Warum Qypher gerade jetzt gebraucht wird.

Nachrichten darüber, dass bei einem großen Dienst persönliche Daten durchgesickert sind, sind leider keine Seltenheit mehr. Als Ursache werden immer wieder genannt: „wiederverwendete Passwörter", „zu einfache Passwörter" und „durch Phishing gestohlene Passwörter".

Das liegt nicht nur an der Unachtsamkeit der Nutzer. Das Passwort verlangt als Mechanismus von einem Menschen ein Geheimnis, das „lang, komplex, für jeden Dienst unterschiedlich – und dennoch merkbar" ist. Bei einer stetig wachsenden Zahl an Diensten ist es fast unmöglich, das perfekt zu erfüllen. Sickert ein Passwort bei einem Dienst durch, greift der Schaden kaskadenartig auf alle anderen Dienste über, bei denen dasselbe Passwort wiederverwendet wurde – deshalb werden so viele Lecks so gravierend.

Bei Qypher gibt es von vornherein kein „Passwort", das durchsickern könnte

Bei der Anmeldung mit Qypher gibt es kein Passwort — keine Zeichenfolge, die sich ein Mensch merken muss. Verwendet wird nur eine einzige Qypher-Karte mit aufgedrucktem QR-Code. Für Passwörter typische Vorfälle — „ein gemerktes Geheimnis wird gestohlen", „ein wiederverwendetes Geheimnis sickert durch" — können in diesem Design von vornherein nicht auftreten.

Das bedeutet natürlich nicht: „Mit Qypher kann nie etwas schiefgehen." Verlieren Sie Ihre Qypher-Karte, deaktiviert eine sofortige Neuausstellung die alte Karte augenblicklich. Entscheidend ist das Design selbst – dass kein Mensch ein Geheimnis mit sich tragen muss, das im Falle eines Lecks zum Problem würde. Diesen Sicherheitsgedanken vertiefen wir später, im vierten Teil.

Social-Login-Optionen wie „Mit Google anmelden" oder „Mit Apple anmelden" sind ein praktischer Mechanismus, der auf vielen Websites genutzt wird. Sich sofort mit einem bereits vorhandenen Konto anmelden zu können, ist ein echter Vorteil.

Qypher will nicht mit diesem Mechanismus konkurrieren, sondern eine andere Position einnehmen. Social Login bindet Sie an ein Konto bei einer bestimmten großen Plattform. Qypher hingegen ist ein unabhängiger Authentifizierungsmechanismus, der auch für Menschen funktioniert, die bei keiner bestimmten Plattform Mitglied sind, oder die einfach das Gefühl haben: „Ich möchte meine Identifikationsdaten nicht gebündelt einem einzigen Unternehmen anvertrauen."

Worauf Qypher Wert legt

• Neutralität: Es funktioniert als eigenständiges Anmeldeverfahren, unabhängig vom Konto eines bestimmten Unternehmens.
• Vielseitigkeit: Eine einzige Qypher-Karte lässt sich bei mehreren, voneinander unabhängigen Diensten nutzen, die Qypher unterstützen.
• Transparenz: Sie können jedes Mal selbst prüfen und auswählen, welche Daten an die Seite übermittelt werden, bei der Sie sich anmelden.

Es geht nicht darum, welches „besser" ist. Wir sind überzeugt, dass mehr Wahlmöglichkeiten – je nach Situation und den Werten, die Ihnen wichtig sind – sowohl für Nutzer als auch für Website-Betreiber eine gute Sache sind.

Da die Internetnutzung heute ganz selbstverständlich zum Alltag gehört, werden Vorfälle, bei denen Kinder versehentlich auf altersbeschränkte Dienste zugreifen oder ungewollt hohe Beträge ausgeben, zunehmend als gesellschaftliches Thema aufgegriffen.

Qyphers Altersverifizierung und Erziehungsberechtigten-Verifizierung

Qypher verifiziert das Alter anhand eines hinterlegten Geburtsdatums und ist so ausgelegt, dass es bei Nutzern unter einem bestimmten Alter eine Verifizierung oder Zustimmung der Erziehungsberechtigten verlangt. Dadurch muss eine Website nie „von Grund auf einen eigenen Mechanismus zur Identitäts- und Erziehungsberechtigten-Prüfung bauen", was es erheblich erleichtert, Rücksicht auf den Schutz von Kindern über mehr Dienste hinweg zu verbreiten.

Auch für Erziehungsberechtigte wird es leichter, den Überblick zu behalten, bei welchen Diensten sich ihr Kind anmeldet, wodurch das Risiko sinkt, dass es unbemerkt an einen für sein Alter ungeeigneten Ort gerät.

Ein einziger Mechanismus, der zur Sicherheit der ganzen Gesellschaft beiträgt

Wenn Altersverifizierung und Erziehungsberechtigten-Verifizierung als gemeinsamer Mechanismus existieren können, statt von jedem einzelnen Dienst separat aufgebaut zu werden, kann sich die Rücksicht auf den Schutz von Kindern viel reibungsloser in der gesamten Branche verbreiten. Qyphers Ziel ist es, das Fundament für einen solchen positiven Kreislauf zu sein.

Allein das Wort „sicher" reicht vielleicht nicht aus, um Sie zu beruhigen. Hier erklären wir, so einfach wie möglich, die Denkweise, mit der Qypher robust bleibt.

Es gibt von vornherein kein „Geheimnis", das sich zu stehlen lohnt

Wie bereits im ersten Teil erwähnt, gibt es bei der Anmeldung bei Qypher kein Passwort, das sich ein Mensch merkt. Da es von vornherein kein „Geheimnis" gibt, das ein Angreifer ins Visier nehmen könnte, greifen gängige Angriffsmethoden — ein Passwort stehlen, erraten, seine Wiederverwendung ausnutzen — schlicht nicht.

Selbst im schlimmsten Fall wird nichts in nutzbarer Form gespeichert

Die Datenbank von Qypher speichert authentifizierungsbezogene Informationen niemals in einer Form, die sich in das Original zurückverwandeln lässt. Gespeichert wird nur ein Wert, der eine Einweg-Transformation durchlaufen hat – aus dem sich das Original nicht zurückrechnen lässt. Auch personenbezogene Daten wie Namen und Adressen werden verschlüsselt gespeichert. Selbst wenn ein Teil der Daten in falsche Hände geriete, ließe er sich also nicht in direkt nutzbarer Form extrahieren.

Der Maschine überlassene Erzeugung – nicht erratbar

Die für die Anmeldung genutzten Informationen werden nicht aus vorhersehbaren Faktoren wie Datum und Uhrzeit erzeugt, sondern von einem kryptografisch sicheren Zufallszahlengenerator. Da es sich nicht um eine von einem Menschen ausgedachte Zeichenfolge handelt, lässt sich kein Muster erraten, um sie zu reproduzieren.

Die Sicherheit von Qypher beruht nicht darauf, „den Mechanismus geheim zu halten" – sie stützt sich, wie hier gezeigt, auf ein Design, das auch dann standhält, wenn es offengelegt wird. Wenn Sie sich für die technischen Details interessieren, werfen Sie auch einen Blick auf unsere Seite für Techniker, „Sicherheit".