QR-Codes vs. Passwörter beim SSO
Login-Bildschirme, die auf QR-basiertem Single Sign-on setzen, reduzieren Passwort-Resets, Phishing-Risiken und Support-Anfragen – Mitarbeiter authentifizieren sich einfach per Handykamera statt sich Zugangsdaten zu merken.
QR-Codes tauchen neben dem Passwortfeld auf
Die meisten Single-Sign-on-Portale starten noch immer mit demselben Ablauf: Benutzername eingeben, Passwort eingeben, vielleicht noch eine Push-Benachrichtigung bestätigen. Doch dieser Prozess beginnt sich zu wandeln. Immer mehr SSO-Anbieter zeigen neben dem klassischen Login-Formular einen QR-Code an, mit dem sich die Identität per Smartphone bestätigen lässt – statt mit einer auswendig gelernten Zeichenfolge.
Dieser Wandel ist keine Äußerlichkeit. Passwörter sind nach wie vor die am häufigsten ausgenutzte Zugangsdatenart bei Unternehmens-Hacks, und IT-Teams verbringen einen unverhältnismäßig großen Teil ihrer Zeit mit dem Zurücksetzen von Passwörtern. Laut Ping Identity sollen bis 2025 rund 80 % der Unternehmen auf QR-Code-Login oder ähnliche passwortlose Verfahren umgestiegen sein. Das ist ein schneller Kurswechsel für eine Branche, die seit den 1960er-Jahren auf Passwörter setzt.
In diesem Beitrag erfährst du, wie QR-basiertes SSO konkret funktioniert, wie es im Vergleich zu Passwörtern bei Sicherheit und Nutzerfreundlichkeit abschneidet und worauf du achten solltest, bevor du eine Methode durch die andere ersetzt – oder beide parallel einsetzt.
Wie passwortbasiertes und QR-basiertes SSO tatsächlich funktionieren
QR-Codes vs. Passwörter: der direkte Vergleich
So schneiden die beiden Methoden bei den Faktoren ab, die für IT-Teams und Endnutzer wirklich zählen.
Phishing-Resistenz
Passwörter lassen sich in jede überzeugend aussehende gefälschte Login-Seite eintippen. QR-basiertes SSO zwingt Angreifer dazu, zusätzlich das scannende Gerät zu kompromittieren – die Hürde steigt damit deutlich. Mehr dazu in unserem Ratgeber Sind QR-Codes sicher?.
Wiederverwendung von Zugangsdaten
Die Wiederverwendung von Passwörtern über mehrere Dienste hinweg ist die Hauptursache für Credential-Stuffing-Angriffe. Beim QR-Login gibt es von vornherein kein wiederverwendbares Geheimnis, das durchsickern könnte – jedes Session-Token wird neu erzeugt.
Nutzerfreundlichkeit
Ein Passwort einzutippen geht schnell, aber man vergisst es leicht; einen Code zu scannen dauert mit dem Handy ein paar Sekunden, spart aber die komplette „Passwort vergessen“-Schleife.
Support-Aufwand
Passwort-Resets zählen durchgängig zu den häufigsten Anfragen beim Helpdesk. QR-basierte Abläufe verlagern diese Last hin zum Geräte-Management – ein anderer Aufwand, aber oft ein geringerer.
Offline-Nutzung und Sonderfälle
Passwörter funktionieren auch ohne Zweitgerät. QR-Login scheitert, wenn das Handy leer ist, verloren geht oder keinen Kamerazugriff hat – Backup-Codes oder Passwörter als Fallback bleiben deshalb weiterhin nötig.
Neue Angriffsvektoren
QR-Codes können gefälscht oder ausgetauscht werden – bekannt als Quishing; Passwörter sind anfällig für Brute-Force-Angriffe und Phishing-Seiten. Keine der beiden Methoden ist für sich allein völlig angriffssicher.
Wichtige Fakten zu QR-Codes im SSO
Bevor wir die beiden Methoden direkt vergleichen, ein Blick darauf, was gerade wirklich in Unternehmens-Login-Systemen passiert.
Passwörter dominieren noch – aber widerwillig
Laut einer Studie von Descope halten nur 2 % der Unternehmen Passwörter für eine wirksame Sicherheitsmaßnahme, dennoch nutzen 87 % sie 2023 noch irgendwo in ihrem Authentifizierungs-Stack.
QR-Login setzt auf ein zweites, vertrauenswürdiges Gerät
Statt Zugangsdaten in einen Browser einzutippen, scannt der Nutzer einen Code mit einem bereits authentifizierten Smartphone – der Vertrauensanker verschiebt sich also von etwas Gemerktem hin zu etwas Besessenem.
Das Risiko von Session-Hijacking verändert sich, verschwindet aber nicht
QR-basiertes SSO eliminiert das Risiko von Keylogging und Credential-Stuffing, öffnet aber eine neue Angriffsfläche: Quishing, bei dem Angreifer einen echten Login-Code gegen einen bösartigen austauschen.
In regulierten Branchen wächst die Nutzung besonders schnell
Banken- und Gesundheitsportale gehörten zu den ersten, die auf QR-Login setzten, da es sich natürlich mit gerätegebundenen Authenticator-Apps kombinieren lässt, die ohnehin aus Compliance-Gründen vorgeschrieben sind.
Praktische Tipps zur Auswahl oder Kombination beider Methoden
Die wenigsten Unternehmen werden Passwörter von heute auf morgen komplett abschaffen. So gehst du eine schrittweise Einführung am besten an.
- Führe QR-basiertes SSO zunächst als zusätzlichen Login-Weg ein, nicht als Ersatz – so können Nutzer freiwillig umsteigen, ohne bestehende Abläufe zu stören.
- Setze kurze Ablaufzeiten für Login-QR-Codes – üblich sind 30 bis 60 Sekunden – um das Zeitfenster für Quishing-Versuche möglichst klein zu halten.
- Kombiniere QR-Login mit Geräte-Attestierung, sodass das scannende Smartphone selbst nachweisen muss, dass es registriert ist – nicht nur, dass es einen Code lesen kann.
- Behalte einen passwortbasierten Fallback für die Kontowiederherstellung bei, denn QR-Login allein kann Nutzer aussperren, wenn das Handy verloren geht.
- Kläre Mitarbeiter über Quishing-Risiken auf, genauso wie Phishing-Awareness-Trainings bereits gefälschte Login-E-Mails abdecken, und verweise sie auf unseren Leitfaden zur Überprüfung, ob ein QR-Code sicher ist.
- Teste den Ablauf zunächst in kleinem Rahmen mit einem kostenlosen QR-Code-Generator, bevor du ihn in einen produktiven Identity-Provider einbindest.
Häufig gestellte Fragen
Ist ein QR-Code-Login sicherer als ein Passwort?
Können QR-Codes Passwörter beim SSO vollständig ersetzen?
Was passiert, wenn jemand einen Login-QR-Code fotografiert?
Funktioniert QR-basierter Login ohne Internetverbindung?
Sind QR-Codes beim SSO anfällig für Quishing-Angriffe?
Bereit, Ihren QR-Code zu erstellen?
Erstellen Sie in Sekunden individuelle QR-Codes – kostenlos und einfach.
Kostenlosen QR-Code erstellen →