Passwortlos authentifizieren mit Passkeys

Blog| 6. August 2024 | Lesezeit: 4 Minuten

Passkeys sollen nach und nach Passwörter ablösen. Wir erklären, was es mit der neuen Authentifizierungsmethode auf sich hat und welchen praktischen Nutzen sie heute bereits bietet.

Ein Passkey ist eine moderne Möglichkeit, sich bei Online-Diensten anzumelden, ohne ein Passwort zu benutzen. Passkeys sind sicherer als Passwörter und erst noch benutzerfreundlicher.

Die Technologie wurde ursprünglich von Google entwickelt und wird von einer Gruppe von Unternehmen, der sogenannten FIDO-Allianz, unterstützt. Zu diesem Zusammenschluss gehören neben Google grosse Unternehmen wie Apple, Microsoft, Amazon oder Facebook, aber auch Finanzdienstleister wie PayPal oder Mastercard. FIDO steht für Englisch «Fast Identity Online» (schnelle Online-Identität).

Mit Passkeys können Sie sich bei Online-Diensten statt mit Passwörtern einfach mit dem Smartphone oder dem Tablet mit Fingerabdruck oder Gesichtserkennung, mit dem Geräte-PIN oder vom PC oder Mac aus anmelden.

Passkeys gibt es aber auch auf USB-Sticks. Letztere sind allerdings hauptsächlich im geschäftlichen Bereich im Einsatz, wenn Unternehmen eine zusätzliche physische Sicherheitsebene einbauen wollen. Denn beim USB-Stick ist der Passkey auf einem Chip gespeichert, der in Plastik eingeschweisst ist, sich zusätzlich mit einem Passwort sichern lässt und direkt in den Rechner eingesteckt werden muss.

Wie funktionieren Passkeys?

Passkeys funktionieren auf Basis der sogenannten Public-Key-Kryptografie. Wenn Sie Passkeys als Authentifizierungsmethode bei einem Online-Dienst eingerichtet haben, generiert Ihr Smartphone oder Tablet automatisch ein Schlüsselpaar. Dieses Paar besteht aus einem öffentlichen und einem privaten Schlüssel.

Während der private Schlüssel auf dem Mobilgerät gespeichert wird, bleibt der öffentliche Schlüssel auf dem Server des Online-Diensteanbieters. Melden Sie sich nun bei dem Dienst an, wird Ihre Identität verifiziert, indem der Server eine Nachricht an Ihr Mobilgerät schickt, die nur durch den privaten Schlüssel beantwortet werden kann. Der Server verwaltet auch die Nutzerdaten inklusive des Benutzernames beim jeweiligen Dienst.

Was ist der Unterschied zwischen Passkeys und Passwörtern?

Der wichtigste Unterschied liegt in der viel höheren Sicherheit, welche die Public-Key-Technologie bietet. Passwörter werden oft durch Phishing-Versuche erfragt und gestohlen. Passkeys hingegen sind an die Mobilgeräte gebunden und können deshalb nicht so leicht gestohlen werden wie das zum Beispiel bei Hacks auf Nutzerdatenbanken oft geschieht.

Weil Passkeys an bestehende Authentifizierungsmethoden wie die biometrische Anmeldung am Gerät gebunden sind, sind sie auch viel benutzerfreundlicher. Denn Sie müssen sich damit nicht mehr für die unterschiedlichen Dienste verschiedene, sichere Passwörter mit vielen Buchstaben und Sonderzeichen merken.

Aus diesen Gründen sind Passkeys den Passwörtern überlegen. Denn Passwörter werden nicht nur häufig gestohlen, sondern vor allem von den Benutzenden zu unsicher gewählt und sind deshalb einfach zu erraten. Leider wechseln die meisten Benutzerinnen und Benutzer ausserdem ihre Passwörter nicht oder nur sehr selten aus und verwenden sogar häufig dasselbe Passwort für viele oder alle Online-Dienste.

Ausserdem wird der private Schlüssel nicht an den Online-Dienst übertragen. Das Gerät sendet eben nur eine richtige Antwort auf eine Frage, die ihm der Online-Dienst von seinem Server sendet. Damit kann der private Schlüssel nicht von Phishing-Betrügern erfragt oder von Hackern abgefangen werden.

Newsletter abonnieren

Sie möchten keine Beiträge mehr verpassen? Dann abonnieren Sie unseren monatlichen Newsletter!

Jetzt abonnieren

 

 

Was sind die Vorteile von Passkeys?

