innovationsgeist – eine spannende Gelegenheit, sich einem globalen Publikum zu präsentieren. Die Standgröße jedes Mitausstellers liegt bei 6 qm . Der Gemeinschaftsstand wird direkt von der Messe organisiert, der BITMi nimmt dort gemeinsam mit seinen Mitgliedern als Aussteller teil.

GITEX Europe

 

  it-sa Expo & Congress in Nürnberg | 27.10 – 29.10

Die it-sa ist eine der größten europäischen Fachmessen für IT-Sicherheit. Sie dient als Plattform für aktuelle Trends, neue Lösungen und den intensiven Austausch innerhalb der Cybersecurity-Branche. 2026 findet sie vom 27. bis 29. Oktober in Nürnberg statt. Besonders das umfangreiche Kongressprogramm und die Vielzahl an Sicherheitslösungen für Unternehmen, Behörden und kritische Infrastrukturen machen sie zu einem festen Termin im IT-Kalender. 

it-sa

 

Damit wir eine erfolgreiche Messeplanung durchführen können und die Hannover Messe sowie auch die KommDigitale bereits zeitnah beginnen, bitten wir euch um eine Rückmeldung, ob Interesse besteht – bis spätestens zum 24.11.2025.

Sollten Sie Fragen haben stehen wir euch selbstverständlich jederzeit zur Verfügung.

Jetzt Interesse anmelden unter kontakt@bitmi.de!

Isabel Weyerts Keine Kommentare

BITMi spricht sich gegen anlasslose Chatkontrolle aus

Aachen/ Berlin, 10. Oktober 2025 – Der Bundesverband IT-Mittelstand e.V. (BITMi) begrüßt die Positionierung Deutschlands gegen den Vorschlag der dänischen EU-Ratspräsidentschaft zur Chatkontrolle zur Bekämpfung des sexuellen Missbrauchs von Kindern ausdrücklich. Als Vertreter der mittelständischen Digitalwirtschaft in Deutschland lehnt der Verband eine Verordnung ab, die Anbieter verpflichtet, eine Hintertür zur privaten digitalen Kommunikation zur Verfügung zu stellen, um diese verdachtsunabhängig zu überwachen. Damit werden genau die Werte untergraben, mit der sich die europäische Digitalwirtschaft identifiziert und die sie von außereuropäischen Konkurrenten abheben. Denn „Digitale Souveränität kann nicht erreicht werden, wenn Europa die Sicherheit und Integrität seiner eigenen Unternehmen untergräbt.“ Dies unterschrieb der europäische Dachverband des BITMi, die European DIGITAL SME Alliance, in einem offenen Brief an die EU-Mitgliedstaaten im Vorfeld der Debatte.

Rasmus Keller, Sprecher der BITMi-Fachgruppe IT-Recht, erklärt dazu: „Der Vorschlag ist kein seriöser Beitrag zum Schutz von Kindern, sondern schadet dem Vertrauen in den Rechtsstaat und dem Wirtschaftsstandort Europa. Die Bemühungen, die Cybersicherheit von Software und IT-Systemen zu verbessern, werden mit Verordnung konterkariert.“

Die ursprünglich für kommende Woche geplante Abstimmung im EU-Ministerrat wurde unbestimmt vertagt, nachdem der Vorschlag von den Mitgliedstaaten keine ausreichende Unterstützung erhalten hat. Der BITMi mahnt für kommende Verhandlungen, weiter gegen die Untergrabung von Sicherheitsstandards und europäischen Werten anzugehen.

Isabel Weyerts Keine Kommentare

Neu aus der Fachgruppe Nachhaltigkeit. Digitalisierung. Zukunftsfähigkeit.: Argumentationshilfe „Nachhaltigkeit“

Nachhaltigkeit rechnet sich. Unsere neue Argumentationshilfe zeigt Ihnen, wie sie im IT-Mittelstand vom Pflichtprogramm zum Zukunftstreiber wird. Sie liefert messbaren Mehrwert für Ihr HR, Ihre Kundenbeziehungen, Ihre Lieferketten und Ihre Compliance. Das Papier bündelt Grundlagen, erste Quick Wins und vertiefende Impulse, damit Sie die Transformation ganzheitlich denken und strategisch verankern können. Wenn Sie Ihre Stakeholder aktiv einbinden, schaffen Sie Transparenz, gewinnen Vertrauen und etablieren robuste Partnerschaften. Diese reichen vom Recruiting bis zur Reduktion indirekter Emissionen in Ihrer Lieferkette.

