Passwort, SMS oder Passkey: die fünf Sicherheitsstufen für Logins laut BACS

Passwort, SMS-Code, Authenticator-App, Passkey, Sicherheitsschlüssel: Es gibt viele Wege, einen Zugang zu schützen, aber sie bieten nicht denselben Schutz. Am 19. Oktober 2026 hat das Bundesamt für Cybersicherheit (BACS) eine Technologiebetrachtung veröffentlicht, die sie in fünf Sicherheitsklassen einteilt.

Die Klassifikation orientiert sich an den Authentication Assurance Levels (AAL 1–3) des US-amerikanischen NIST, wurde leicht angepasst und im Hinblick auf «Real-time Phishing» erweitert. Sie ist keine Zertifizierung, kann Organisationen und Unternehmen laut BACS aber als praktische Grundlage für Sicherheitsvorgaben, Empfehlungen und Best Practices dienen.

Die fünf Stufen im Überblick

Es gibt drei Grundklassen, «tief», «mittel» und «hoch». Die beiden letzten haben eine mit Stern (*) markierte Variante für Verfahren, die auch Real-time-Phishing widerstehen und vor Angriffen schützen, bei denen sich jemand zwischen Nutzer und Dienst schaltet.

• Tief. Die Information für die Anmeldung ist statisch und immer gleich: Benutzername und Passwort, ein statischer API-Schlüssel, eine in einem Cookie gespeicherte Session-ID. Die Klasse bleibt tief, auch mit verschlüsselter Verbindung oder Passwortmanager. Laut BACS sollten solche Verfahren grundsätzlich gemieden und wenn möglich ersetzt werden.
• Mittel. Die Information wird bei jeder Anmeldung neu erzeugt und hängt von mindestens einem weiteren Sicherheitsmerkmal ab. Beispiele: Passwort mit SMS-Code, Apps mit Einmalcodes wie Google oder Microsoft Authenticator.
• Mittel*. Wie «mittel», aber die Anmeldung bleibt an das Gerät oder die Sitzung gebunden und lässt sich nicht anderswo wiederverwenden. Dazu gehören synchronisierbare Passkeys und Passwörter mit Gerätebindung.
• Hoch. Zusätzlich braucht es einen kryptografischen Schlüssel in einem Hardware-Modul, aus dem er nicht ausgelesen werden kann, der mit einer weiteren Prüfung entsperrt und über einen nachvollziehbaren Prozess persönlich übergeben wird. Beispiele: OTP-Hardware-Token und Mobile ID.
• Hoch*. Die Klasse «hoch» mit Resistenz gegen Real-time-Phishing: etwa FIDO2-Schlüssel ohne Synchronisations- und Exportmöglichkeit, also physische Sicherheitsschlüssel, oder hardwarebasierte Zertifikate.

Drei hilfreiche Präzisierungen

Mehrere Verfahren derselben Klasse erhöhen die Stufe nicht. Das BACS nennt ein Beispiel: Passkeys bleiben in der Klasse «mittel», auch wenn sie mit Passwort und SMS-Code kombiniert werden.

SMS ist die letzte Wahl. Das Dokument hält fest, dass die Sicherheit SMS-basierter Verfahren in Frage gestellt ist und sie nur noch eingesetzt werden sollten, wenn es keine bessere Alternative gibt.

Ein Hardware-Schlüssel lässt sich nicht kopieren. Gerade weil der Schlüssel nicht ausgelesen werden kann, gibt es kein Backup: Dafür braucht es ein zweites Gerät.

Auch für Integrationen und Automatisierungen gibt es einen Hinweis: API-Schlüssel gehören in spezielle Systeme, nicht in URLs oder automatisch gesendete Cookies, und kurzlebige Schlüssel und Zugangsdaten sind vorzuziehen.

Was das für KMU im Tessin bedeutet

Die Klassifikation richtet sich auch an grosse Organisationen, die Logik gilt aber für jedes Unternehmen. Fünf konkrete Schritte:

1. Listen Sie die wichtigen Zugänge auf: E-Mail, E-Banking, Unternehmenssoftware, Buchhaltung, Website-Verwaltung, Domain und Hosting, Social-Media-Konten. Notieren Sie für jeden, wie Sie sich heute anmelden.
2. Kein wichtiger Zugang nur mit Passwort. Das ist die Klasse «tief»: Wo der Dienst es erlaubt, ergänzen Sie mindestens einen zweiten Faktor.
3. Passkeys oder Authenticator-Apps statt SMS. SMS ist besser als ein Passwort allein, gilt beim BACS aber als Notlösung.
4. Administratorkonten besser schützen. Für Domain, Hosting, das Postfach der Geschäftsleitung und E-Banking lohnt sich ein physischer Sicherheitsschlüssel, mit einem zweiten Ersatzschlüssel an einem anderen Ort.
5. API-Schlüssel aufräumen. Nicht in Code, E-Mails oder geteilten Dokumenten, mit minimalen Rechten und einem Ablaufdatum.

Das Thema ist nicht theoretisch: Das BACS hat kürzlich eine Rekordzahl an Meldungen verzeichnet, grösstenteils Phishing und Betrugsversuche, wie wir in 1587 Meldungen in einer Woche beschrieben haben.

Unser Ansatz

ElaraTeq Sagl entwickelt Websites, Unternehmenssoftware und digitale Dienste für KMU und Verwaltungen im Tessin, mit Hosting in der Schweiz, verschlüsselten Verbindungen und geschützten Zugängen. Wenn Sie wissen möchten, auf welcher Stufe die Zugänge Ihres Unternehmens heute liegen und was Sie zuerst verbessern sollten, schreiben Sie uns.

Quellen

• BACS, «Technologiebetrachtung: Sicher authentifizieren – Fünf Stufen für mehr Orientierung», 19. Oktober 2026: https://www.bacs.admin.ch/de/26-tb-authentifizierung-de
• BACS, «Sicherheitsklassen für Authentifikationsverfahren, -mittel und -dienste» (PDF), September 2026: vollständiges Dokument