Passkeys sind wie bereits erwähnt massiv sicherer als Passwörter. Aber sie sind eben auch weitaus benutzerfreundlicher, weil man sich keine komplexen Passwörter mehr merken muss. Denn der Online-Dienst generiert einen Passkey ohne Ihr Zutun, und Sie brauchen nur noch Ihren Finger auf das Smartphone oder das Gesicht in die Kamera zu halten oder den Geräte-PIN eingeben und schon sind Sie beim Online-Dienst angemeldet.

Was sind die Nachteile von Passkeys?

Wenn auch Passkeys hinsichtlich Sicherheit und der Benutzerfreundlichkeit insgesamt besser abschneiden als Passwörter, gibt es doch auch ein paar Nachteile zu erwähnen. Da wäre zum Beispiel die Abhängigkeit des Passkeys vom jeweiligen Gerät. Geht ein Gerät verloren oder kaputt, so kann der Zugriff auf Online-Konten eingeschränkt sein.

Ausserdem kann es sein, dass Sie Passkeys beim Wechsel auf ein neues Gerät wieder neu generieren müssen. Passkeys werden zwar wie auch andere sensible Daten bei iPhones automatisch auf das neue Gerät übertragen. Dazu muss aber der iCloud-Schlüsselbund aktiviert sein. Dieser ist nämlich einer der Dienste, der die Passkey-Technologie bereits implementiert hat. Ähnliches gilt für Android-Geräte: Beim Anmelden an ein neues Gerät mit dem Google-Konto lassen sich Passwörter und Passkeys übertragen.

Zudem kann die erstmalige Einrichtung der Passkeys je nach technischem Flair Schwierigkeiten bereiten. Der grösste Nachteil ist derzeit jedoch die noch sehr geringe Verbreitung bei den Online-Diensten.

Welche Dienste unterstützen bereits Passkeys?

Google, das weiter an der Entwicklung der Technologie arbeitet, hat Passkeys im Android-Betriebssystem integriert und bietet Passkey-Unterstützung bei seinen Online-Diensten wie Google Mail, Google Drive etc.

Microsoft setzt mit «Windows Hello» ebenfalls auf Passkeys und bietet die Möglichkeit auf seinen eigenen Diensten wie zum Beispiel Microsoft 365. Aber auch der Browser Edge, Windows 10 oder 11 und Microsoft-Konten für Dienste wie Skype, Xbox Live oder den Microsoft Store unterstützen Hello oder andere Passkeys-kompatible Geräte. Ausserdem bieten etwa internationale Online-Marktplätze wie eBay, Amazon, Shopify oder Bestbuy Passkey-Unterstützung.

Schweizer E-Commerce-Anbieter, IT-, Telekomfirmen oder Finanzunternehmen sind allerdings noch nicht soweit. Immerhin bieten Universitäten und andere Hochschulen mit Switch edu-ID Schweizer eine Online-Identität für Studierende und Angestellte.

Eine vollständige Liste mit Suchfunktion gibt es hier beim Passkey-Directory.

Wie benutze ich Passkeys?

Zuallererst muss Ihr Gerät natürlich Passkeys unterstützen, sprich moderne Betriebsversionen verwenden. Ausserdem müssen Biometriefunktionen wie Fingerabdrucksensor oder Gesichtserkennung aktiviert sein. Auch moderne Passwort-Manager wie 1Password unterstützen Passkeys. Der Online-Dienst seinerseits muss ebenfalls Passkeys unterstützen, sonst geht’s weiterhin nur mit Passwörtern.

Je nach Betriebssystem und Online-Dienst können Sie Passkeys über die Sicherheitseinstellungen, das Hinzufügen eines neuen Passkeys und die Bestätigung der Identität mittels biometrischen Merkmalen oder des Geräte-PINs beim Online-Dienst aktivieren.

Ist Passkey auf dem Gerät eingerichtet und sind Sie den jeweiligen Anweisungen des Dienstes gefolgt, können Sie sich anschliessend einfach beim Dienst mit dem biometrischen Merkmal oder dem PIN anmelden, ohne ein Passwort eingeben zu müssen.

Markus Häfliger

PR-Fachmann

Markus Häfliger ist PR-Fachmann und schreibt seit 2018 für iWay. Als ehemaliger IT-Journalist liest er sich in jedes Thema ein. Ihn fasziniert, wie IT unser Leben durchdringt und stets spannend bleibt.