Woher kommt der Passkey?
Im Jahr 2012 entwarf die FIDO-Allianz (Fast Identity Online) den Passkey, der 2018 auf den Markt kam. Er ermöglichte es, Personen bei Logins unabhängig zu authentifizieren. Mittel hierfür war der sogenannte „FIDO-Stick“ – ein USB-Stick, der jedoch bald entbehrlich wurde, als Apple, Microsoft und Google im Jahr 2022 ankündigten, die Passkey-Funktion in ihre digitalen Ökosysteme zu integrieren. Seitdem wird der Passkey immer beliebter.
Wie funktioniert ein Passkey?
Passkeys lassen sich heute ähnlich einfach und benutzerfreundlich wie Smartphones freischalten. Sie nutzen eine Kombination aus einem geheimen Schlüssel auf dem Endgerät eines Users, einem öffentlichen Schlüssel beim Dienstleister und einer sogenannten „kryptografischen Challenge“, um den Login sicher zu machen. Nur wenn der private Schlüssel zum öffentlichen Schlüssel passt und die kryptografische Testaufgabe richtig gelöst wird, wird dem User der Login gewährt.
Die Funktionsweise des Passkey in vier Schritten:
1. Authenticator erzeugt Schlüsselpaar
Ein sogenannter „Authenticator“ (ein Authentifizierungsdienst auf dem Endgerät) erzeugt beim Erstellen eines Passkeys für jeden Online-Dienst und für jeden User ein einzigartiges digitales Schlüsselpaar. So wird sichergestellt, dass kein Schlüssel mehrfach verwendet wird.
2. Privater Schlüssel (auf dem Endgerät gespeichert)
Dann wird der eine Teil des digitalen Schlüsselpaars lokal auf dem Smartphone, Tablet oder Computer gespeichert. Dieser ist der wichtigste Bestandteil des Passkeys, wird geheim gespeichert und verlässt das Gerät nie.
3. Öffentlicher Schlüssel (beim Online-Dienst gespeichert)
Der öffentliche Schlüssel wird beim Erstellen des Passkeys an den Online-Dienst übermittelt, wo er gespeichert wird und zur späteren Verifizierung dient. Er kann nur in Kombination mit dem entsprechenden privaten Schlüssel des Users verwendet werden – ohne diesen ist er wertlos.
4. Kryptografische Challenge (Überprüfung durch Testaufgabe)
Beim Login sendet der Online-Dienst in Millisekunden eine einzigartige Testaufgabe (Challenge) an das Gerät. Diese wird mithilfe des privaten Schlüssels gelöst und zurückgeschickt. Der öffentliche Schlüssel prüft, ob die Antwort gültig ist. Nur wenn alles stimmt und das digitale Schlüsselpaar das richtige ist, wird der Zugriff gewährt.
Vergleich: Passwort vs. Passkey
Wo es sonst immer eine richtige Kombination aus Nutzername und Passwort brauchte, stellt der Passkey eine bequemere und sicherere Lösung vor. Dies sind die Besonderheiten von Passwort und Passkey.
Passwort
Mechanismus: Manuelle Erstellung & Eingabe einer Zeichenkombination mit gewissen Vorgaben zum Einloggen in Accounts
Sicherheit: Anfällig für Cyberangriffe wie Phishing oder Brute Force
Datenschutz: Bei Leaks können sensible Daten öffentlich werden
Benutzerfreundlichkeit: Eingabe des Passworts besonders bei längeren Passwörtern kompliziert
Größter Vorteil: universell bekannt und verbreitet
Größter Nachteil: kurze, erratbare sowie doppelt verwendete Passwörter stellen Sicherheitslücken dar
Passkey
Mechanismus: PIN, Entsperrmuster, Fingerabdrucks- oder Gesichtsscan zum Einloggen in Accounts
Sicherheit: Cyberangriffe sind aufgrund der Zweiteilung des Schlüssels (öffentlich & privat) wirkungslos
Datenschutz: Private Schlüssel werden auf dem Gerät oder verschlüsselt in der Cloud gespeichert
Benutzerfreundlichkeit: Einfache Eingabe dank PIN, Fingerabdruck, Gesichtserkennung oder Entsperrmuster
Größter Vorteil: sicherer als Passwörter
Größter Nachteil: gerätgebunden
Vorteile & Nachteile vom Passkey
Passkey – Vorteile
- besserer Schutz gegen Cyberangriffe
- einfaches uns sicheres Entsperren mit PIN oder biometrischen Daten
- keine Nutzung eines Passworts mehr, das verloren gehen könnte
- Teile des Schlüsselpaares sind alleine wertlos
- ein Passkey pro Account, sodass nie mehrere Accounts in Gefahr sind
So richten Sie einen Passkey ein
Wenn Sie einen Passkey beispielsweise auf Ihrem Handy einrichten möchten, sollten Sie sich an die folgenden Schritte halten.
1. Schritt: Voraussetzungen prüfen
Für das Einrichten eines Passkeys auf dem Handy müssen zunächst alle Bedingungen erfüllt sein. Stellen Sie sicher, dass ihr Gerät modern genug ist, die Passkey-Funktion unterstützt und auf dem neuesten Stand ist.
2. Schritt: Passkey-Funktion beim Online-Dienst aktivieren
Gehen Sie in der App oder beim Online-Dienst in die Einstellungen und suchen Sie nach einem Feld wie zum Beispiel „Passkey hinzufügen“ oder „Passkey-Anmeldung aktivieren“.
3. Schritt: Einrichtungsassistent befolgen
Folgen Sie anschließend den Anweisungen des Einrichtungsassistenten, um für eine App bzw. einen Online-Dienst einen Passkey zu erzeugen.
