Passkey

Passkeys sollen das Passwort als wichtigsten Anmeldefaktor ablösen. Sie beruhen auf den offenen Standards FIDO2 und WebAuthn, die von der FIDO Alliance und dem W3C entwickelt wurden, und werden von den gängigen Betriebssystemen und Browsern unterstützt. Für Anwenderinnen und Anwender fühlt sich die Anmeldung an wie das Entsperren des Smartphones.

Für Unternehmen sind Passkeys interessant, weil sie zwei Probleme zugleich lösen: Es gibt kein Passwort mehr, das vergessen, wiederverwendet oder gestohlen werden kann, und die Anmeldung ist resistent gegen Phishing.

Wie funktioniert ein Passkey?

Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar. Der öffentliche Schlüssel wird beim Dienst hinterlegt, der private Schlüssel bleibt geschützt auf dem Gerät, im Sicherheitsschlüssel oder im Passwort-Manager. Bei der Anmeldung schickt der Dienst eine zufällige Aufgabe, die mit dem privaten Schlüssel signiert wird. Vorher bestätigt sich die Person lokal, etwa mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Jeder Passkey ist an die Domain des Dienstes gebunden. Eine gefälschte Anmeldeseite unter einer anderen Adresse erhält deshalb keine gültige Signatur. Da der Dienst nur öffentliche Schlüssel speichert, lässt sich aus einem Datenleck dort auch kein Zugang ableiten.

Man unterscheidet zwei Formen:

• Synchronisierte Passkeys werden über ein Benutzerkonto oder einen Passwort-Manager auf mehrere Geräte übertragen.
• Gerätegebundene Passkeys bleiben auf einem bestimmten Gerät oder Hardware-Sicherheitsschlüssel und lassen sich nicht kopieren.

Typische Beispiele

• Anmeldung an Microsoft 365 oder anderen Cloud-Diensten mit einem Passkey in einer Authenticator-App oder auf einem Sicherheitsschlüssel.
• Administratorkonten, die ausschließlich mit Hardware-Sicherheitsschlüssel nutzbar sind.
• Kundenportale, die Passkeys als bequeme Alternative zum Passwort anbieten.

Worauf Unternehmen achten sollten

• Die eingesetzte Identitätsplattform auf Passkey-Unterstützung prüfen und festlegen, welche Arten von Passkeys erlaubt sind.
• Für privilegierte Konten gerätegebundene Passkeys bevorzugen.
• Die Wiederherstellung bei Geräteverlust planen, ohne dabei eine unsichere Hintertür zu schaffen.
• Die Einführung schrittweise beginnen und Mitarbeitende mit kurzen Anleitungen begleiten.

Abgrenzung

Ein Passkey mit lokaler Bestätigung vereint zwei Faktoren: den Besitz des Geräts und Biometrie oder PIN. Er wird deshalb in der Regel als Multi-Faktor-Authentifizierung anerkannt. Anders als Einmalcodes per SMS oder App ist er zusätzlich an die echte Website gebunden.