Q: Was heisst FIDO und wo werden FIDO-Sicherheitsschlüssel eingesetzt?

FIDO steht für F ast ID entity O nline. Es handelt sich um mehrere offene, lizenzfreie Standards und Protokolle der FIDO Alliance zur sicheren und benutzerfreundlicheren Authentifizierung im Internet. Es gibt verschiedene Implementierungen von FIDO, darunter FIDO U2F (Universal Second Factor) und FIDO2, die in modernen Webbrowsern und Plattformen weit verbreitet sind. Mithilfe der Protokolle ist eine passwortlose, phishing-resistente Zwei-Faktor-Authentifizierung basierend auf der Public-Key-Kryptografie möglich.

Question 1

Was heisst FIDO und wo werden FIDO-Sicherheitsschlüssel eingesetzt?

Accepted Answer

FIDO steht für Fast IDentity Online. Es handelt sich um mehrere offene, lizenzfreie Standards und Protokolle der FIDO Alliance zur sicheren und benutzerfreundlicheren Authentifizierung im Internet. Es gibt verschiedene Implementierungen von FIDO, darunter FIDO U2F (Universal Second Factor) und FIDO2, die in modernen Webbrowsern und Plattformen weit verbreitet sind. Mithilfe der Protokolle ist eine passwortlose, phishing-resistente Zwei-Faktor-Authentifizierung basierend auf der Public-Key-Kryptografie möglich.

Question 2

Weshalb unterstützen wir den Einsatz von Sicherheitsschlüsseln (FIDO2)?

Accepted Answer

Weshalb unterstützen wir den Einsatz von Sicherheitsschlüsseln (FIDO2)?

Wenn Sie ohne Smartphone mit AGOV arbeiten wollen oder müssen, sind Sicherheitsschlüssel die Alternative zur AGOV access App. Dies gilt auch für Personen, deren Smartphones die AGOV access App nicht unterstützen (falsches Betriebssystem, veraltetes Gerät, Hardware ohne Sicherheitselemente, unzulässig verändert durch Rooting oder Jailbreak).

AGOV verwendet Sicherheitsschlüssel als sehr sichere Zwei-Faktor-Authentifizierung. Der physische Schlüssel ist dabei der erste Faktor, während der PIN oder die biometrische Überprüfung den zweiten Faktor für die Schlüsselverwendung darstellt. Zusätzlich empfehlen wir allen Nutzern der AGOV access App, einen Sicherheitsschlüssel mit ihrem AGOV-Konto zu verbinden. Dies können Sie auf der Seite https://agov.ch/me tun. Dadurch sichern Sie sich den Zugang zu AGOV, falls Sie den Recovery-Code verlieren und Ihr Smartphone defekt ist oder verloren geht oder falls ein Smartphone-Wechsel nicht korrekt durchgeführt wurde (die einfache Übertragung der App reicht hierfür nicht aus, bitte konsultieren Sie die Tipps für AGOV-Nutzende). Selbst wenn Sie im Besitz des Recovery-Codes sind, sind zusätzliche Loginfaktoren wie Sicherheitsschlüssel nützlich, da eine erneute Identitätsprüfung in AGOV erforderlich ist, wenn nur der Recovery-Code verwendet wird.

Question 3

Warum unterstützt AGOV nur FIDO2-Sicherheitsschlüssel mit Level-2-Zertifizierung oder höher?

Accepted Answer

AGOV stellt hohe Anforderungen an die Sicherheit der Authentifizierung - insbesondere beim Zugriff auf behördliche Online-Dienste mit hohem Schutzbedarf. Für Anmeldungen auf dem der Sicherheitsstufe «hoch» (Level of Assurance 3, LOA3) gelten verbindliche Vorgaben gemäss der IKT-Vorgabe Si001 – IKT-Grundschutz in der Bundesverwaltung.

Was bedeutet FIDO2 Level 2 (L2) und warum ist es Voraussetzung?
FIDO2 Level 2 (L2) ist eine zertifizierte Sicherheitsstufe, die zusätzliche Anforderungen an den Schutz sensibler Authentifizierungsdaten stellt. Im Unterschied zu Level 1 müssen L2-konforme Sicherheitsschlüssel über ein dediziertes Sicherheitselement (Secure Element) verfügen. Dieses schützt kryptografisches Material vor physischen und softwarebasierten Angriffen – auch dann, wenn das Endgerät kompromittiert ist.
Nur durch diesen nachweislich robusten Schutz erfüllt ein Authenticator die Bedingungen für die Nutzung im Kontext der Bundesverwaltung bei Sicherheitsstufe «hoch» (LOA3).
Warum reicht ein FIDO2-Sicherheitsschlüssel Level-1 nicht aus?
FIDO2 Level 1 erlaubt auch rein softwarebasierte Authentikatoren oder Geräte ohne spezifischen Hardwareschutz. Diese bieten einen gewissen Grundschutz, jedoch keinen überprüften Schutz gegen Angriffe im selben Systemkontext (z. B. auf einem kompromittierten Betriebssystem).
AGOV verlangt gemäss den IKT-Vorgaben explizit nach zertifiziertem Hardwareschutz, wie ihn FIDO2 Level 2 oder höher bietet.
Was gilt für Open-Source-Sicherheitsschlüssel ohne Zertifizierung?
Sicherheitsschlüssel wie der Nitrokey 3A mini können technisch hohe Sicherheitsstandards erfüllen, doch ohne formale Zertifizierung fehlt der verbindliche Nachweis. Für AGOV ist die FIDO-Zertifizierung eine Voraussetzung, da sie die Einhaltung der Sicherheitsanforderungen nachvollziehbar und einheitlich dokumentiert.
Nicht zertifiziert bedeutet nicht automatisch unsicher, aber nicht zertifiziert heisst: nicht geprüft nach den für AGOV verbindlichen Kriterien.