Darum lohnt es sich, zu lesen:

  • Strategisch, messbar und wirksam: Vom Einstieg bis zur Skalierung
  • Konkrete Ansatzpunkte für Ihr HR, Ihre Kunden, Ihre Lieferkette und Ihre Compliance
  • Impulse für transparente Kommunikation und Beteiligung entlang der Wertschöpfung

“Nachhaltigkeit ist kein Zusatz, sondern ein Erfolgsfaktor. Sie macht Ihr Unternehmen widerstandsfähiger und attraktiver. Unsere Argumentationshilfe zeigt Ihnen, wie Sie das ganzheitlich umsetzen”, erklärt Iris Hagemann, Sprecherin der Fachgruppe.

Jetzt lesen: Argumentationshilfe „Nachhaltigkeit“

Mehr aus der Fachgruppe Nachhaltigkeit. Digitalisierung. Zukunftsfähigkeit.

Iris Albertin Keine Kommentare

IT-Sicherheitsblog // Was ist eigentlich FIDO2?

Anmeldungen über Nutzername und Passwort sind oft nicht nutzerfreundlich oder sicher. FIDO2 schafft mehr Sicherheit, komplett ohne Passwörter.

Passwörter sind seit Jahren die Schwachstelle der digitalen Sicherheit – sie werden vergessen, wiederverwendet oder durch Phishing gestohlen. Lösungsvarianten dafür gibt es auf dem Markt viele, wie z. B. unsere Multi-Faktor-Authentifizierung SmartLogon™. Ein weiterer Weg der sicheren Anmeldung kann sogar passwortfrei über den FIDO2-Standard umgesetzt werden. Im Folgenden erläutern wir, wie das funktionieren kann, welche Vor- und Nachteile es bei der Methode gibt und wo der Unterschied zu PassKeys besteht.

Was ist FIDO2?

FIDO2 steht für „Fast IDentity Online 2“ und ist eine Weiterentwicklung des FIDO-Standards, der 2018 veröffentlicht wurde. Er kombiniert das Client to Authenticator Protocol (CTAP) mit der Web-Authentifizierungs-API (WebAuthn). Somit soll ein sicherer und passwortfreier Standard für die Industrie zur Anmeldung via Zwei-Faktor-Authentifizierung etabliert werden.

Der Sicherheitsstandard wurde von der FIDO-Allianz ins Leben gerufen, die seit 2012 besteht. Bereits zu Beginn waren unter den sechs Gründungsmitgliedern wichtige Global Player: Agnitio, Infineon, Lenovo, Nok Nok Labs, PayPal und Validity Sensors. Mittlerweile sind der Organisation über 150 Mitglieder beigetreten, darunter auch staatliche Institutionen wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder die Taiwanische Verwaltung für die digitale Wirtschaft, moda.

Was ist das Ziel von FIDO2?

Das Hauptziel der FIDO-Allianz ist die Ablösung handelsüblicher Passwörter bzw. etablierter Multi-Faktor-Authentifizierung (Einmalpasswort, Push-Benachrichtigung, SMS-Verifizierung) durch die passwortlose Anmeldung etwa durch Biometrie oder Hardware-Token.

Warum ist FIDO so wichtig?

Auch wenn Passwörter initial für den Schutz von Ressourcen zuständig sind, sind sie als Methode zur Absicherung sehr anfällig:

Komplexität

Geht man nach den Empfehlungen des BSI, enthält ein Passwort Minimum acht Zeichen und vier verschiedenen Zeichenarten (Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen). Das macht es schwerer zu knacken und bietet Schutz vor Angriffen wie Brute-Force oder Phishing. In der Praxis setzen viele Menschen es jedoch nicht um, da es schwer zu merken ist, Bequemlichkeit überwiegt und Risiken oft unterschätzt werden.

Häufigkeit

Komplexe Passwörter sind oft schwer zu merken, doch die Herausforderung wächst mit der Vielzahl an Log-ins, die wir täglich nutzen. Aus praktischen Gründen greifen viele Menschen deshalb auf dieselben Passwörter zurück. Das ist riskant, denn ein einziges Datenleck kann Hackern ermöglichen, auf zahlreiche weitere Konten zuzugreifen – eine Einladung für Angriffe wie Credential-Stuffing.

