OneSpan Digipass GO 7: Hardware-OTP für VPN und Legacy-Systeme ohne Smartphone

Ein verlorenes Diensthandy legt in vielen Unternehmen sofort den VPN-Zugang mehrerer Mitarbeiter lahm, weil die Authenticator-App mit dem Gerät verschwindet. In der Produktion oder im Lager, wo Smartphones aus Sicherheits- oder Hygienegründen ganz verboten sind, fällt App-basierte Multi-Faktor-Authentifizierung als Option sogar komplett weg. Der OneSpan Digipass GO 7 löst beide Probleme mit einem einzigen Knopfdruck: Er erzeugt ein Einmalpasswort komplett offline, ohne App, ohne Netzwerkverbindung und ohne Smartphone. Dieser Artikel zeigt, für welche Einsatzszenarien sich der Hardware-Token aus dem Identity-&-Access-Sortiment eignet und wie er sich von App- und FIDO2-basierten Alternativen unterscheidet.

Wie funktioniert der One-Button-OTP-Token?

Der Digipass GO 7 ist ein OATH-konformer Hardware-Token: Ein Knopfdruck erzeugt auf dem 8-stelligen LCD-Display ein zeitbasiertes Einmalpasswort (TOTP), alternativ unterstützt das Gerät auch ereignisbasierte Codes (HOTP). Beide Verfahren sind offene OATH-Standards und funktionieren mit den meisten Authentifizierungsservern und IAM-Plattformen zusammen, nicht nur mit Lösungen von OneSpan selbst.

Anders als ein Software-Authenticator braucht der Token keine Batterie-Ladung übers Smartphone, keine App-Aktualisierung und keine Internetverbindung. Die Echtzeituhr im Gerät läuft autark, der Code wird lokal berechnet. Das macht den GO 7 zur ersten Wahl für Mitarbeiter ohne Diensthandy und für Umgebungen, in denen Mobilgeräte aus Compliance- oder Sicherheitsgründen draußen bleiben müssen.

Für wen lohnt sich Hardware-OTP statt Authenticator-App?

Hardware-OTP lohnt sich für Mitarbeiter ohne Firmenhandy, für Produktions- und Hochsicherheitsbereiche ohne Mobilgeräte sowie als Ersatz für unsichere SMS-Codes und TAN-Listen. Der Digipass GO 7 funktioniert komplett offline und lässt sich zentral verwalten, ausrollen und im Verlustfall sperren – ohne dass IT-Support ein privates Smartphone konfigurieren muss.

Typische Fälle aus der Praxis:

• Schichtarbeiter in der Fertigung wählen sich am gemeinsamen Terminal per VPN in ein Wartungssystem ein.
• Aushilfen und Werkstudenten ohne Diensthandy erhalten trotzdem Zugriff auf ein Legacy-ERP mit MFA-Pflicht.
• Bankfilialen und Gesundheitseinrichtungen, deren Richtlinien private Smartphones am Arbeitsplatz einschränken, statten Mitarbeiter stattdessen mit einem Hardware-Token aus.

OneSpan Digipass GO 7 im Überblick: technische Daten

FIPS 140-2 Level 2 prüft sowohl die kryptografische Implementierung als auch die physische Manipulationssicherheit eines Geräts. Die Zertifizierung des Digipass GO 7 ist über das Cryptographic Module Validation Program von NIST (Certificate #4388) öffentlich dokumentiert und macht den Token auch für regulierte Branchen wie Banken, Gesundheitswesen und Behörden interessant. Wer die technischen Daten mit dem konkreten Anwendungsfall abgleichen will, findet Details und Bestellmöglichkeit direkt auf der Produktseite des Digipass GO 7.

Beschaffung und Rollout für IT-Abteilungen

Ein Hardware-Token verursacht mehr Beschaffungsaufwand als eine App, dafür weniger laufenden Support-Aufwand. Bei der Einführung fallen typischerweise drei Schritte an: Seed-Dateien der bestellten Geräte in den Authentifizierungsserver oder die IAM-Plattform importieren, Token den jeweiligen Nutzerkonten zuordnen und einen Ersatzprozess für Verlustfälle definieren.

