Passkeys – das Ende der Passwörter?

Login-Methoden – Das tägliche Mittel zur Authentifizierung im Internet

Wenn wir digitale Geräte verwenden, sind wir auf täglicher Basis mit verschiedensten Login-Methoden konfrontiert. Wir besitzen viele verschiedene Accounts und Passwörter. Manche Dienste empfehlen oder erfordern eine Zwei-Faktor Authentifizierung. Deshalb haben viele Menschen auf ihren Geräten zusätzliche Apps installiert, um Einmal-Codes zu verwalten. Solche Methoden haben mittlerweile auch in den meisten Fällen im E-Banking das separate TAN-Gerät, oder die noch ältere physische TAN-Liste abgelöst. Trotzdem bleibt die Auswahl an Login-Methoden unübersichtlich und wirkt für viele überfordernd. Hinzu kommt der Druck, dass wir in den Schlagzeilen immer wieder davon lesen, welches Sicherheitsrisiko von unsicheren Passwörtern ausgeht.

Nun haben Apple, Microsoft und Google gemeinsam die Initiative ergriffen, eine systemübergreifende Login-Methode der nächsten Generation zu fördern. Passkeys sind eine leicht zu handhabende Login-Methode, da die verschiedenen Schlüssel direkt auf unseren Geräten verwaltet werden – und damit kein mühsames Merken von Passwörtern mehr nötig ist. Die dahinterliegende Technologie ist zudem wesentlich sicherer als Passwörter und erhöht so den Schutz für unsere Accounts.

Wie können Passkeys verwendet werden?

Grundlegende Voraussetzungen für die Verwendung von Passkeys ist ein Gerät, dass diese Technologie unterstützt, z.B. ein Smartphone sowie ein Online-Konto, für welches die Authentifizierung via Passkeys angeboten wird. Wenn ein Passkey als Authentifizierungsmethode festgelegt wird, generiert das System sowohl im Online-Account als auch auf dem ausgewählten Gerät ein Schlüsselpaar. Dieses Schlüsselpaar dient zur Überprüfung bei nachfolgenden Anmeldungen.

Bei zukünftigen Logins überprüft der Online-Dienst den Passkey auf dem Gerät. Ist der Passkey auf dem gerade verwendeten Gerät hinterlegt, erfolgt die sofortige Bestätigung des Logins. Liegt der Passkey auf einem anderen Gerät, z.B. einem Smartphone, wird ein QR-Code angezeigt der mit dem entsprechenden Gerät gescannt werden kann. Auf dem Gerät, auf welchem der Passkey gespeichert ist, muss der Login mit Gesichtserkennung, Fingerabdruck oder PIN bestätigt werden.

Voraussetzungen für die Verwendung von Passkeys

• Gerät zur Verwaltung der Passkeys

Zur Verwaltung von Passkeys sind die meisten aktuellen Smartphones und Computer geeignet. Je nach Verwendung werden die Passkeys entweder nur auf dem Gerät gespeichert, oder in einem Cloud-Schlüsselbund abgelegt. Sie können auch in einem separaten Passwortmanager verwaltet werden. Mehr Informationen finden Sie hier:

Für Geräte von Apple, für Android-Geräte oder Windows

• Online-Dienste

Zum aktuellen Zeitpunkt gibt es nur wenige Online-Dienste, die diese Login-Methode bereits anbieten (z.B. Google und PayPal). Ausserdem werden Passkeys meist nur als zusätzliche Login-Möglichkeit angeboten und noch nicht als vollständiger Ersatz von Passwörtern vorgeschlagen.
Man kann jedoch davon ausgehen, dass Passkeys in der Zukunft die Verwendung von Passwörtern an vielen Orten ablösen wird.

• Betriebssystem, Browser

Um beim Login Passkeys verwenden zu können, wird eine aktuelle Version eines gängigen Browsers benötigt.

Weitere Informationen:

• Passkeys basieren auf dem bereits seit einigen Jahren bestehenden FIDO2-Standard: https://fidoalliance.org/passkeys/
• Probieren Sie Passkeys an einer Demo aus: www.passkeys.io
• Öffentliches Passkeys-Register – Passkeys-Directory

Dieser Beitrag erschien zuerst bei iBarry - die Plattform für Internetsicherheit der Swiss Internet Security Alliance.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.