Was ist ein Passkey und wie funktioniert er?

Passkey, was ist das denn schon wieder? Ein superduper Passwort-Manager? Nein, ein Passkey ist ein sicheres Login-Verfahren. Aha, also gibt es auch ein unsicheres Login-Verfahren? Ja, gibt es: Benutzername und Passwort.

Angriffe auf Benutzername und Passwort nehmen zu

Die klassische Kombination aus Benutzername und Passwort gilt heute als Schwachstelle. Datenlecks, Phishing-Angriffe und unsichere Passwörter sorgen immer wieder für gehackte Accounts. Eine moderne Alternative ist der sogenannte Passkey-Login. Doch was verbirgt sich hinter diesem Konzept und warum gilt es als besonders sicher?

Was ist ein Passkey-Login?

Ein Passkey-Login ist eine relativ neue Methode zur Anmeldung bei Online-Diensten, die vollständig ohne klassisches Passwort auskommt. Statt sich ein Passwort merken zu müssen, erfolgt die Anmeldung über ein kryptografisches Schlüsselpaar. Dieses besteht aus folgenden Schüsseln:

Ein privater Schlüssel, der sicher auf dem eigenen Gerät gespeichert ist, zum Beispiel auf dem Handy
Ein öffentlicher Schlüssel, der beim jeweiligen Dienst hinterlegt wird. zum Beispiel bei der Bank

Mit „Schlüsseln“ sind hier dabei ganz einfach generierte Codes gemeint. Der entscheidende Sicherheits-Gewinn: Der private Schlüssel verlässt niemals das Gerät. Dadurch kann er weder gestohlen noch abgefangen werden. Der Passkey-Login gilt daher als sichere und benutzerfreundliche Alternative zu klassischen Logins.

Wie funktioniert ein Passkey-Login technisch?

Die Funktionsweise basiert auf moderner Kryptografie, genauer gesagt auf sogenannten Public-Key-Verfahren. Beispiel für den Ablauf:

Bei der Registrierung eines Accounts, zum Beispiel bei einer Bank, erstellt das Handy ein Schlüsselpaar. Der öffentliche Schlüssel wird an die Bank übertragen und dort gespeichert. Der private Schlüssel bleibt sicher auf dem Handy.
Beim Login in die Banking-App fordert die Bank eine Authentifizierung an. Das Handy des Kunden signiert diese Anfrage mit dem privaten Schlüssel. Der Server der Bank überprüft die Signatur mit dem öffentlichen Schlüssel und gewährt Zugriff.
Die Freigabe erfolgt über eine lokale Authentifizierung wie zum Beispiel der elektronische Fingerabdruck, die Gesichtserkennung oder eine Geräte-PIN. Dadurch wird sichergestellt, dass nur die berechtigte Person den Passkey-Login nutzen kann.

Details zum elektronischen Fingerabdruck

Smartphone-Sensor erzeugt elektronischen Fingerabdruck

Smartphones verwenden je nach Modell unterschiedliche Sensortypen, meist kapazitive oder optische Sensoren. Kapazitive Sensoren messen elektrische Unterschiede auf der Hautoberfläche und erkennen so die Struktur von Linien und Tälern Ihres Fingerabdrucks. Optische Sensoren arbeiten mit Licht und erstellen ein Bild der Fingerstruktur. Moderne Geräte nutzen teilweise Ultraschallsensoren, die sogar dreidimensionale Informationen erfassen.

Beim Einrichten wird Ihr Finger mehrfach gescannt, um ein möglichst vollständiges Muster zu erfassen. Dabei entsteht kein klassisches Bild, sondern ein mathematisches Modell mit charakteristischen Merkmalspunkten.

Umwandlung in eine sichere Referenz

Die erfassten Daten werden direkt auf dem Gerät verarbeitet. Das Betriebssystem extrahiert typische Merkmale wie Linienverläufe und Verzweigungen und wandelt diese in eine stark reduzierte, abstrakte Datenstruktur um. Diese Referenz ist nicht als Bild rekonstruierbar und wird verschlüsselt in einem geschützten Bereich des Geräts gespeichert.

Lokaler Vergleich beim Entsperren

Wenn Sie später Ihren Finger auf den Sensor legen, wird erneut ein Scan durchgeführt und mit der gespeicherten Referenz verglichen. Dieser Abgleich findet ausschließlich lokal statt, meist innerhalb einer isolierten Hardwarekomponente wie der Secure Enclave. Es werden weder Rohdaten noch Vergleichsergebnisse an externe Dienste übertragen.

