Was sind Passkeys? Die Zukunft der Anmeldung ohne Passwort

01Was ist das Problem mit Passwörtern?

Passwörter sind seit Jahrzehnten die Grundlage der Authentifizierung, doch ihre Schwächen sind bekannt: Menschen wählen kurze, erratbare Passwörter, nutzen dasselbe Passwort für viele Konten und geben es auf einer gefälschten Anmeldeseite leicht ein. Wird die Datenbank einer Website geleakt, sind außerdem Millionen Passwörter gleichzeitig gefährdet.

Lange Passwörter und Passwortmanager mildern diese Probleme weitgehend; Details dazu haben wir in unserem Beitrag Sicheres Passwort erstellen beschrieben. Eine grundlegende Schwäche bleibt aber: Ein Passwort ist ein geteiltes Geheimnis. Sowohl Sie als auch die Website kennen es, und es kann überall dort gestohlen werden, wo es eingegeben wird.

Ein Passkey kehrt diesen Ansatz um. Es gibt kein geteiltes Geheimnis; die Website speichert zwar die Informationen, mit denen sie Sie überprüft, besitzt aber nichts, womit man sich an Ihrer Stelle anmelden könnte.

02Wie funktioniert ein Passkey?

Ein Passkey beruht auf Public-Key-Kryptografie. Wenn Sie auf einer Website einen Passkey anlegen, erzeugt Ihr Gerät ein Schlüsselpaar speziell für diese Website. Der private Schlüssel bleibt auf Ihrem Gerät oder in Ihrem Passwortmanager, der verschlüsselt synchronisiert; der öffentliche Schlüssel wird an die Website gesendet.

Bei der Anmeldung schickt die Website eine zufällige Aufgabe (Challenge). Ihr Gerät signiert diese Daten mit dem privaten Schlüssel, und die Website prüft die Signatur mit dem hinterlegten öffentlichen Schlüssel. Fingerabdruck oder Gesichtserkennung entsperren dabei lediglich das Gerät; Ihre biometrischen Daten verlassen das Gerät nie und werden nicht an die Website gesendet.

1. Beim Anmelden tippen Sie auf “Mit Passkey anmelden”
2. Das Gerät bestätigt Ihre Identität per Fingerabdruck, Gesichtserkennung oder Bildschirmsperr-PIN
3. Der private Schlüssel signiert die von der Website gesendete Challenge
4. Die Website prüft die Signatur mit dem öffentlichen Schlüssel und öffnet die Sitzung

03Was ist FIDO2?

FIDO2 ist die offene Standardfamilie hinter Passkeys. Entwickelt wurde sie gemeinsam von der Branchenorganisation FIDO Alliance und dem W3C, das die Webstandards festlegt. Sie besteht aus zwei Teilen: der WebAuthn-Schnittstelle, über die der Browser mit Websites kommuniziert, und dem CTAP-Protokoll, über das das Gerät mit externen Authentifikatoren (etwa einem USB-Sicherheitsschlüssel) spricht.

Dass es ein offener Standard ist, ist ein wichtiger Vorteil. Weil die großen Betriebssysteme und Browser denselben Standard unterstützen, bleibt der Passkey nicht an einen einzelnen Anbieter gebunden; Entwickler können über eine einzige Schnittstelle alle Plattformen erreichen.

04Sind Passkeys sicher?

Die Frage, ob Passkeys sicher sind, beschäftigt die meisten am meisten. Die kurze Antwort: Sie sind deutlich widerstandsfähiger als Passwörter, denn es gibt kein Passwort, das gestohlen oder erraten werden könnte. Selbst wenn die Datenbank einer Website geleakt wird, nützen die erbeuteten öffentlichen Schlüssel nichts, um in Ihr Konto zu gelangen.

Der größte Gewinn ist die Phishing-Resistenz. Ein Passkey ist an die Domain gebunden, für die er erzeugt wurde; auf einer gefälschten Adresse schlägt der Browser den Passkey der echten Website gar nicht erst vor. Wie unachtsam Nutzer auch sind: Ihren Schlüssel “eintippen” können sie auf einer ähnlich aussehenden Adresse nicht. Wie gefälschte E-Mails aufgebaut sind, haben wir in unserem Beitrag Was ist Phishing? erklärt.

Worauf Sie achten sollten

• Die Bildschirmsperre Ihres Geräts sollte stark sein; die Festung des Passkeys ist das Gerät selbst
• Schützen Sie das Cloud-Konto, über das Passkeys synchronisiert werden, mit Zwei-Faktor-Authentifizierung
• Halten Sie für den Fall eines Geräteverlusts einen Backup-Passkey auf einem zweiten Gerät oder einem Hardware-Schlüssel bereit
• Wege zur Kontowiederherstellung (E-Mail, Backup-Code) sollten so sicher sein wie der Passkey

05Wie verwendet man Passkeys?