Angriffe

Durch täuschend echte, gefälschte Webseiten werden Nutzer oft dazu verleitet, ihre Zugangsdaten einzugeben, was Passwörter besonders anfällig für Phishing macht. Die Angreifer können diese Informationen anschließend nutzen, um unberechtigt auf Konten zuzugreifen. Solche Angriffe sind effektiv, weil sie nicht die technischen Systeme angreifen, sondern die Gutgläubigkeit der Nutzer ausnutzen.

FIDO2 löst dieses Problem, indem für den Anmeldeprozess keine Passwörter verwendet, die abgefangen werden können oder einfach zu erraten sind

Wie funktioniert FIDO?

Passwortlos sicher anmelden klingt erstmal konträr, wie also funktioniert eine sichere Authentifizierung komplett ohne Passwort?

Zunächst beruht das Anmeldeverfahren mit FIDO2 auf einem asymmetrischen Kryptosystem. Das bedeutet, dass für die Authentifizierung anstelle von Passwort und Nutzername der Austausch eines Schlüsselpaares stattfindet, ohne sensible Daten preiszugeben. Dieses Schlüsselpaar besteht aus zwei Teilen: Ein öffentlicher Schlüssel, der auf dem System (z. B. Betriebssysteme, Browser, Onlinedienste) hinterlegt ist sowie ein privater Schlüssel, der verschlüsselt auf dem Endgerät gespeichert wird und dieses nie verlässt. Der Anmeldeprozess läuft dann wie folgt ab:

1. Challenge

Für den Log-In sendet der FIDO2-Server eine Herausforderung (Challenge), die vom privaten Schlüssel erledigt bzw. unterschrieben werden muss.

2. Aktion

Damit der private Schlüssel das auslösen kann, muss eine Aktion am Endgerät durchgeführt werden, z. B. die Präsentation eines Fingerabdrucks oder das Scannen von Gesichtsbiometrie.

3. Überprüfung

Hat der private Schlüssel seine Signatur dem Server mitgeteilt, überprüft der Server diese nun mit dem öffentlichen Schlüssel auf Authentizität. Stimmt alles überein, erfolgt der Log-In vollkommen passwortlos.

Wo besteht der Unterschied zu PassKeys?

FIDO2 und PassKeys verfolgen dasselbe Ziel – sichere, passwortfreie Authentifizierung – aber es gibt einen kleinen Unterschied in ihrer Handhabung:

Während beim Anmeldungsprozess mittels FIDO2 nur genau ein Endgerät genutzt werden kann und der private Schlüssel den Authentikator (das Endgerät) nie verlässt, besteht bei PassKeys die Möglichkeit, mehrere private Schlüssel zu erzeugen und diese auf verschiedenen Endgeräten bzw. einer Cloud zu hinterlegen. Damit bedienen sich PassKeys zwar des FIDO2-Protokolls, erweitern dies aber um einen gewissen Nutzerkomfort, um es praxistauglicher zu machen, gerade für Unternehmen. Das greifen auch Global Player wie Google, Apple oder Microsoft auf und haben ihre Anmeldeprozesse für PassKeys optimiert und bieten dadurch eine nutzerfreundliche Alternative zur standardmäßigen Anmeldung über Nutzername und Passwort.

Authentifizierung mit FIDO2
Authentifizierung mit FIDO2
Authentifizierung mit PassKeys
Authentifizierung mit PassKeys

 

 

 

 

 

 

Wo kommt FIDO2 zur Anwendung?

Mit der wachsenden Mitgliederzahl der FIDO-Allianz wächst auch ihre Verbreitung: U. a. die Betriebssysteme ab Windows 10 und Android unterstützen den Authentifizierungsstandard. Auch die gängigen Webbrowser wie Google Chrome, Mozilla Firefox, Microsoft Edge und Apple Safari haben FIDO2 integriert.

Was sind Vor- und Nachteile von FIDO2?

FIDO2 bietet enorme Sicherheitsvorteile und vereinfacht die Anmeldung, doch die Einführung erfordert passende Hardware und Unterstützung durch Dienste. Wie sehen also Vor- und Nachteile gegenüber gestellt aus?

