Die NIST-Richtlinie enthält durchaus Anforderungen zur Passwortlänge, zu synchronisierbaren Authentifikatoren, zu E-Mail sowie zu Telefon- und SMS-Codes und zu Sitzungs-Timeouts. Was als phishing-resistent gilt, wird in dem für diesen Artikel geprüften Material allerdings nicht definiert. Deshalb beschränkt sich dieser Beitrag darauf, was im Text der Richtlinie steht, und kennzeichnet unsere eigene Lesart überall dort, wo sie vorkommt.

Was die NIST-Authentifizierungsrichtlinie ist und an wen sie sich richtet

Laut Dokumentverlauf ist die endgültige Fassung von SP 800-63B-4 auf den 31. Juli 2025 datiert, wie auf der NIST-Publikationsseite auf csrc.nist.gov angegeben. Wenn dieser Artikel eine Anforderung zitiert, nennt er auch, wer sie erfüllen muss – denn die Richtlinie weist ihre Pflichten jeweils bestimmten Beteiligten zu.

Viele Anforderungen gelten für Verifier und CSPs, also die Parteien, die im Abschnitt zu Authentifikatoren auf pages.nist.gov genannt werden. Andere richten sich an US-Bundesbehörden. So heißt es im Richtlinientext des NIST auf pages.nist.gov, dass Bundesbehörden mindestens AAL2 wählen müssen, wenn personenbezogene Daten online zugänglich gemacht werden.

Unsere eigene Lesart: Diese Regeln sind für die Organisationen geschrieben, die Anmeldesysteme betreiben – nicht als Anleitung für Menschen mit einem Depot-, Börsen- oder E-Mail-Konto. Trotzdem können sie Leserinnen und Lesern helfen zu verstehen, welche Anmeldeoptionen ein Dienst anbietet und warum. Für sich genommen zeigen sie jedoch nicht, wie ein bestimmter Dienst seine Nutzer schützt.

Passwort oder MFA: Was der Text von Passwörtern verlangt

Die klarste Passwortregel unter den geprüften Aussagen betrifft Passwörter, die allein verwendet werden. Laut dem Abschnitt zu Authentifikatoren auf pages.nist.gov müssen Verifier und CSPs verlangen, dass Passwörter, die als Ein-Faktor-Authentifizierungsmechanismus dienen, mindestens 15 Zeichen lang sind.

Zur historischen Einordnung beschreiben die FAQ des NIST zur digitalen Identität das ältere LOA-Modell. Demnach bestand bei den Authentifikatoren der größte Unterschied zwischen LOA1 und LOA2 darin, dass die Mindestlänge für Passwörter von sechs auf acht Zeichen stieg.

Regel in den geprüften Aussagen Quelle
Passwörter als einziger Faktor: mindestens 15 Zeichen, von Verifiern und CSPs zu verlangen NIST-Abschnitt zu Authentifikatoren
Altes LOA-Modell: Mindestlänge für Passwörter stieg zwischen LOA1 und LOA2 von sechs auf acht Zeichen NIST-FAQ

Unsere eigene Lesart: Ist ein Passwort der einzige Faktor, verlangt der aktuelle Text eine deutlich größere Mindestlänge als die alten LOA-Werte. Für Passwörter, die als ein Faktor innerhalb einer MFA dienen, legen die geprüften Aussagen keine bestimmte Länge fest – daher nennt dieser Artikel auch keine.

Passkeys, synchronisierbare Authentifikatoren und AAL3

Das Wort „Passkey“ kommt in den geprüften Aussagen kein einziges Mal vor. Sie behandeln aber eine verwandte Kategorie: synchronisierbare Authentifikatoren. Im Richtlinientext des NIST auf pages.nist.gov heißt es, dass synchronisierbare Authentifikatoren auf AAL3 nicht verwendet werden dürfen, weil sie voraussetzen, dass der private Schlüssel exportierbar ist.

Dieser Satz enthält sowohl eine Regel als auch deren angegebene Begründung:

  • Die Regel: Synchronisierbare Authentifikatoren sind auf AAL3 ausgeschlossen.
  • Die angegebene Begründung: Sie setzen voraus, dass der private Schlüssel exportierbar ist.

Was dieser Artikel auf Grundlage der geprüften Aussagen nicht klären kann:

  • Ob ein bestimmtes Produkt, das als Passkey verkauft oder bezeichnet wird, ein synchronisierbarer Authentifikator ist.
  • Wie die Richtlinie synchronisierbare Authentifikatoren auf anderen Stufen als AAL3 behandelt.
  • Ob irgendein Passkey eine Definition von Phishing-Resistenz erfüllt.

Unsere eigene Lesart: Wer einen Passkey mit Passwort-MFA vergleicht, sollte zuerst herausfinden, ob der betreffende Passkey seinen Schlüssel synchronisiert. Genau an dieser Eigenschaft hängt die Regel. Da die Aussagen an dieser Stelle enden, lassen wir die Einordnung konkreter Passkeys offen.