4. Schritt: Passkey bestätigen
Um Ihren neuen Passkey zu bestätigen, müssen Sie eine PIN eingeben, den Fingerabdruck oder das Gesicht scannen oder das Entsperrmuster Ihres Gerätes eingeben. Das wird bei der zukünftigen Anmeldung für die App oder den Dienst abgefragt, damit Sie Ihrem Passkey für die Verifizierung freigeben.
5. Schritt: geräteübergreifende Nutzung ermöglichen (optional)
Um auch geräteübergreifend Zugang zu der App oder dem Online-Dienst zu haben, kann der private Passkey-Sicherheitsschlüssel sicher in Cloud-Services synchronisiert werden. So können Sie die Anmeldung für eine Applikation via Passkey auch auf anderen Endgeräten nutzen.
FAQ
Häufige Fragen und Hinweise
Wie kann ich einen Passkey deaktivieren?
Möchten Sie einen Passkey vorübergehend nicht nutzen, deaktivieren Sie die passwortlose Anmeldung in den Sicherheitseinstellungen des Dienstes und deaktivieren Sie die Synchronisierung über die Cloud, sofern Sie diese für den Passkey genutzt haben.
Tipp: Dort können Sie bei Bedarf auch Ihren Passkey zurücksetzen und einen neuen erstellen.
Wie kann ich einen Passkey löschen?
Einen Passkey können Sie jederzeit in den Kontoeinstellungen des jeweiligen Online-Dienstes löschen. Dort finden Sie Ihren Passkey in der Regel in einer Übersicht unter dem Menüpunkt „Sicherheit“. Wählen Sie zum Löschen einfach den gewünschten Passkey aus und klicken Sie auf „Passkey löschen“ bzw. „Passkey entfernen“.
Bedenken Sie, dass Sie sich danach vermutlich wieder mit Benutzername und Passwort anmelden müssen.
Ist ein Passkey sicher?
Die allgemeine Sicherheit bei Passkeys gilt als extrem hoch. Besonders im Vergleich mit Passwörtern bieten Passkeys deutlich mehr Schutz. Der private Schlüssel verlässt niemals das Gerät und die Authentifizierung erfolgt nur lokal per PIN oder Biometrie, was mit einer Zwei-Faktor-Authentifizierung gleichzusetzen ist.
Warum brauche ich beim Passkey keine Zwei-Faktor-Authentifizierung?
Durch einen Passkey wird die Zwei-Faktor-Authentifizierung überflüssig, weil er bereits beide relevanten Faktoren in sich vereint. Der private Schlüssel – ohne den keine Anmeldung möglich ist – liegt sicher auf Ihrem Gerät und per Fingerabdruck, Gesichtserkennung oder PIN geben Sie ihn frei und identifizieren Sie sich. Dadurch beweisen Sie also, dass Sie Zugang zum Gerät haben und wirklich Sie sind.
Benötige ich noch ein Passwort, wenn ich Passkeys nutze?
Ein Passwort kann und sollte vorerst als Backup-Methode bestehen bleiben. Insbesondere da Passkeys noch nicht einwandfrei flächendeckend genutzt werden.
Kann ich denselben Passkey auf mehreren Geräten verwenden?
Ja, sofern Sie eine Cloud-basierte Synchronisierung (wie iCloud oder den Google Passwortmanager) aktiviert haben, ist das möglich. Damit können Sie Ihre Passkeys sicher zwischen verschiedenen Geräten teilen. Ohne Synchronisierung muss für jedes Gerät ein eigener Passkey eingerichtet werden.
Was passiert, wenn ich mich am PC anmelden will, mein Passkey aber auf dem Smartphone gespeichert ist?
Wenn der Passkey auf Ihrem Smartphone gespeichert ist und Sie sich z. B. am Laptop oder PC anmelden möchten, wird beim Login direkt ein QR-Code angezeigt oder sie müssen die Option „mit anderem Gerät anmelden“ auswählen. Scannen Sie den spätestens dann erscheinenden QR-Code mit Ihrem Smartphone ab und geben Sie Ihren Passkey via Fingerabdruck, PIN oder Face ID frei.
Was tun, wenn ich das Gerät mit Passkey verloren habe?
Wenn Sie Ihr Gerät verlieren oder es defekt ist, bleibt der private Schlüssel darauf zwar geschützt, ist aber nicht mehr nutzbar, außer Sie hatten vorher die Cloud-Synchronisierung aktiviert. Falls ja, können Sie Ihre Passkeys damit wieder auf anderen Geräten verfügbar machen. Alternativ können Sie bei den Diensten anderweitig Ihre Identität bestätigen.
Zur Sicherheit sollten Sie für solche Fälle eine Ersatz-Anmeldemethode hinterlegen wie zum Beispiel einen FIDO2-Stick.
Was ist ein FIDO2-Stick?
Ein FIDO2-Stick ist ein kleiner USB-Stick (Sicherheitsschlüssel), der zur passwortlosen Anmeldung bei Online-Diensten verwendet werden kann. Er speichert einen privaten Schlüssel, der lokal auf dem Stick gesichert ist und niemals übertragen wird. Beim Login muss der Schlüssel per Knopfdruck aktiviert werden und eine kryptografische Challenge beantworten – genau wie bei einem Passkey. Er war vor der Verbreitung von modernen Passkeys sehr beliebt.
Übrigens: Der Sicherheitsschlüssel kann alternativ auch kontaktlos via NFC die Identität bestätigen. Mehr zum Thema NFC erfahren Sie in unserem Magazinbeitrag kontaktloses Bezahlen mit NFC.