Schutz vor Täuschungsversuchen

Moderne Fingerabdrucksensoren verfügen über Schutzmechanismen gegen einfache Täuschungsversuche, etwa durch Erkennung von Hautleitfähigkeit oder Puls. Dennoch bleibt der entscheidende Sicherheitsfaktor die Kombination aus sicherem Hardware-Speicher und kryptografischem Verfahren. Selbst wenn ein Sensor manipuliert würde, könnte ohne Zugriff auf den geschützten Schlüssel kein gültiger Passkey verwendet werden.

Die biometrische Verifizierung

Wenn Sie einen Passkey erstellen, erzeugt das Betriebssystem Ihres Smartphones ein asymmetrisches Schlüsselpaar. Dieser Prozess läuft lokal auf dem Gerät ab. Der private Schlüssel verlässt das Gerät niemals und wird in einer besonders geschützten Hardware-Umgebung gespeichert, etwa in einer Secure Enclave oder einem Trusted Execution Environment. Der öffentliche Schlüssel wird an den jeweiligen Online-Dienst übertragen und dort gespeichert.

Rolle der biometrischen Verifizierung

Für die Nutzung des Passkeys müssen Sie sich auf dem Smartphone authentifizieren, zum Beispiel per Fingerabdruck oder Gesichtserkennung. Diese biometrischen Daten werden nicht an den Online-Dienst übertragen. Stattdessen prüft das Gerät intern, ob die biometrische Verifikation erfolgreich ist. Erst danach wird der Zugriff auf den privaten Schlüssel freigegeben.

Erstellung des „elektronischen Fingerabdrucks“

Der eigentliche „Fingerabdruck“ entsteht, wenn das Gerät eine kryptografische Signatur erzeugt. Beim Login sendet der Dienst, also beispielsweise die Banking-App, eine Herausforderung (Challenge) an Ihr Smartphone. Das Gerät signiert diese Challenge mit dem privaten Schlüssel. Diese Signatur ist einzigartig, mathematisch eindeutig und kann nicht gefälscht werden. Sie fungiert als elektronischer Fingerabdruck, der Ihre Identität bestätigt, ohne sensible Daten preiszugeben.

Prüfung durch den Online-Dienst

Der Dienst überprüft die Signatur mit dem zuvor gespeicherten öffentlichen Schlüssel. Stimmen die Daten überein, ist sichergestellt, dass die Anfrage von Ihrem registrierten Gerät stammt und korrekt autorisiert wurde. Ein Passwort ist nicht mehr erforderlich, da der Besitz des privaten Schlüssels und die erfolgreiche biometrische Prüfung ausreichen.

Sicherheitsvorteile des Verfahrens

Da der private Schlüssel das Gerät nie verlässt und keine biometrischen Rohdaten übertragen werden, ist das Verfahren besonders sicher. Phishing-Angriffe werden erschwert, weil die Signatur immer an die konkrete Domain gebunden ist. Selbst wenn Angreifer Daten abfangen, können sie daraus keinen gültigen „elektronischen Fingerabdruck“ erzeugen.

Vorteile von Passkey-Login gegenüber Passwörtern

Die Vorteile von Passkeys:

Da keine Passwörter übertragen oder gespeichert werden, sind Phishing-Angriffe deutlich erschwert.
Passwörter können zu simpel oder zu kurz sein – Passkeys nicht.
Der Passkey-Login ist an echte Dienste oder Domains gebunden und kann nicht auf gefälschten Webseiten verwendet werden.
Es müssen keine komplexen Passwörter notiert werden. Die Anmeldung erfolgt schnell über biometrische Verfahren oder eine Gerätefreigabe.
Bei Datenlecks bleiben Konten geschützt, da nur öffentliche Schlüssel gespeichert werden, mit denen kein Zugriff möglich ist.
Passkeys können im Gegensatz zu Passwörtern nicht vergessen werden.
Passkeys werden schnell und automatisiert erstellt.
Es ist relativ unwahrscheinlich, dass Passkeys durch Phishing oder Datendiebstahl verloren gehen.
Kein Domino-Effekt: Jeder Passkey schützt immer genau einen Account – so können nie mehrere Accounts gefährdet sein, sollte ein Passkey missbraucht werden.

Auf welchen Geräten werden Passkeys gespeichert?

Passkeys werden direkt auf dem verwendeten Gerät gespeichert. Moderne Betriebssysteme wie Windows, Android oder iOS bieten dafür sichere Speicherbereiche.

Sichere Bereich auf den Handy – gibt es die?

Ja, vergleichbar ist das System mit dem TPM (Trusted Platform Module) von Windows. Das ist ein Hardware-Sicherheitschip, den Microsoft für Windows 11 ab Version 2.0 zwingend voraussetzt. Auf diesem Chip werden dann kryptografische Schlüssel und Passwörter sicher abgespeichert. Und einiges Andere auch, deshalb bin ich kein Fan von Windows TPM. Ich wollte die Sicherheitssysteme vergleichen.