Zusammenfassung

Question 4

1.6 Warum funktionieren synchronisierbare Passkeys in AGOV nicht?

Accepted Answer

Passkeys sind eine moderne und sichere Methode zur passwortlosen Anmeldung, bei der ein kryptografischer Schlüssel auf dem Gerät gespeichert wird.

Aus Sicherheits- und regulatorischen Gründen erlaubt AGOV jedoch ausschliesslich kryptografische Schlüssel, die lokal auf einem Sicherheitschip* gespeichert sind, zum Beispiel auf einem FIDO2-Sicherheitsschlüssel oder direkt auf dem Gerät.

Passkeys, die über Cloud-Dienste wie iCloud oder Google zwischen mehreren Geräten synchronisiert werden, gelten als weniger vertrauenswürdig, da sie potenziell exportiert werden können. Um die Herkunft und Integrität der Schlüssel jederzeit sicherzustellen, akzeptiert AGOV daher nur hardwaregebundene Schlüssel, die nicht übertragbar, nicht exportierbar und nicht synchronisierbar sind. Die AGOV access App sowie die swiyu App für die Schweizer e-ID erfüllen diese Anforderungen bereits vollständig._{* Unter einem «Sicherheitschip» verstehen wir dedizierte, nicht exportierbare Speichereinheiten für Schlüssel – etwa Trusted Platform Modules (TPM), Secure Enclave (Apple), Titan M (Google) oder die Sicherheitsmodule in FIDO2-Sicherheitsschlüsseln.}

Question 5

Woher bekomme ich einen Sicherheitsschlüssel und zu welchen Kosten?

Accepted Answer

Sicherheitsschlüssel (FIDO2) werden durch die Endbenutzer im Elektronikhandel selber beschafft. Je nach Hersteller und Ausprägung (Anschlussart, PIN, biometrisch) kosten diese zwischen 20 und 120.- CHF.

Question 6

Warum funktioniert mein Sicherheitsschlüssel (FIDO2) auf Mac nicht immer?

Accepted Answer

Apple erfüllt die FIDO2/WebAuthn-Standards nur dort, wo es in ihr Ökosystem passt.

In der Praxis führt das zu Inkompatibilitäten oder Einschränkungen, insbesondere bei Nutzung von Hardware oder Browsern von Drittanbietern. Formell hält Apple sich an die Standards aber nicht mit der Offenheit oder Tiefe wie z. B. Microsoft oder Linux.Empfehlungen für den Alltag, einschliesslich AGOV:Um sich mit einem FIDO2-Sicherheitsschlüssel auf einem macOS-Computer bei agov.ch anzumelden, empfehlen wir Ihnen die Verwendung von Google Chrome (oder Microsoft Edge) auf Ihrem Mac. Diese Browser unterstützen die FIDO2/WebAuthn-Technologie am zuverlässigsten – insbesondere in Verbindung mit USB-Sicherheitsschlüsseln oder Touch ID. Firefox wird nicht empfohlen, da es bei der Verwendung von FIDO2 auf macOS zu Einschränkungen oder Fehlfunktionen kommen kann. Auch Safari bietet nur eingeschränkte Unterstützung.
Verwenden Sie daher bevorzugt Chrome für die Registrierung und Anmeldung mit FIDO2 auf agov.ch.

Question 7

Liste der kompatiblen Sicherheitsschlüssel, die in AGOV verwendet werden können.

Accepted Answer

Alle Sicherheitsschlüssel (FIDO2), die mit den folgenden Filterkriterien angezeigt werden, sind AGOV-kompatibel:
- Protocol = fido2
- Certification = FIDO_CERTIFIED_L2
- Key Protection = hardware

Die folgende Liste ist nur in englischer Sprache verfügbar und die oben genannten Filterkriterien müssen von Ihnen selbst eingestellt werden.→ FIDO MDS Explorer (opotonniee.github.io)Haftungsausschluss:
Die aufgelisteten FIDO2-Sicherheitsschlüssel sollten mit AGOV kompatibel sein, wurden aber nicht getestet. Die einwandfreie Funktion von ungeprüften FIDO2-kompatiblen Sicherheitsschlüsseln kann nicht garantiert werden.