Was ist ein Passkey?

• IAM-Glossar
• Was ist ein Passkey?

Ein Passkey ist eine moderne passwortlose Authentifizierungsmethode, mit der sich Benutzer mit biometrischen Informationen oder einer PIN anmelden können. Anstelle eines Passworts authentifizieren sich die Benutzer mit einem kryptografischen Schlüsselpaar: einem öffentlichen Schlüssel, der vom Dienst gespeichert wird, und einem privaten Schlüssel, der sicher auf dem Gerät des Benutzers oder in einem Passwortmanager gespeichert ist.

Die Authentifizierung bei der Verwendung von Passkey umfasst in der Regel biometrische Daten (wie Fingerabdruck oder Gesichtserkennung), eine PIN oder ein Wischmuster, ähnlich wie beim Entsperren eines Smartphones. Die meisten Benutzer werden sich aus Gründen der Bequemlichkeit für Biometrie entscheiden.

Wie funktionieren Passkeys?

Passkeys funktionieren mit Public-Key-Kryptografie, um Ihnen die Anmeldung bei Websites und Apps zu ermöglichen, ohne ein herkömmliches Passwort eingeben zu müssen. So funktionieren sie Schritt für Schritt:

1. Einrichten eines Passkeys

• Der Benutzer meldet sich wie gewohnt in seinem Konto an.
• In den Sicherheitseinstellungen aktivieren sie die Passkeyfunktion.
• Die App oder Website fordert den Benutzer auf, einen Passkey zu speichern, der an sein Gerät gebunden ist.
• Wenn Sie einen Passwortmanager verwenden, wird der Benutzer aufgefordert, einen Passkey zu generieren und zu speichern.
• Eine biometrische Authentifizierung (z. B. Face ID, Fingerabdruck) wird angefordert, um die Einrichtung zu bestätigen.
• Der Passkey wird sicher auf dem Gerät oder im Passwortmanager gespeichert.

2. Anmelden mit einem Passkey

• Bei nachfolgenden Anmeldungen wird der Benutzer aufgefordert, sich mit seinem gespeicherten Passkey zu authentifizieren.
• Es wird kein Passwort benötigt, nur der Passkey.

3. Geräteübergreifende Authentifizierung

• Wenn der Benutzer versucht, sich auf einem Gerät ohne den Passkey anzumelden, kann er sich mit einem anderen Gerät authentifizieren.
• Der Browser zeigt möglicherweise einen QR-Code an, der mit einem Mobilgerät gescannt werden muss, um die Anmeldung abzuschließen.
• Bluetooth wird häufig verwendet, um die Nähe und Sicherheit bei der geräteübergreifenden Authentifizierung zu gewährleisten.
• Wenn Sie einen Passwortmanager verwenden, kann der Passkey auf mehreren Geräten abgerufen und verwendet werden.

Passkeys vs. Passwörter: Was ist der Unterschied?

Wenn Unternehmen und Plattformen Passkeys einführen, ist es wichtig zu verstehen, wie sie sich von herkömmlichen Passwörtern unterscheiden und warum sie einen bedeutenden Fortschritt in Bezug auf digitale Sicherheit und Benutzererfahrung darstellen.

Hier sind die Hauptunterschiede zwischen Passkeys und Passwörtern:

Erstellungsprozess

Passwörter erfordern, dass Benutzer manuell starke, eindeutige Anmeldeinformationen erstellen und speichern, was eine Herausforderung sein kann. Passkeys werden jedoch automatisch generiert, was bedeutet, dass sich die Benutzer keine Gedanken über das Erstellen oder Merken von etwas machen müssen. Einmal eingerichtet, können sie sich ganz einfach mit ihrem Gerät oder Passwortmanager anmelden.

Phishing-Resistenz

Passwörter sind anfällig für Phishing, da Benutzer sie manuell eingeben, was sie anfällig für gefälschte Websites macht. Passkeys hingegen sind Phishing-resistent. Da es nichts zu betreten gibt, können Cyberkriminelle keine Anmeldedaten durch Phishing-Angriffe stehlen.

Kompromittierungsrisiko

Passwörter können leicht kompromittiert werden, insbesondere wenn Benutzer sie wiederverwenden oder schwache Passwörter auswählen. Wenn ein Passwort durchgesickert ist, kann es sofort von einem Cyberkriminellen verwendet werden. Passkeys sind jedoch sicherer. Der private Schlüssel wird niemals auf dem Server gespeichert. Selbst wenn der Server kompromittiert wird, ist der öffentliche Schlüssel allein ohne den privaten Schlüssel nutzlos.

Website-Unterstützung

Während Passwörter universell unterstützt werden, werden Passkeys immer noch übernommen. Große Websites wie Apple, Google und PayPal unterstützen sie jetzt, aber viele Websites verlassen sich immer noch auf Passwörter. Um zu sehen, welche Websites Passkeys unterstützen, sehen Sie sich das Passkey-Verzeichnis von Keeper an.

Vorteile der Verwendung von Passkeys

Passkeys bieten mehrere Vorteile und bieten eine sicherere und nahtlosere Möglichkeit, sich online zu authentifizieren.

