Glossarbegriff
FIDO2
Auch: WebAuthn, CTAP2
Offener Authentifizierungs-Standard der FIDO Alliance plus W3C, bestehend aus WebAuthn (Browser-/Plattform-Schnittstelle) und CTAP2 (Geräte-Protokoll). Grundlage für phishing-resistente MFA und Passkeys.
WebAuthn definiert, wie ein Browser oder eine App mit dem Betriebssystem oder einem externen Authenticator (USB, NFC, BLE) kommuniziert. CTAP2 definiert das Geräte-Protokoll. Zusammen ergeben sie eine Public-Key-basierte Anmeldung ohne geteilte Geheimnisse.
Sicherheits-Eigenschaften: phishing-resistent (Origin-Bindung), kein Replay (Counter und Challenge), kein Server-Geheimnis (nur Public Keys werden gespeichert). Erfüllt NIST AAL3, wenn Hardware-Authenticator mit User Verification verwendet wird.
In der Praxis
Im regulierten Einsatz wichtig: Attestation-Statement gibt Auskunft über Geräte-Hersteller und Sicherheitsniveau. Für DORA- und NIS2-relevante Zugriffe wird typischerweise Attestation gefordert.
Verwandte Begriffe
MFA
Authentifizierung, die mindestens zwei Faktoren aus den Kategorien Wissen (Passwort), Besitz (Hardware-Token, Smartphone) und Sein (Biometrie) kombiniert. Pflicht nach NIS2 Art. 21 Buchstabe j und DORA Art. 9.
Passkeys
Phishing-resistente Authentifizierungs-Credentials nach WebAuthn/FIDO2, die private Schlüssel auf dem Gerät halten und biometrisch oder per PIN entsperrt werden. Lösen klassische Passwörter und SMS-OTP ab.
FRIA
Pflichtbewertung nach Art. 27 EU AI Act bei Einsatz bestimmter Hochrisiko-KI-Systeme. Verpflichtend für öffentliche Stellen und private Betreiber wesentlicher Dienste vor Inbetriebnahme.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.