Vorteile

Sicherheit

Die bei FIDO2 genutzten kryptografischen Schlüsselpaare sorgen dafür, dass sich die Anmeldedaten auf jeder Website unterscheiden, was bei der Nutzung von Passwörtern in der Praxis oft nicht gegeben ist. Darüber hinaus verlassen sie nie das Endgerät des Nutzers und werden auf keinem Server hinterlegt. Somit schützt FIDO2 sehr effektiv vor Passwortdiebstahl (z. B. durch Datenlecks), Phishing und Brute-Force-Angriffen.

Nutzerfreundlichkeit

Anstelle von langen und sicheren Passwörtern, melden sich Nutzer mittlerweile komplett passwortfrei über biometrische Faktoren oder einen Hardware-Token an. Das entlastet die Anwender in der Handhabung und bietet eine sichere, aber einfachere Variante des Log-Ins.

Datenschutz

Für jede Registrierung mit FIDO2 werden durch die asymmetrische Kryptographie auf der Internetseite jeweils ein individuelles Schlüsselpaar erstellt, das nur für diese einzelne Website gültig ist. Das verhindert, dass ein Nutzer über verschiedene Seiten hinweg verfolgt werden kann. Dadurch, dass der private Schlüssel nie das Endgerät verlässt, werden auch nie biometrische Daten, wenn diese zur Anmeldung genutzt werden, übermittelt.

Nachteile

Verbreitung

Auch wenn FIDO2 bei den Global Playern wie Google, Microsoft und Apple auf dem Vormarsch ist, unterstützen noch immer viele Websites den Standard noch nicht und setzen stattdessen auf Single-Sign-On Systeme. Was sich für den Nutzer vermeintlich ähnlich anfühlt, beruht auf komplett unterschiedlichen Techniken und birgt unterschiedliche Sicherheitsrisiken.

Eingeschränkte Offline-Nutzung

Um sich an Webseiten anzumelden, braucht man zwar für das Laden der Seite Internet, der Anmeldeprozess selbst erfolgt bei FIDO2 jedoch lokal, etwa via Fingerabdruck scannen oder einen Hardware-Token. Anders sieht das jedoch bei PassKeys aus: Da diese auf mehreren Geräten zumeist hinterlegt sind und synchronisiert werden müssen, wird immer eine aktive Internetverbindung vorausgesetzt.

Was ist der Unterschied zu FIDO1?

Die ursprüngliche Variante von FIDO bestand aus den zwei Protokollen U2F (universal second factor) und UAF (universal authentication framework). Diese standardisierten Protokolle sollten bereits bestehende Anmeldungen um Zwei- oder Multi-Faktor-Authentifizierung ergänzen. Wie schafft man also den Sprung von mehreren Faktoren zum Nachweis der Identität hin zum passwortlosen Log-In?

Der Fokus wurde schlicht geändert: Mit der Erweiterung zweiter Protokolle, verfolgt FIDO2 einen anderen technischen Ansatz, der oben bereits angerissenen asymmetrischen Kryptografie. Um diese weitreichend verbreiten zu können, benötigte die FIDO-Allianz Unterstützung. Gemeinsam mit dem vom World Wide Web Consortium unterstützten W3C Web Authentication Standard wird der Log-In per Schlüsselpaar-Methode für Web-Anwendungen unterstützt. Um jedoch weiterhin auch eine Mehr-Faktor-Authentifizierung ermöglichen zu können, wurde das ursprüngliche U2F-Protokoll weiterentwickelt zum Client Authenticator Protocol 2 (CTAP2).

Fazit

FIDO2 bietet eine sichere, benutzerfreundliche und zukunftsweisende Alternative zu klassischen Passwörtern. Durch den Einsatz von kryptografischen Schlüsselpaaren schützt es effektiv vor Phishing, Datenlecks und anderen gängigen Angriffen – ohne dass sich der Nutzer komplizierte Passwörter merken muss. Mit der wachsenden Unterstützung durch große Plattformen und der einfachen Handhabung bringt FIDO2 uns einen großen Schritt näher an eine passwortfreie und gleichzeitig sicherere Online-Welt.

Autor aus der Fachgruppe IT-Sicherheit:

digitronic computersysteme gmbh