OneSpan Digipass Vergleich: OATH-Token vs. FIDO2-Keys

Viele Unternehmen sichern Anmeldungen noch mit Einmalpasswort-Apps oder SMS-Codes ab — dabei fangen Angreifer solche Codes über Echtzeit-Phishing-Kits inzwischen fast in Echtzeit ab. Wer nach einem erfolgreichen Angriff Zugangsdaten und ein abgegriffenes Einmalpasswort kombiniert bekommt, verliert E-Mail-Konto, VPN-Zugang und Cloud-Dienste oft gleichzeitig. Hardware-Token schließen diese Lücke, doch OneSpan Digipass und FIDO2-Schlüssel wie der Swissbit iShield Key 2 lösen das Problem grundverschieden: OneSpan Digipass erzeugt ein abtippbares Einmalpasswort nach dem OATH-Standard, ein FIDO2-Schlüssel dagegen eine domaingebundene kryptografische Signatur, die sich gar nicht erst abtippen lässt. Dieser OneSpan Digipass Vergleich zeigt, welches Prinzip zu welchem Anwendungsfall im Bereich Identity & Access passt.

Was unterscheidet OATH-Token von FIDO2-Keys grundsätzlich?

OneSpan Digipass-Geräte arbeiten nach dem OATH-Standard (offener Industriestandard für Einmalpasswörter): Ein Chip berechnet zeitbasiert (TOTP) oder ereignisbasiert (HOTP) ein sechs- bis achtstelliges Einmalpasswort, das der Nutzer manuell in ein Login-Formular tippt. Das Verfahren ist damit funktional eine Hardware-Variante der bekannten Authenticator-App — nur ohne Smartphone und ohne Internetverbindung.

FIDO2-Schlüssel wie der iShield Key 2 funktionieren anders: Bei der erstmaligen Registrierung erzeugt der Schlüssel ein kryptografisches Schlüsselpaar, das fest an die Domain des Dienstes gebunden ist. Bei jeder späteren Anmeldung signiert der Schlüssel über WebAuthn (Browser-Standard für passwortlose Anmeldung) und CTAP2 (Übertragungsprotokoll zwischen Schlüssel und Gerät) lediglich eine Challenge des Servers — ohne dass ein Code entsteht, den ein gefälschtes Login-Formular abfangen könnte. Passt die Domain nicht, verweigert der Schlüssel die Signatur schlicht. Genau das macht FIDO2 phishing-resistent, während ein manuell eingetipptes OATH-Passwort grundsätzlich abfangbar bleibt, selbst wenn es nur kurz gültig ist.

OneSpan Digipass GO 7 im Detail: Für wen sich das OATH-Token eignet

Der OneSpan Digipass GO 7 ist ein One-Button-Hardware-Token für OATH TOTP/HOTP: ein Knopfdruck erzeugt das Einmalpasswort, ganz ohne App und ohne Smartphone. Laut Hersteller ist das Gerät FIPS 140-2 Level 2 zertifiziert (US-Sicherheitsstandard für kryptografische Module, verbreitet als Beschaffungskriterium bei Behörden und regulierten Branchen) und nach IPX7 wasserdicht.

Der entscheidende Vorteil liegt in der Kompatibilität: Digipass-Token lassen sich in praktisch jedes Legacy-System einbinden, das einen klassischen OATH-Server oder RADIUS-Adapter (Standardprotokoll zur zentralen Nutzer-Authentifizierung, häufig bei VPN-Gateways im Einsatz) unterstützt — etwa ältere VPN-Gateways, Mainframe-Zugänge oder Citrix-Umgebungen ohne moderne WebAuthn-Anbindung. Wo eine Ablösung der bestehenden Authentifizierungs-Infrastruktur kurzfristig nicht möglich ist, bleibt das OATH-Token oft die einzige praktikable Hardware-Option.

Swissbit iShield Key 2: FIDO2 als phishing-resistente Alternative

Der iShield Key 2 FIDO2 aus dem Swissbit-Sortiment speichert laut Hersteller bis zu 300 Passkeys und wird in Deutschland gefertigt. Statt eines abtippbaren Codes bestätigt der Nutzer die Anmeldung per Knopfdruck oder NFC-Kontakt am Smartphone — die kryptografische Prüfung der Domain läuft dabei unsichtbar im Hintergrund.

Der Haken: FIDO2 setzt einen Identity Provider oder eine Anwendung voraus, die WebAuthn nativ unterstützt. Microsoft Entra ID, Google Workspace und die meisten modernen SaaS-Dienste beherrschen das inzwischen standardmäßig. Reine Legacy-Systeme ohne WebAuthn-Schnittstelle können FIDO2-Schlüssel dagegen oft gar nicht ansprechen — hier bleibt das OATH-Token im Vorteil. Unsicher, welches Verfahren zur eigenen Systemlandschaft passt? Unser Produktberater ordnet das gemeinsam mit Ihnen ein.

OneSpan Digipass GO 7 vs. Swissbit iShield Key 2 im direkten Vergleich

Preise Stand 27. August 2026, netto zzgl. 19 % USt., Änderungen und Staffelrabatte vorbehalten — aktuelle Werte stehen auf den verlinkten Produktseiten.

Welcher Hardware-Token ist NIS2-konform?

