Passkeys – das Ende des Passworts?
Anmelden per Fingerabdruck oder Gesicht, ohne dass ein Geheimnis den eigenen Rechner verlässt. Was Passkeys sind und warum Phishing damit ins Leere läuft.
Passwörter haben ein Grundproblem: Sie müssen an den Dienst übertragen werden, und wer sie unterwegs oder auf einer gefälschten Seite abfängt, kann sich damit anmelden. Passkeys lösen das mit einem Trick aus der Kryptografie.
Das Prinzip
Beim Einrichten eines Passkeys erzeugt das Gerät ein Schlüsselpaar. Der öffentliche Schlüssel geht an den Dienst, der private bleibt auf dem Gerät und verlässt es nie. Beim Anmelden schickt der Dienst eine zufällige Aufgabe, das Gerät signiert sie mit dem privaten Schlüssel, und der Dienst prüft die Signatur mit dem öffentlichen.
Der Nutzer merkt davon nur: Fingerabdruck, Gesicht oder Geräte-PIN, fertig.
Warum Phishing nicht funktioniert
Ein Passkey ist an die Domain gebunden, für die er erstellt wurde. Ruft man eine täuschend echte Kopie unter einer anderen Adresse auf, bietet der Browser den Passkey gar nicht erst an. Es gibt nichts, was man versehentlich eintippen könnte.
Auch Datenlecks beim Anbieter verlieren ihren Schrecken: Ein gestohlener öffentlicher Schlüssel nützt niemandem.
Wo die Hürden liegen
Gerätewechsel. Passkeys werden über die Passwortmanager der Betriebssysteme oder Drittanbieter synchronisiert. Wer zwischen Ökosystemen wechselt, muss den Umzug planen.
Wiederherstellung. Verliert man alle Geräte, braucht man einen Ersatzweg. Dienste lösen das unterschiedlich gut.
Verbreitung. Der zugrunde liegende Standard WebAuthn wird von allen großen Browsern unterstützt, aber längst nicht alle Dienste bieten Passkeys an.
Empfehlung
Wo ein Dienst Passkeys anbietet, lohnt sich der Umstieg, vor allem für E-Mail, Cloud-Speicher und Finanzen. Das Passwort kann als Rückfalloption bestehen bleiben, sollte dann aber lang, einzigartig und mit einem zweiten Faktor abgesichert sein.