Weil der GO 7 keine Ersteinrichtung durch den Nutzer benötigt, lässt er sich unkompliziert per Post an verteilte Standorte verschicken – ein Vorteil gegenüber Software-Lösungen, die eine Aktivierung auf dem Zielgerät voraussetzen. Für den Verlustfall empfiehlt sich ein kleiner Pool an Ersatztoken pro Standort: Der verlorene Token wird zentral gesperrt, das Ersatzgerät ist sofort einsatzbereit, ohne dass ein neues Gerät erst bestellt und geliefert werden muss.

Für die Dokumentation im Rahmen von NIS2 oder internen Audits lohnt sich eine einfache Zuordnungsliste, welcher Token welchem Nutzerkonto und Standort zugeteilt ist. Da der GO 7 keine Nutzerdaten auf dem Gerät selbst speichert, bleibt diese Zuordnung ausschließlich in der Authentifizierungsplattform hinterlegt – ein Vorteil, falls ein Token bei Versand oder Lagerung verloren geht.

OneSpan Digipass GO 7 vs. FIDO2-Sicherheitsschlüssel

FIDO2-Keys wie die Swissbit-iShield-Serie bieten Phishing-Resistenz durch Public-Key-Kryptografie und eignen sich besonders für moderne Cloud-Anwendungen mit FIDO2-Unterstützung. Der Digipass GO 7 spielt seine Stärke dort aus, wo genau das fehlt: bei älteren OATH-basierten Systemen, die kein FIDO2 sprechen, und bei Terminals ohne USB-Anschluss. Ein klassisches Beispiel ist ein Legacy-VPN-Gateway, das zwar OATH-TOTP als zweiten Faktor akzeptiert, aber nie um eine FIDO2-Schnittstelle erweitert wurde – dort bleibt ein Hardware-OTP-Token die einzige praktikable Option, ohne das Gateway selbst zu ersetzen. Eine ausführliche Gegenüberstellung beider Verfahren inklusive NIS2-Einordnung liefert der Vergleich zwischen OneSpan Digipass und FIDO2-Keys.

In der Praxis schließen sich beide Technologien nicht aus: Viele KMU setzen FIDO2-Keys für Cloud-Logins und OATH-Hardware-Token wie den GO 7 parallel für VPN- und Legacy-Zugänge ein, die (noch) kein FIDO2 unterstützen.

Häufige Fragen

Braucht der OneSpan Digipass GO 7 eine Internetverbindung?

Nein. Der Token berechnet das Einmalpasswort komplett offline über eine interne Echtzeituhr. Er benötigt weder WLAN noch Mobilfunk noch eine App auf einem Smartphone.

Wie lange hält die Batterie?

Laut Herstellerdatenblatt hält die fest verbaute Batterie je nach Ausführung 5 bis 7 Jahre bei normaler Nutzung. Der Token ist als Einweggerät konzipiert und wird nach Ablauf der Lebensdauer ersetzt, nicht aufgeladen.

Funktioniert der GO 7 mit jedem VPN-Gateway?

Der Token unterstützt die offenen OATH-Standards TOTP und HOTP. Prüfen Sie vorab beim jeweiligen Hersteller oder im Produktberater-Gespräch, ob Ihr konkretes VPN-Gateway oder IAM-System diese Verfahren unterstützt.

Ist der Digipass GO 7 für NIS2-Anforderungen relevant?

NIS2 erwartet Multi-Faktor-Authentifizierung typischerweise als technische Maßnahme. Ob ein Hardware-OTP-Token oder ein FIDO2-Key die passendere Wahl ist, hängt vom Einzelfall ab und sollte nicht pauschal beantwortet werden.

Was passiert, wenn der Token verloren geht?

Der verlorene Digipass GO 7 wird zentral in der Authentifizierungsplattform gesperrt, ein Ersatzgerät wird ausgerollt. Da der Token keine Verbindung zu einem Nutzerkonto auf Hardware-Ebene speichert, entsteht kein direktes Datenschutzrisiko durch den Verlust allein.

Passt der Digipass GO 7 zu Ihrer Umgebung?

Ob Hardware-OTP oder FIDO2 die richtige MFA-Strategie für Ihre VPN- und Legacy-Systeme ist, hängt von der vorhandenen Infrastruktur ab. Im Produktberater lässt sich das passende Modell aus dem OneSpan-Sortiment gemeinsam einordnen – inklusive Alternativen wie dem kompakteren Digipass GO 6 für einfachere Anwendungsfälle.