Beide Token-Typen zählen als Multi-Faktor-Authentifizierung im Sinne der NIS2-Richtlinie, die von betroffenen Unternehmen angemessene technische Zugriffsschutz-Maßnahmen verlangt. Aufsichtsbehörden ordnen dabei zunehmend phishing-resistente Verfahren als angemessenen Stand der Technik ein, weil klassische Einmalpasswörter per Echtzeit-Phishing umgangen werden können. Diese Anforderung erfüllt von den beiden Verfahren nur FIDO2 vollständig, da OATH-Codes technisch bedingt weiterhin manuell abfangbar bleiben. Details zur rechtlichen Einordnung und zur Fristenlage fasst unser Beitrag zu NIS2 und MFA-Pflicht zusammen.

Typische Einsatzszenarien: Legacy-System, VPN oder moderne Cloud-Anmeldung?

Welches Token zum Einsatz kommt, hängt weniger von der Unternehmensgröße als vom angebundenen System ab:

• Klassisches VPN-Gateway ohne WebAuthn: OneSpan Digipass GO 7, da RADIUS/OATH-Anbindung meist bereits vorhanden ist
• Microsoft Entra ID / Google Workspace: iShield Key 2 FIDO2, volle Passwortlosigkeit möglich
• Citrix- oder Mainframe-Zugänge ohne moderne Authentifizierung: OneSpan Digipass GO 7 als kompatible Übergangslösung
• NIS2-pflichtige kritische Prozesse mit hohem Phishing-Risiko: iShield Key 2 FIDO2 wegen der Domain-Bindung
• Gemischte Umgebung mit Alt- und Neusystemen: Beide Token parallel, je nach angebundenem Dienst

Ein IT-Systemhaus mit gewachsener Infrastruktur betreibt in der Praxis häufig beide Verfahren nebeneinander: OATH-Token für die Übergangszeit an Legacy-Systemen, FIDO2 dort, wo der Identity Provider es bereits zulässt. Ein vollständiger Umstieg auf FIDO2 lohnt sich meist erst, sobald die letzten WebAuthn-inkompatiblen Systeme abgelöst oder migriert sind. Bis dahin verursacht ein gemischter Betrieb keinen zusätzlichen Verwaltungsaufwand, solange beide Verfahren im selben Identity-Management-System dokumentiert sind.

Token-Rollout planen: 5 Schritte zur Einführung im Unternehmen

1. Systemlandschaft prüfen: Welche Anwendungen unterstützen WebAuthn bereits, welche sind auf OATH/RADIUS angewiesen?
2. Pilotgruppe festlegen: Eine Abteilung testet den passenden Token-Typ parallel zum bestehenden Verfahren.
3. Rollout-Reihenfolge definieren: FIDO2 zuerst dort einführen, wo die größte Phishing-Exposition besteht.
4. Ersatzprozess klären: Vorgehen bei Verlust oder Defekt vorab mit dem Helpdesk abstimmen.
5. Langfristige Migration einplanen: OATH-Token als Brücke behandeln, nicht als Dauerlösung, wenn WebAuthn-Fähigkeit absehbar ist.

Häufige Fragen zum OneSpan Digipass Vergleich

Ist ein OATH-Token wie der Digipass GO 7 grundsätzlich unsicherer als FIDO2?

Er ist ein deutlich stärkerer Schutz als kein zweiter Faktor, aber schwächer als FIDO2, weil das Einmalpasswort manuell übertragen und theoretisch in Echtzeit abgefangen werden kann. Für Systeme ohne WebAuthn-Unterstützung bleibt er dennoch die praktikabelste Hardware-Option.

Kann ich OneSpan Digipass und FIDO2-Keys parallel im selben Unternehmen einsetzen?

Ja, das ist sogar der übliche Weg beim Umstieg. Beide Verfahren laufen unabhängig voneinander und lassen sich je nach angebundenem System pro Abteilung oder Anwendung getrennt vergeben.

Braucht der OneSpan Digipass GO 7 eine Internetverbindung oder App?

Nein. Das Gerät berechnet den Code offline auf einem internen Chip und zeigt ihn auf einem kleinen Display an — ganz ohne Smartphone, App oder Netzwerkverbindung.

Funktioniert der iShield Key 2 auch ohne NFC-fähiges Smartphone?

Ja, über den USB-A-Anschluss funktioniert der Schlüssel auch an Geräten ohne NFC. Die NFC-Funktion ist eine zusätzliche Option für die Anmeldung am Smartphone.

Welcher Token eignet sich für Mitarbeiter im Homeoffice?

Beide funktionieren im Homeoffice, sofern der jeweils angebundene Dienst den Token-Typ unterstützt. Für moderne Cloud-Dienste ist der FIDO2-Schlüssel meist komfortabler, da kein Code abgetippt werden muss.

Ist FIPS-140-Zertifizierung für deutsche Unternehmen relevant?

Direkt vorgeschrieben ist sie hierzulande selten, spielt aber bei Zulieferern für regulierte Branchen wie Finanzdienstleister oder öffentliche Auftraggeber häufig eine Rolle bei der Beschaffung. Der iShield Key 2 wirbt laut Herstellerangaben nicht mit einer FIPS-140-Zertifizierung, punktet stattdessen mit seiner Passkey-Kapazität und der Fertigung in Deutschland.

Details zur technischen Spezifikation von FIDO2 liefert die FIDO Alliance. Wer aktuell auf App-basierte Einmalpasswörter setzt, sollte zuerst prüfen, welche der eigenen Systeme bereits WebAuthn beherrschen — dort bringt der Umstieg auf FIDO2 den größten Sicherheitsgewinn. Bei der Einordnung der passenden Token-Strategie für Ihre Systemlandschaft unterstützt Sie unser Produktberater.