Authentifizierung ist eine wichtige Maßnahme zum Schutz persönlicher und sensibler Informationen vor unbefugtem Zugriff. Nach wie vor ist das Passwort die am weitesten verbreitete Form der Authentifizierung, trotz bekannter Nachteile wie der kognitiven Belastung für die Nutzenden und daraus resultierenden Bewältigungsstrategien. Diese umfassen die Erstellung schwacher Passwörter oder die Wiederverwendung von Passwörtern über Konten hinweg. Alternativen zum wissensbasierten Passwortverfahren sind biometrische Verfahren wie Fingerabdruck-Authentifizierung und gegenstandsbasierte Verfahren wie Chipkarten-Authentifizierung. Bisherige Versuche, das Passwort im großen Maßstab zu ersetzen, waren jedoch nicht erfolgreich.

Beginnend mit einem umfangreichen Bewertungsprozess und Vergleich objektiver Aspekte von existierenden Authentifizierungsverfahren, konnte diese Forschung die Schwierigkeit, das Passwort durch ein anderes Verfahren abzulösen, bestätigen. Um dieses scheinbar unlösbare Problem zu beleuchten, wurden eine Laborstudie und eine Onlinestudie zu den Nutzendenwahrnehmungen von Authentifizierungsverfahren durchgeführt. Diese sind relevant, obwohl sie bisher weniger untersucht wurden als technische Aspekte. Erstens können sie die Akzeptanz von Authentifizierungsverfahren beeinflussen und zweitens können Diskrepanzen zwischen technischer Sicherheit und Sicherheitswahrnehmung letztendlich die Sicherheit beeinträchtigen. Die zwei Studien zeigten eine Präferenz der Nutzenden für das Passwortverfahren in verschiedenen Anwendungskontexten trotz seiner Nachteile. Während der initiale Vergleich die Beständigkeit des Passworts im Hinblick auf objektive Aspekte verdeutlichte, bestätigten die beiden Studien die Relevanz des Passwortverfahrens aus Perspektive der Nutzenden. Da die Sicherheit des Passwortverfahrens maßgeblich von der Passworterstellung und -handhabung durch die Nutzenden abhängt, ist weitere Forschung zur Unterstützung von Nutzenden bei der Erstellung sicherer Passwörter notwendig.

Ein vielversprechender Ansatz zur Förderung sicherer Entscheidungen, ohne die Nutzenden zu beschränken, stellt das Konzept des ”Nudging” von Thaler und Sunstein dar. Nudges sind kleine Veränderungen der Entscheidungsarchitektur, die automatische, kognitive Prozesse aktivieren und die weder die Entscheidungsoptionen eingrenzen noch deren Kosten signifikant beeinflussen. Zur Unterstützung sicherer Passworterstellung wurde in drei aufeinander aufbauenden Feldstudien der Einfluss verschiedener Passwort-Nudges auf die Passworterstellung untersucht. Die ersten zwei Studien mit visuellen Nudges, die lediglich zu erhöhter Passwortsicherheit ermuntern sollten, erzielten keine signifikanten Ergebnisse. Die aus den Erkenntnissen resultierende Intervention in der dritten Studie kombinierte einen Nudge mit Passwortstärke-Information und der Kompensation stärkerer Passwörter durch eine längere Passwortgültigkeit. Diese Intervention förderte tatsächlich die Erstellung stärkerer Passwörter.

Die Erkenntnisse führten zu der Annahme, dass die Kombination aus einem Nudge und Informationsvermittlung, ein hybrider Nudge, wirksamer zur Förderung sicherer Entscheidungen sein könnte als einzelne Maßnahmen für sich alleine. Daher untersuchte eine Online-Studie den individuellen und kombinierten Effekt von Nudges und Informationsvermittlung auf verschiedene sicherheitsbezogene Entscheidungen einschließlich Passworterstellung. Die Ergebnisse zeigten, dass der hybride Nudge über die Entscheidungen hinweg am effektivsten war. Weiterhin erscheint die Kombination eines transparenten Nudges mit Informationen, die Nutzende über den Grund für die Förderung einer bestimmten Entscheidung aufklären, aus ethischen Gesichtspunkten am günstigsten. In einer abschließenden Online-Studie wurden die Auswirkungen verschiedener hybrider Nudges auf Passworterstellung, Merkbarkeit und die Nutzendenwahrnehmungen verglichen. Die Studie bestätigte die Wirksamkeit hybrider Nudges gegenüber Interventionen, die nur einen Nudge oder nur Informationen beinhalteten, in allen drei Punkten. Allerdings wurden nahezu keine signifikanten Unterschiede zwischen verschiedenen hybriden Nudges gefunden, was darauf hindeutet, dass die Art des verwendeten Nudges eine untergeordnete Rolle im Vergleich zur Kombination als solche einnimmt.

Die Ergebnisse legen nahe, dass die Kombination aus Nudging und Informationsvermittlung eine erfolgsversprechende Strategie zur Unterstützung von Nutzenden im Hinblick auf sichere Passworterstellung und sicherheitsrelevante Entscheidungen darstellt, ohne eine bestimmte Option zu erzwingen. Dies könnte auch den Weg zu einem stärker mensch-zentrierten Cybersecurity Ansatz öffnen, wie er mit der als ”Cybersecurity, Differently” bezeichneten Denkweise vorgestellt wird.

Die Ergebnisse werden unter anderem im Hinblick auf ihre Übertragbarkeit auf reale Situationen und ihre Skalierbarkeit für die große Anzahl von Accounts, die Nutzende verwalten müssen, diskutiert. Die Vorschläge für zukünftige Forschung beinhalten daher Feldstudien zu hybriden Passwort-Nudges, ihre Integration in geeignete Tools wie Passwort-Manager zur Reduzierung der kognitiven Belastung von Nutzenden oder die Entwicklung von Konzepten, die insbesondere Aspekte wie Account-Sensitivität und Wiederverwendung von Passwörtern berücksichtigen.