Einen Passkey auf einer unterstützenden Website anzulegen, geht meist über den Sicherheitsbereich der Kontoeinstellungen. Tippen Sie auf “Passkey erstellen”, bestätigt Ihr Gerät Ihre Identität und der Schlüssel wird gespeichert; danach genügen bei der Anmeldung Fingerabdruck oder Gesichtserkennung statt eines Passworts.

Synchronisierte und gerätegebundene Passkeys

Synchronisierte Passkeys werden über den verschlüsselten Tresor des Betriebssystems oder Passwortmanagers auf Ihre mit demselben Konto verbundenen Geräte übertragen; beim Wechsel des Telefons gehen sie nicht verloren. Gerätegebundene Passkeys liegen dagegen auf einem USB- oder NFC-Sicherheitsschlüssel und verlassen ihn nie; sie werden für kritische Anwendungen wie Administratorkonten bevorzugt.

Anmeldung von einem anderen Gerät

Melden Sie sich an einem Computer an, auf dem Ihr Passkey nicht liegt, erscheint auf dem Bildschirm ein QR-Code. Scannen Sie ihn mit Ihrem Telefon, nutzt das Telefon Bluetooth zur Nähebestätigung und bestätigt die Anmeldung. So wird die Sitzung an diesem Computer geöffnet, ohne dass der Schlüssel das Telefon verlässt.

06Passkeys in Websites einbinden

Passkeys in eine Website mit Mitgliederbereich einzubinden, gelingt mit der WebAuthn-Schnittstelle im Browser und einer Bibliothek, die auf dem Server die Signaturen prüft. Der Server erzeugt für jede Registrierung und Anmeldung eine einmalige Challenge, validiert die Antwort und speichert den öffentlichen Schlüssel zugeordnet zum Benutzerdatensatz.

Das folgende Beispiel zeigt das Grundgerüst des Aufrufs zum Erstellen eines neuen Passkeys im Browser. Challenge und Benutzerkennung kommen vom Server; in einem echten Projekt muss die Antwort unbedingt auf dem Server überprüft werden.

Passkey-Unterstützung lässt sich in ein von Grund auf entwickeltes Mitgliedersystem am einfachsten einbauen; in eine fertige Struktur nachträglich eingefügt, erfordert sie oft ein Überdenken der Sitzungsverwaltung. Bei individuellen Softwarelösungen wie Hotelreservierung, Agenturportal oder Händlerportal, in die sich Nutzer täglich einloggen, steigert es Sicherheit und Nutzerzufriedenheit, die Funktion schon zu Projektbeginn einzuplanen. Gerade in Betrieben, in denen Mitarbeitende sich an gemeinsam genutzten Rechnern anmelden, beenden personenbezogene Sicherheitsschlüssel auch die Gewohnheit, Passwörter zu teilen.

• Bieten Sie den Passkey in der Übergangszeit als zusätzliche Option zum Passwort an, machen Sie ihn nicht verpflichtend
• Gestalten Sie die Passkey-Option auf dem Anmeldebildschirm schlicht und sichtbar
• Erlauben Sie in den Kontoeinstellungen, mehrere Passkeys hinzuzufügen und zu löschen
• Gestalten Sie den Wiederherstellungsablauf so sicher wie den Passkey

const credential = await navigator.credentials.create({
  publicKey: {
    challenge: sunucudanGelenChallenge,
    rp: { name: 'Beispielfirma', id: 'ornek.com' },
    user: { id: kullaniciIdBytes, name: 'ayse@ornek.com', displayName: 'Ayşe' },
    pubKeyCredParams: [
      { type: 'public-key', alg: -7 },
      { type: 'public-key', alg: -257 }
    ],
    authenticatorSelection: { residentKey: 'required', userVerification: 'preferred' }
  }
});

07Die Zukunft der Anmeldung ohne Passwort

Da große Plattformen die Passkey-Unterstützung ausbauen, ist die Anmeldung ohne Passwort keine experimentelle Funktion mehr, sondern wird zu einer alltäglichen Option. Passwörter verschwinden dennoch nicht über Nacht; noch lange werden Passkey und Passwort nebeneinander existieren.

Für Unternehmen ist ein schrittweiser Umstieg die richtige Strategie. Zuerst werden Passkeys oder Hardware-Schlüssel für Administrator- und Mitarbeiterkonten verpflichtend; danach werden sie Kunden als optionale Möglichkeit angeboten. Je besser die Nutzungsquoten beobachtet werden, desto weiter rückt die Passwort-Anmeldung in den Hintergrund, und auch die Anfragen “Passwort vergessen” beim Support können sinken.

In der Zukunft der Authentifizierung wandelt sich auch die Kryptografie selbst. Wie neue, gegen Quantencomputer resistente Algorithmen Public-Key-Systeme wie Passkeys beeinflussen werden, haben wir in unserem Beitrag Post-Quanten-Kryptografie behandelt.