Passkey, was ist das denn schon wieder? Ein superduper Passwort-Manager? Nein, ein Passkey ist ein neues, sicheres Login-Verfahren. Aha, also gibt es auch ein altes unsicheres Login-Verfahren? Ja, gibt es: Benutzername und Passwort.
Angriffe auf Benutzername und Passwort nehmen zu
Die klassische Kombination aus Benutzername und Passwort gilt heute als Schwachstelle. Datenlecks, Phishing-Angriffe und unsichere Passwörter sorgen immer wieder für gehackte Accounts. Eine moderne Alternative ist der sogenannte Passkey-Login. Doch was verbirgt sich hinter diesem Konzept und warum gilt es als besonders sicher?
Was ist ein Passkey-Login?
Ein Passkey-Login ist eine relativ neue Methode zur Anmeldung bei Online-Diensten, die vollständig ohne klassisches Passwort auskommt. Statt sich ein Passwort merken zu müssen, erfolgt die Anmeldung über ein kryptografisches Schlüsselpaar. Dieses besteht aus folgenden Schüsseln:
- Ein privater Schlüssel, der sicher auf dem eigenen Gerät gespeichert ist, zum Beispiel auf dem Handy
- Ein öffentlicher Schlüssel, der beim jeweiligen Dienst hinterlegt wird. zum Beispiel bei der Bank
Mit „Schlüsseln“ sind hier dabei ganz einfach generierte Codes gemeint. Der entscheidende Sicherheits-Gewinn: Der private Schlüssel verlässt niemals das Gerät. Dadurch kann er weder gestohlen noch abgefangen werden. Der Passkey-Login gilt daher als sichere und benutzerfreundliche Alternative zu klassischen Logins.
Wie funktioniert ein Passkey-Login technisch?
Die Funktionsweise basiert auf moderner Kryptografie, genauer gesagt auf sogenannten Public-Key-Verfahren. Beispiel für den Ablauf:
- Bei der Registrierung eines Accounts, zum Beispiel bei einer Bank, erstellt das Handy ein Schlüsselpaar. Der öffentliche Schlüssel wird an die Bank übertragen und dort gespeichert. Der private Schlüssel bleibt sicher auf dem Handy.
- Beim Login in die Banking-App fordert die Bank eine Authentifizierung an. Das Handy des Kunden signiert diese Anfrage mit dem privaten Schlüssel. Der Server der Bank überprüft die Signatur mit dem öffentlichen Schlüssel und gewährt Zugriff.
- Die Freigabe erfolgt über eine lokale Authentifizierung wie Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Dadurch wird sichergestellt, dass nur die berechtigte Person den Passkey-Login nutzen kann.
Vorteile von Passkey-Login gegenüber Passwörtern
Die Vorteile von Passkeys:
- Da keine Passwörter übertragen oder gespeichert werden, sind Phishing-Angriffe deutlich erschwert.
- Passwörter können zu simpel oder zu kurz sein – Passkeys nicht.
- Der Passkey-Login ist an echte Dienste oder Domains gebunden und kann nicht auf gefälschten Webseiten verwendet werden.
- Es müssen keine komplexen Passwörter notiert werden. Die Anmeldung erfolgt schnell über biometrische Verfahren oder eine Gerätefreigabe.
- Bei Datenlecks bleiben Konten geschützt, da nur öffentliche Schlüssel gespeichert werden, mit denen kein Zugriff möglich ist.
- Passkeys können im Gegensatz zu Passwörtern nicht vergessen werden.
- Passkeys werden schnell und automatisiert erstellt.
- Es ist relativ unwahrscheinlich, dass Passkeys durch Phishing oder Datendiebstahl verloren gehen.
- Kein Domino-Effekt: Jeder Passkey schützt immer genau einen Account – so können nie mehrere Accounts gefährdet sein, sollte ein Passkey missbraucht werden.
Auf welchen Geräten werden Passkeys gespeichert?
Passkeys werden direkt auf dem verwendeten Gerät gespeichert. Moderne Betriebssysteme wie Windows, Android oder iOS bieten dafür sichere Speicherbereiche.
Zusätzlich können Passkeys verschlüsselt über Cloud-Dienste synchronisiert werden. Dadurch wird der Passkey Login auch auf mehreren Geräten nutzbar, ohne die Sicherheit zu beeinträchtigen.
Was passiert beim Verlust eines Geräts?
Der Zugriff ist an biometrische Merkmale oder eine Geräte-PIN gebunden. Dadurch kann ein verlorenes Gerät nicht ohne Weiteres vom Finder oder Dieb genutzt werden.
Der Passkey-Login und die FIDO-Alianz?
Hinter der Passkey-Technologie steckt die FIDO-Allianz. Die Abkürzung FIDO steht für Fast Identity Online. Passkey ist eine offene und herstellerunabhängige Möglichkeit zur Nutzerauthentisierung. Zur FIDO-Allianz zählen zahlreiche internationale Tech-Unternehmen wie Apple, Google und Microsoft und seit 2015 auch das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Grundlage für Passkey-Logins ist der FIDO2-Standard.
Nachteile von Passkeys
Falls das Gerät, auf dem Ihre Passkeys hinterlegt sind, verloren gegangen ist, gestohlen wurde, oder den Geist aufgegeben hat, müssen die Passkeys relativ aufwändig wiederhergestellt werden.
Was tun, wenn keine Sicherheitskopien in einer Cloud hinterlegt wurden und auf einem neuen Gerät synchronisiert werden können? Dann muss die Identität neu nachgewisen werden und ein neuer Passkey für den Zugang erstellt werden. Sie müssen also zum Beispiel die Bank kontaktieren und Ihren Account wiederherstellen.
Wero Sicherheit und Datenschutz
Ein praktisches Beispiel für moderne Sicherheitsmechanismen ist Wero. Die Wero Sicherheit basiert auf starker Kundenauthentifizierung und nutzt biometrische Verfahren zur Freigabe von Transaktionen.
Die biometrische Verifizierung wie Face ID oder Fingerabdruck findet dabei ausschließlich über die Sicherheitsfunktionen des eigenen Smartphones oder der Banking-App statt. Wero selbst hat keinen Zugriff auf diese sensiblen Daten.
Wichtig ist: Es erfolgt keine Speicherung biometrischer Merkmale durch Wero. Zu keinem Zeitpunkt werden echte biometrische Daten auf Servern gespeichert oder verarbeitet. Die Abfrage bestätigt lediglich gegenüber der App, dass die korrekte Person das Gerät bedient.
Die Authentifizierung erfolgt lokal auf dem Gerät, während im Hintergrund eine kryptografische Bestätigung der Transaktion stattfindet. Die Zahlungsabwicklung erfolgt über sichere Bankinfrastrukturen wie SEPA Instant Credit Transfer.
Durch die Kombination aus Gerätebindung und lokaler Verifizierung bietet die Wero Sicherheit ein hohes Schutzniveau gegen Phishing und unbefugte Zugriffe.
Sind Passkeys die Zukunft?
Wird sich der Passkey-Login in den kommenden Jahren als Standard für sichere Anmeldungen etablieren?