Passkey ist eine auf FIDO-Standards beruhende Anmeldeinformation, die ein passwortloses Anmelden ermöglicht, das Passwort durch ein kryptografisches Schlüsselpaar ersetzt und sich auf dem Telefon, dem Computer oder einem Hardware-Sicherheitsschlüssel speichern lässt.
Auf einen Blick
Ein Passkey kann über die Geräte eines Nutzers synchronisiert oder an ein bestimmtes Gerät gebunden sein.
Passkeys helfen, Angriffe wie Phishing, Credential Stuffing und andere Angriffe aus der Ferne zu verringern.
Jeder Passkey schützt genau einen Account, sodass nicht mehrere Accounts gefährdet sind, falls ein Passkey missbraucht wird.
Was ist ein Passkey?
Ein Passkey ersetzt das Passwort bei der Anmeldung: Statt eines Geheimnisses, das Nutzer und Dienst kennen müssen, nutzt er ein kryptografisches Schlüsselpaar, und der Nutzer bestätigt die Anmeldung auf seinem Gerät. Grundlage ist ein Schlüsselpaar aus einem geheimen privaten und einem zugehörigen öffentlichen Schlüssel, das der Authentikator bei der Registrierung des Passkeys erzeugt. Der private Schlüssel wird sicher verwahrt, während der öffentliche Schlüssel der Webseite zur Verfügung gestellt wird. Passkeys lassen sich sicher über die Geräte eines Nutzers hinweg synchronisieren oder an ein bestimmtes Gerät binden.
Bei der Anmeldung per Passkey im Kundenportal eines Versicherers bestätigt der Kunde den Zugriff etwa mit Fingerabdruck oder Geräte-PIN; ein kryptografisches Schlüsselpaar ersetzt das Passwort, und je nach Verfahren ist der Passkey an ein Gerät gebunden oder zwischen Geräten synchronisiert. Biometrische Informationen bleiben laut FIDO Alliance auf dem Gerät und werden nie an einen Server gesendet; der Server erhält nur die Zusicherung, dass die biometrische Prüfung erfolgreich war. Aus Sicht des BSI bieten Passkeys ein deutlich höheres Sicherheitsniveau als herkömmliche Verfahren. Jeder Passkey ist genau einem Account zugeordnet.
Wie funktioniert die Anmeldung mit einem Passkey?
Bei der Anmeldung bestätigt der Nutzer den Zugriff in der Regel mit derselben Biometrie, derselben PIN oder demselben Geräte-Passwort, mit denen er sein Gerät entsperrt. Verlangt der Dienst eine lokale Nutzerverifikation, bestätigt der Nutzer die Anmeldung etwa per Geräte-PIN oder Biometrie. Bei der Einstellung „preferred“ können manche Authentikatoren diese Prüfung auf Geräten ohne Biometrie-Sensor überspringen.
Laut FIDO Alliance heißen Passkeys, die über einen Cloud-Dienst zwischen den Geräten des Nutzers synchronisiert werden, in der Regel synchronisierte Passkeys, und solche, die ein einzelnes Gerät nie verlassen, gerätegebundene Passkeys. Passkeys sind laut BSI immun gegen die breite Masse bekannter Phishing-Angriffe.
Passkey im Vergleich
| Kriterium | Passkey | Zwei-Faktor-Authentifizierung | Passwort |
|---|---|---|---|
| Grundlage der Anmeldung | Ein kryptografisches Schlüsselpaar; ein Geheimnis, das Nutzer und Dienst kennen und austauschen müssen, wird laut BSI nicht mehr benötigt. | Zwei Faktoren; wichtig ist laut BSI, dass diese aus verschiedenen Kategorien stammen. | Ein Geheimnis, das laut BSI der rechtmäßige Nutzer und der Onlinedienst kennen. |
| Rolle bei der Anmeldung | Der primäre Anwendungsfall ist laut FIDO Alliance, das Passwort als ersten bzw. primären Faktor zu ersetzen. | Ein Verfahren, mit dem sich Nutzer nach dem BSI zusätzlich oder alternativ zur Passworteingabe identifizieren können. | Etwas, das man sich merken und eintippen kann (FIDO Alliance). |
| Faktoren | Laut BSI besteht die Anmeldung aus dem Faktor Besitz (dem geheimen Schlüssel) und dem Faktor Wissen oder Biometrie, mit dem der Authentikator entsperrt wird. | Besteht nach dem BSI aus zwei Faktoren. | Dient laut BSI als Nachweis, dass es sich tatsächlich um den Nutzer handelt. |
Schutz im Ernstfall
Vorbeugen
- Passkeys statt Passwörter nutzen: Passkeys sind phishing-resistent und so ausgelegt, dass es keine gemeinsamen Geheimnisse gibt.
- Wiederherstellung vorbereiten: Synchronisierte Passkeys lassen sich bei Verlust oder Diebstahl des Geräts über die Synchronisation wiederherstellen; gerätegebundene Passkeys auf einem FIDO2-Sicherheitsschlüssel lassen sich nicht kopieren, deshalb ist laut BSI ein zweiter Stick ratsam, für den beim Dienst vorab ein eigener Passkey registriert wird.
Was tun im Ernstfall
- Passkey beim Dienst entfernen: Ist ein Passkey verloren, gestohlen oder kompromittiert, hilft es nach der FIDO Alliance, ihn in den Kontoeinstellungen des Dienstes zu entfernen, um unbefugten Zugriff und Missbrauch zu verhindern; ohne den beim Dienst hinterlegten öffentlichen Schlüssel funktioniert der Passkey nicht mehr. Davon zu unterscheiden ist das Löschen des Passkeys im eigenen Passwortmanager. Wird der einzige Passkey entfernt, soll der Dienst auf die verbleibende Anmeldemethode hinweisen.
Beispiele aus der Praxis
- Ein Nutzer möchte sich am PC bei einem Dienst anmelden; der Dienst gibt ihm die Möglichkeit, sich mit dem Smartphone zu authentisieren, wo er die Anmeldung mit Fingerabdruck, Gesichtsscan oder PIN bestätigt.
- Speichert ein Nutzer seinen Passkey auf einem Hardware-Sicherheitsschlüssel, verlässt der Passkey dieses einzelne Gerät nicht; solche Passkeys heißen in der Regel gerätegebundene Passkeys.
- Meldet sich ein Kunde im Kundenportal eines Versicherers per Passkey an, bestätigt er den Zugriff etwa mit Fingerabdruck oder Geräte-PIN.
Häufiger Irrtum
Mythos „Wer sein Gerät oder einzelne Funktionen per Fingerabdruck oder Gesichtsscan entsperrt, nutzt damit schon Passkeys.“
Richtig Das BSI hält fest, dass das Entsperren einzelner Funktionen oder des Gerätedisplays per Fingerabdruck oder Gesichtsscan nicht bedeutet, dass bereits Passkeys genutzt werden. Bei einem Passkey bestätigt der Nutzer die Anmeldung zwar etwa mit Fingerabdruck oder PIN, die Anmeldung beruht laut BSI aber auf einem kryptografischen Schlüsselpaar.