E-Mail-, SMS- und Telefoncodes bei der Mehrfaktor-Anmeldung

Mehrere gängige zweite Schritte tauchen in den geprüften Aussagen auf. Der Abschnitt zu Authentifikatoren auf pages.nist.gov legt fest, dass E-Mail nicht für die Out-of-Band-Authentifizierung verwendet werden darf. Derselbe Abschnitt bestimmt, dass eine Out-of-Band-Authentifizierung als ungültig zu betrachten ist, wenn sie nicht innerhalb von 10 Minuten abgeschlossen wird.

Telefon- und SMS-Codes behandeln die FAQ des NIST zur digitalen Identität. Dort heißt es, dass Authentifikatoren, die das öffentliche Telefonnetz nutzen – einschließlich telefon- und SMS-basierter OTPs –, als eingeschränkt („restricted“) gelten. Was diese Einschränkung in der Praxis bedeutet, erläutern die geprüften Aussagen nicht; deshalb beschreibt dieser Artikel sie auch nicht näher.

Methode Was die geprüften Aussagen sagen
E-Mail für die Out-of-Band-Authentifizierung Darf nicht verwendet werden
Out-of-Band-Authentifizierung allgemein Ungültig, wenn nicht innerhalb von 10 Minuten abgeschlossen
Telefon- und SMS-basierte OTPs Eingeschränkt

Unsere eigene Lesart: „MFA“ umfasst ganz unterschiedliche zweite Schritte, und die Richtlinie behandelt sie unterschiedlich. Wer sich die Anmeldeoptionen eines E-Mail-, Depot- oder Börsenkontos ansieht, kann diese Unterscheidung nützlich finden. Welche Option ein bestimmter Dienst nutzt oder wie gut sie funktioniert, verraten diese Regeln allerdings nicht.

Timeouts für die erneute Authentifizierung auf AAL2 und AAL3

Auch die Sitzungsregeln unterscheiden sich je nach Stufe. Laut dem Richtlinientext des NIST auf pages.nist.gov muss auf AAL2 ein festes Gesamt-Timeout für die erneute Authentifizierung festgelegt werden, und es sollte höchstens 24 Stunden betragen. Auf AAL3 darf das Gesamt-Timeout für die erneute Authentifizierung höchstens 12 Stunden betragen.

Stufe Gesamt-Timeout für die erneute Authentifizierung
AAL2 Muss festgelegt werden; sollte höchstens 24 Stunden betragen
AAL3 Darf höchstens 12 Stunden betragen

Achten Sie auf die Formulierung: Bei AAL2 steht für die Obergrenze „should“ (sollte), bei AAL3 dagegen „must“ (muss). Dieser Artikel behält diesen Unterschied bei, statt beide Vorgaben als gleich verbindlich darzustellen.

Unsere eigene Lesart: Wenn ein Dienst Sie nach einer gewissen Zeit auffordert, sich erneut anzumelden, kann dahinter eine solche Timeout-Regel stehen. Wie ein einzelner Dienst seine Timeouts festlegt, geht aus den Aussagen nicht hervor.

Was ist phishing-resistent – und wie man Aussagen dazu einordnet

Die geprüften Aussagen aus dem Richtlinientext des NIST auf pages.nist.gov enthalten keine Definition von Phishing-Resistenz. Sie sagen auch nicht, ob Passkeys, synchronisierbare Authentifikatoren oder irgendeine andere Methode eine solche Definition erfüllen. Dieser Artikel lässt die Frage bewusst offen. Er übernimmt keine Definition aus Sekundärzusammenfassungen, die nicht Teil der Quellenprüfung waren.

Diese Vorsicht gilt für Sicherheitsaussagen ganz allgemein. Laut dem Kurztipps-Leitfaden von CERT.br hat ein Gerücht meist einen alarmistischen Ton, greift Themen auf, die gerade viel Aufmerksamkeit bekommen, und nennt keine Informationsquelle oder beruft sich auf unbekannte Quellen. Eine verwandte Gewohnheit, nach unserer eigenen Lesart: Wenn eine Nachricht oder ein Beitrag behauptet, eine Anmeldemethode sei sicher oder unsicher, suchen Sie nach dem Primärtext, auf den sich die Behauptung stützt – und prüfen Sie, ob dort im Original „must“ (muss), „should“ (sollte) oder etwas noch Schwächeres steht.

Das kann dieser Artikel zur Ausgangsfrage beantworten – und das nicht:

  • Aus den Aussagen beantwortet: Regeln zur Länge von Passwörtern als einzigem Faktor, zu E-Mail und zur Zeitvorgabe bei Out-of-Band-Verfahren, zu Telefon- und SMS-Codes, zu synchronisierbaren Authentifikatoren auf AAL3 und zu Timeouts für die erneute Authentifizierung.
  • Offen geblieben: eine Definition von Phishing-Resistenz und die Frage, wie konkrete Passkeys sich darin einordnen.

Grenzen dieses Artikels

Dieser Artikel bietet Bildungsinformationen zu veröffentlichten Leitlinien für die Authentifizierung. Er stellt keine Anlageberatung dar und empfiehlt keine Produkte, Broker, Börsen oder Dienste. Er behandelt keine Teile der NIST-Richtlinie, die über die hier aufgeführten Aussagen hinausgehen, und definiert keine Phishing-Resistenz. Er bewertet nicht, wie ein bestimmtes Konto oder ein bestimmter Dienst seine Nutzer schützt.