Höhere Sicherheit

Die meisten Menschen haben Probleme mit der Passworthygiene, wählen oft kurze, leicht zu erratende Passwörter, verwenden Passwörter auf verschiedenen Websites wieder oder speichern sie unsicher. Passkeys lösen dieses Problem, indem sie automatisch generiert werden und für jedes Konto einzigartig sind.

Darüber hinaus verwenden Passkeys Public-Key-Kryptografie. Ein privater Schlüssel wird sicher auf dem Gerät des Benutzers oder in einem Passwortmanager gespeichert, während der öffentliche Schlüssel vom Dienst gespeichert wird. Beim Einloggen weist der private Schlüssel Ihre Identität nach, ohne dass er weitergegeben wird. Das bedeutet, dass Cyberkriminelle selbst bei einem Angriff auf den Server nur den öffentlichen Schlüssel erhalten, der ohne den privaten Schlüssel nutzlos ist, was Passkeys weitaus sicherer macht als herkömmliche Anmeldeinformationen.

Integrierte Zwei-Faktor-Authentifizierung (2FA)

Im Gegensatz zu Passwörtern, die viele Benutzer nicht mit 2FA sichern können, sind Passkeys von Natur aus durch 2FA geschützt. Um einen Passkey zu verwenden, benötigen Sie sowohl etwas, das Sie haben (Ihr Authentifizierungsgerät) als auch etwas, das Sie sind (biometrische Authentifizierung). Diese integrierte 2FA macht Passkeys sicherer als herkömmliche Passwörter, denen es oft an zusätzlichem Schutz mangelt.

Resistent gegen Phishing

Ein großer Vorteil von Passkeys ist ihre Phishing-Resistenz. Da Benutzer bei Passkeys ihre Anmeldeinformationen nicht manuell eingeben müssen, können Cyberkriminelle sie nicht dazu verleiten, ihre Anmeldeinformationen auf einer betrügerischen Website einzugeben. Das bedeutet, dass Passkeys nicht durch Phishing-Angriffe gestohlen werden können – im Gegensatz zu Passwörtern, die oft ins Visier genommen werden.

Nachteile und Grenzen

Obwohl Passkeys viele Vorteile bieten, gibt es dennoch einige Einschränkungen:

Website-Unterstützung ist nach wie vor unvollständig

Trotz der beschleunigten Einführung werden Passkeys immer noch nicht von allen unterstützt. Viele kleinere oder ältere Websites und Anwendungen verlassen sich immer noch auf Passwörter, was bedeutet, dass Benutzer oft beide Systeme parallel verwalten müssen. Nach Angaben der FIDO Alliance unterstützen jetzt etwa 48 % der Top-100-Websites Passkeys, was auf eine starke Dynamik, aber keine vollständige Abdeckung hinweist.

Geräteabhängigkeit besteht weiterhin

Passkeys sind in der Regel an bestimmte Geräte oder Ökosysteme gebunden. Wenn ein Benutzer den Zugriff auf ein Gerät verliert, kann es zu Problemen beim Zugriff auf Konten kommen, es sei denn, Passkeys werden synchronisiert oder übertragen. Eine Möglichkeit, dies zu verhindern, besteht darin, Passkeys in einem Passwortmanager wie Keeper zu speichern.

Die Einführung in allen Diensten ist im Gange

Obwohl die Dynamik stark ist, verwenden die meisten Menschen immer noch Passwörter als Standard-Anmeldemethode. Benutzer sollten damit rechnen, auf absehbare Zeit einen Passwortmanager oder eine Backup-Strategie beizubehalten, da der Wandel zu einer passwortlosen Welt noch im Gange ist.

Die Zukunft von Passkeys

Passkeys haben zwar das Potenzial, Passwörter zu ersetzen, aber sie werden die Notwendigkeit von Passwortmanagern nicht beseitigen. Sie können sie sogar noch wichtiger machen.

Dies liegt daran, dass Passkeys an einen Authentifikator gebunden sind, entweder:

• Einem Gerät wie Smartphones, Tablets oder Laptops oder
• Einem Passwortmanager, der Passkeys unterstützt

Auf den ersten Blick scheint es praktisch, ein Smartphone als primären Authentifikator zu verwenden – schließlich tragen die meisten Menschen ihr Telefon überall hin mit. In der Realität kann es jedoch unpraktisch werden, sich nur auf ein Gerät zu verlassen, insbesondere für Benutzer, die zwischen mehreren Geräten wechseln.

Wenn Sie beispielsweise versuchen, sich auf einem Laptop oder Tablet anzumelden, ohne dass sich Ihr Telefon in der Nähe befindet, müssen Sie Folgendes tun:

1. Generieren Sie einen QR-Code auf dem Gerät, das Sie verwenden.
2. Scannen Sie es mit Ihrem Smartphone (dem Authentifikator).
3. Bestätigen Sie Ihre Identität mit biometrischen Daten wie Face ID oder Fingerabdruck.

Diese zusätzliche Reibung unterstreicht die Vorteile der Verwendung eines Passwortmanagers, der die geräteübergreifende Passkey-Synchronisierung unterstützt. Keeper, das Passkeys seit mehreren Jahren unterstützt, vereinfacht den Anmeldeprozess, indem Passkey an die Anwendung gebunden wird, anstatt sich ausschließlich auf ein physisches Gerät zu verlassen. Dieser Ansatz macht den Zugriff auf Konten über mehrere Geräte hinweg viel einfacher und nahtloser.