Wer sich in den letzten Jahren ein neues Online-Konto eingerichtet oder Zugangsdaten aktualisiert hat, ist dem Begriff mit hoher Wahrscheinlichkeit begegnet: Passkeys. Immer mehr Online-Dienste schlagen den Wechsel vor, denn klassische Passwörter reichen als alleiniger Schutzmechanismus im heutigen Internet kaum noch aus. Angesichts zahlloser Accounts, für die man sich jeweils lange, einzigartige Kombinationen merken müsste, stoßen Anwender im Alltag schnell an Grenzen. Zudem führen Datenlecks bei Cyberangriffen regelmäßig dazu, dass Millionen von Passwörtern im Darkweb landen. Passkeys bieten hier eine sichere und simple Alternative, welche Passwörter schrittweise überflüssig macht.
Wie funktionieren Passkeys?
Essenziell basieren Passkeys auf asymmetrischer Kryptografie nach dem FIDO2- und WebAuthn-Standard. Bei der Einrichtung erzeugt das Gerät ein digitales Schlüsselpaar. Der öffentliche Schlüssel wird auf dem Server des Dienstanbieters gespeichert und dient ausschließlich dazu, künftige Anmeldeanfragen zu verifizieren. Der dazugehörige private Schlüssel verbleibt geschützt im sicheren Speicher des Endgeräts oder eines Passwortmanagers und verlässt diesen niemals
Die Freigabe des privaten Schlüssels erfolgt direkt vor Ort durch eine biometrische Authentifizierung wie Fingerabdruck, Gesichtserkennung oder eine Geräte-PIN. Da der geheime Schlüssel zu keinem Zeitpunkt über das Netzwerk übertragen wird, funktionieren klassische Phishing-Angriffe und Datenabgriffe nicht mehr.
Bei zukünftiger Anmeldung wird nun immer gefragt, ob sich via Passkey angemeldet werden soll.
Synchronisation und geräteübergreifender Einsatz
In der Praxis funktioniert die Nutzung über verschiedene Plattformen hinweg auf zwei Wegen: Entweder über Cloud-Synchronisation oder über einen Bluetooth-Handshake. Innerhalb der großen Ökosysteme von Apple, Google oder über plattformunabhängige Passwortmanager wie 1Password werden Passkeys Ende-zu-Ende-verschlüsselt synchronisiert. Ein auf dem Smartphone eingerichteter Passkey steht dadurch automatisch auch auf dem Laptop zur Verfügung, wo die Freigabe dann beispielsweise über Windows Hello oder Touch ID erfolgt.
Möchte man sich hingegen an einem fremden oder nicht synchronisierten Computer anmelden, kommt die sogenannte Hybrid-Authentifizierung zum Einsatz. Der Dienst zeigt auf dem Bildschirm einen QR-Code an, der mit der Smartphone-Kamera gescannt wird. Über eine verschlüsselte Bluetooth-Prüfung und eine parallele Internetverbindung tauschen beide Geräte die notwendigen Signaturen aus, woraufhin die Anmeldung nach Bestätigung auf dem Smartphone am PC freigegeben wird.
Was passiert, wenn ich den Zugriff auf mein Gerät verliere?
Falls das Gerät auf dem der Passkey hinterlegt ist, verloren oder kaputt gegangen ist, gestohlen wurde oder sonst einem der Zugriff verwehrt wird, muss man den Zugang wiederherstellen. Falls eine E-Mail-Wiederherstellung hinterlegt wurde, verschaffen sich so wieder Zugang und können den Passkey so neu anlegen. Falls Sie Ihre Passkeys in die Cloud synchronisiert haben, via Schlüsselbund und iCloud von Apple oder einem Passwortmanager, kann sich so weiterhin angemeldet werden. Wenn Sie den Passkey nur auf einem Gerät eingerichtet haben und keine Synchronisation aktiviert ist, ist der Passkey nach Verlust vollständig verloren. Dann können Sie sich nur noch den Anbieter verwenden, um die Account-Wiederherstellung zu starten.
Die technische Unterstützung ist inzwischen weit fortgeschritten. Auf Plattformen wie Passkeys.directory lässt sich prüfen, welche Dienste das Verfahren bereits unterstützen. Auf Systemebene sind moderne Betriebssysteme wie iOS ab Version 16, Android ab Version 9, Windows 10 und 11 sowie Windows Server ab Version 2019 vollständig kompatibel. Auch gängige Webbrowser wie Google Chrome, Apple Safari und Microsoft Edge unterstützen den Standard seit Version 109 nativ, während Mozilla Firefox die Funktionalität kontinuierlich ausbaut.
Remote Arbeiten mit Passkeys
Beim Remotearbeit auf einem anderen Computer oder gar Server, kann sich das Anmelden via Passkey als eine Schwierigkeit darstellen.
Microsoft unterstützt inzwischen die Weiterleitung Passkeys in RDP-Sitzungen. Dadurch kannst du einen Passkey auf deinem lokalen Gerät (z.B. Windows Hello, YubiKey oder Smartphone-Passkey) verwenden, obwohl die Anmeldung im entfernten Rechner stattfindet. Dazu muss aber die Web-Authentifizierung auf dem lokalen und entfernten Gerät aktiviert werden.
Beim TeamViewer funktioniert das ähnlich. Wer die teure Enterprise-Lizenz Tensor erwirbt, kann mit der Funktion „Security Key Redirection“ lokal vorhandene Passkey/Smartcards an den Remote-PC durchreichen. Um sicherzustellen, dass die Sicherheitsschlüssel-Weiterleitung funktioniert, müssen einige Voraussetzungen erfüllt werden.
Mehr dazu finden Sie hier: Sicherheitsschlüssel-Weiterleitung
Fazit
Die Umstellung von Passwörtern auf Passkeys stellt einen deutlichen Fortschritt für die IT-Sicherheit dar. Die Technologie ist guter Mittelweg zwischen Benutzerfreundlichkeit und technischer Absicherung, indem komplexe Passwortvorgaben und regelmäßige Passwortänderungen nach Datenlecks durch einfache biometrische Hürden ersetzt und Phishing-Angriffe nahezu unmöglich macht. Dank der Synchronisations- und Hybridmöglichkeiten funktioniert der geräteübergreifende Zugriff reibungslos. Sonderfälle wie Offlinearbeiten oder Remote-Sitzungen erfordern zwar noch das notwenige Know-how und eine entsprechende Konfiguration, aber wer die Möglichkeit hat und sich mit den Herausforderungen auseinandersetzen möchte, sollte nach und nach auf Passkeys umsteigen.
Ausblick: FAQ zu Passkeys
Da Passkeys im praktischen Einsatz vor allem beim Zusammenspiel verschiedener Dienste und Geräte Fragen aufwerfen, werden wir diesen Artikel in den kommenden Wochen um eine ausführliche FAQ ergänzen. Darin gehen wir insbesondere auf die Interoperabilität von Passkeys mit Microsoft 365, 1Password und TeamViewer ein.
Behandelt werden unter anderem Fragen dazu, wo Passkeys gespeichert werden, wie sie zwischen Geräten synchronisiert werden können, welche Möglichkeiten bei Remote-Sitzungen bestehen und wo derzeit noch technische oder lizenzbedingte Einschränkungen auftreten.