So funktionieren Passkeys

Passwörter sollen eigentlich verhindern, dass Unberechtigte auf sensible Daten und Konten zugreifen können. Viele Nutzer sorgen allerdings durch die Wahl des Passwortes für Unsicherheit. So hat das Bonner Start-up Identico Zugangsdaten analysiert, die 2024 neu bei illegalen Online-Plattformen auftauchten. Demnach lauteten die beliebtesten privaten Passwörter in Deutschland „123456“, „12345“ oder schlicht „password“. Angesichts der Schwäche dieser Kennwörter dürften sich Cyber-Sicherheitsspezialisten die Haare raufen und Hacker frohlocken. Aber bald könnte ohnehin die Zeit der klassischen Passwörter abgelaufen sein. Das liegt daran, dass sie zahlreiche Nachteile haben und es mit Passkeys eine bessere Technologie gibt, um den Zugang zu Informationen oder Konten zu sichern. 

Welche entscheidenden Nachteile haben Passwörter?

Noch sind Passwörter eine der am weitesten verbreiteten Zugangstechnologien. Dennoch gibt es hier diverse Probleme. So neigen Menschen – wie oben skizziert – dazu, einfach strukturierte Kennwörter zu nutzen. Diese lassen sich aber einfach erraten oder ohne großen Aufwand von Hackern knacken. 

Einen besseren Schutz bieten zwar lange und komplexe Passwörter, die im Idealfall aus langen Ketten von unterschiedlichsten Zeichen bestehen. Viele Menschen haben jedoch Schwierigkeiten, sich diese XL-Kennwörter zu merken, und verwenden sie deshalb kaum. Zudem droht hier immer noch Gefahr durch Brute-Force-Attacken und sonstige Hacker-Techniken. Darüber hinaus besteht das Risiko, dass Nutzer die gleichen Passwörter aus Bequemlichkeit für unterschiedliche Dienste verwenden oder sonstige Fehler begehen, die Cyberkriminellen den Zugriff ermöglichen. Aber selbst Anwender, die alles richtig machen, sind nicht sicher. Denn Zugangsdaten werden immer wieder gestohlen oder verkauft, sodass Hacker sie missbrauchen können.  

Was sind Passkeys und wie funktioniert die Technologie?

Passkeys sind eine kryptografische Alternative zu Passwörtern. Sie basieren auf einem bestimmten Standard – oft handelt es sich um WebAuthn – und dem Prinzip der sogenannten asymmetrischen Kryptografie bzw. Public-Key-Kryptografie. Dabei bestehen sie im Kern aus zwei digitalen Schlüsseln. 

Der Public Key verbleibt als öffentlicher Schlüssel beim jeweiligen Anbieter, auf dessen Webseite Du Dich einloggen möchtest. Der Private Key ist hingegen ein privater Schlüssel, der auf dem von Dir verwendeten Endgerät gespeichert ist. Nur wenn die Prüfung ergibt, dass beide Schlüssel zusammenpassen, ist der Zugriff auf den jeweiligen Dienst möglich. 

Um Passkeys zu nutzen, ist eine einmalige Registrierung erforderlich. Dabei erfolgt automatisch die Erstellung des Schlüsselpaars. Danach kannst Du Dich künftig bequem biometrisch authentifizieren, um Dich beim jeweiligen Anbieter einzuloggen. Das kann etwa via Fingerabdruck bzw. über die Kamera Deines Computers oder Smartphones geschehen. Dein Gerät überprüft dann, ob der lokal gespeicherte private Schlüssel mit dem öffentlichen Schlüssel zusammenpasst. Ist das der Fall, erhältst Du Zugang. 

Jetzt Passkeys bei freenet einrichten!

Welche Vorteile bieten Passkeys?

Der wichtigste Vorzug von Passkeys gegenüber klassischen Passwörtern ist das höhere Sicherheitsniveau. Das gilt sogar in mehrfacher Hinsicht. Es gibt nämlich bei der Verwendung von Passkeys nicht nur keine unsicheren Kennwörter mehr, sondern überhaupt keine Passwörter. Dementsprechend laufen bekannte Hacker-Techniken wie Password Stuffing oder Credential Spraying ins Leere. Denn wo kein Passwort ist, lässt sich auch keines klauen oder erraten. Gleichzeitig genügt es Cyberkriminellen nicht länger, beim jeweiligen Anbieter Log-in-Daten zu stehlen. Um Zugang zu erhalten, benötigen sie nämlich nicht nur den hier gespeicherten Public Key, sondern auch Deinen Private Key. Dieser liegt aber sicher auf Deinem Endgerät und verlässt dieses auch beim Einloggen nicht. Zudem ist er hier via Ende-zu-Ende-Verschlüsselung gesichert und auch immer nur für einen bestimmten Dienst gültig. 

Ein weiterer Vorteil ist der Komfort. Ist ein Passkey erst einmal eingerichtet, erfolgt der Abgleich der digitalen Schlüssel vollautomatisch. Du musst nichts weiter tun, außer Dich – wie gewohnt – via Kamera oder Fingerabdruck zu authentifizieren. So entfällt auch die Notwendigkeit, sich möglichst komplexe Passwörter auszudenken, sich diese zu merken und in möglichst kurzen Abständen wieder zu ändern.  

Sind nicht Passwortmanager eine einfachere Alternative?

Bieten aber nicht Passwortmanager ähnliche Vorteile? In puncto Komfort ist das der Fall. Denn ein Passwortmanager fungiert als digitaler Safe, in dem sich komplexe und damit relativ sichere Zugangsdaten aufbewahren lassen. Mit einem einzigen Master-Passwort erfolgt der Zugriff, wobei die Software selbstständig Formulare mit den hinterlegten Kennwörtern ausfüllen kann. Dadurch ist es für Nutzer nicht erforderlich, sich viele verschiedene Passwörter zu merken. Zudem kommen unterschiedliche Kennwörter für einzelne Dienste zum Einsatz und die Speicherung erfolgt auch verschlüsselt. 

Dennoch ist das Verfahren in der Regel nicht so sicher wie ein Passkey. Denn auch wenn die Software Log-in-Daten automatisch in die jeweiligen Formulare füllt, kommen weiterhin klassische Passwörter zum Einsatz. Dabei schickt der Passwortmanager diese vom Gerät an die Webseite. Dadurch haben Cyberkriminelle die Möglichkeit, diese abzugreifen – etwa im Rahmen eines sogenannten Man-in-the-Middle-Angriffs. Auch für Phishing-Attacken und Datendiebstähle bleiben Nutzer weiterhin anfällig. 

Bei Passkeys verbleibt der private Schlüssel hingegen die ganze Zeit auf dem Gerät des Nutzers. Er wird weder kopiert, noch übertragen. Dadurch können Hacker ihn auch nicht abfangen. Zwar können Cyberkriminelle den öffentlichen Schlüssel möglicherweise beim jeweiligen Anbieter stehlen. Ohne den Private Key können sie damit jedoch wenig anfangen. Dementsprechend ist das Schutzniveau bei Passkeys nicht nur höher als bei klassischen Passwörtern, sondern auch im Vergleich zu Passwortmanagern deutlich besser. 

Welche Anbieter unterstützen bereits Passkeys (und welche noch nicht)?

Die Tatsache, dass immer mehr Dienste Passkeys unterstützen, unterstreicht, dass diese ein wichtiger Faktor in puncto Cyber-Sicherheit sind. Schließlich haben die Anbieter kein Interesse daran, dass die Daten und Passwörter ihrer Kunden in falsche Hände gelangen. Auch deshalb haben sich diverse Tech-Konzerne in der FIDO-Allianz engagiert. Das Kürzel steht für Fast IDentity Online. Ziel der Organisation ist die Entwicklung von sowohl offenen als auch lizenzfreien Standards für die Online-Authentifizierung im globalen Kontext. Wir werfen einen Blick auf die wichtigsten Plattformen für deutsche Nutzer und skizzieren, inwieweit sie den Zugang via Passkey ermöglichen.  

Wie sieht die Zukunft der Passkeys aus?

Es unterstützen bislang also bereits mehrere führende globale Tech-Konzerne Passkeys. Besonders reibungslos funktioniert das bei Apple-Geräten. Aber auch Hardware mit dem Betriebssystem Android bietet inzwischen einen umfassenden Support. Selbst bei Geräten, die keine native Unterstützung bieten, lässt sich die sicherere Login-Methode häufig per QR-Code-Scan nutzen. Das Verfahren wird sich wahrscheinlich immer weiter durchsetzen, da es mehr Sicherheit bietet und sich komfortabel nutzen lässt. Zudem werden künftig auch Passwortmanager wie 1Password oder Dashlane für Passkeys eine plattformübergreifende  Unterstützung bieten. Damit dürften – unsichere und schwer zu merkende – Passwörter bald nur noch ein Randphänomen sein.