Außerdem können Passkeys verschlüsselt über Cloud-Dienste synchronisiert werden. Dadurch wird der Passkey Login auch auf mehreren Geräten nutzbar. Hardware geht ja leider auch kaputt.

Was passiert beim Verlust eines Geräts?

Der Zugriff ist an biometrische Merkmale oder eine Geräte-PIN gebunden. Dadurch kann ein verlorenes Gerät nicht ohne Weiteres vom Finder oder Dieb genutzt werden.

Der Passkey-Login und die FIDO-Alianz

Hinter der Passkey-Technologie steckt die FIDO-Allianz. Die Abkürzung FIDO steht für Fast Identity Online. Passkey ist eine offene und herstellerunabhängige Möglichkeit zur Nutzerauthentisierung. Zur FIDO-Allianz zählen zahlreiche internationale Tech-Unternehmen wie Apple, Google und Microsoft und seit 2015 auch das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Grundlage für Passkey-Logins ist der FIDO2-Standard.

Der FIDO2-Stick

Für echte Nerds gibt es FIDO2-Sticks auf dem Markt, zum Beispiel den YubiKey oder den Nitrokey. Sieht aus wie ein USB-Stick, hat aber eine völlig andere Funktion. Auf einem FIDO2-Stick können Sie den private Schlüssel eines Schlüsselpaars ablegen. Das heißt:

Der private Schlüssel bleibt auf dem FIDO2-Stick und verlässt diesen nie,
Der öffentliche Schlüssel bleibt, wie gehabt, bei irgendeinem Internetdienst

Das Onboarding mit einem FIDO2-Stick

Zuvor muss der Internetdienst natürlich beide Schlüssel erzeugt haben, womit wir beim Onboarding wären. So funktioniert das Erzeugen eines Passkey-Schlüsselpaars mit FIDO2-Stick:

1. Anmeldung beim Dienst

Zunächst legt der Nutzer beim Dienst ein Konto an oder meldet sich mit einer bestehenden klassischen Methode an. Anschließend wählt er dann beispielsweise „Passkey hinzufügen“ oder „Sicherheitsschlüssel registrieren“.

2. Aufforderung im Browser

Im Browser erscheint dann die Aufforderung, einen Passkey zu registrieren. Die Terminologie ist dabei leider unterschiedlich. Verwendet wird auch der Begriff WebAuthn, er steht für Web Authentication API, auf Deutsch eine Schnittstelle für die Authentifizierung bei Internetdiensten.

3. FIDO2-Stick wird angeschlossen

Der Nutzer steckt den FIDO2-Stick in den Computer. Je nach Stick kann die Verbindung über USB-A, USB-C oder drahtlos über NFC erfolgen.

4. Der Browser startet Registrierungsprozess

Der Browser erkennt den FIDO2-Stick und startet den Registrierungsprozess.

5. Das Schlüsselpaar wird erzeugt

Es wird ein asymmetrisches Schlüsselpaar erzeugt:

Der private Schlüssel bleibt auf dem FIDO2-Stick.
Der öffentliche Schlüssel wird beim Dienst hinterlegt.

Der private Schlüssel wird nicht aus dem Stick ausgelesen und auch nicht an den Server übertragen. Der Server kennt anschließend den öffentlichen Schlüssel, besitzt aber nicht den dazugehörigen privaten Schlüssel.

6. Der Stick verlangt eine Bestätigung

Damit nicht irgendeine Anwendung heimlich den FIDO2-Stick zur Authentifizierung verwendet, muss der Nutzer die Aktion am Stick bestätigen.

Je nach Modell geschieht das beispielsweise durch:

Berühren einer Sensorfläche
Eingabe einer PIN
Kombination aus PIN und Berührung
bei bestimmten Geräten zusätzlich biometrische Verfahren

7. Der Dienst speichert die Passkey-Information

Bei erfolgreicher Registrierung speichert der Dienst den öffentlichen Schlüssel, sowie Informationen, mit denen der entsprechende Passkey dem Benutzerkonto zugeordnet werden kann.

Der entscheidende Sicherheitgewinn ist: Der Dienst erhält keine Kopie des privaten Schlüssels. Selbst wenn die Datenbank des Dienstes gestohlen wird, kann ein Angreifer mit dem dort gespeicherten öffentlichen Schlüssel nicht einfach einen gültigen Login erzeugen.

8. Onboarding abgeschlossen, was erfolgt bei späterem Login?

Beim nächsten Login startet der Dienst eine sogenannte Challenge:

Der Server erzeugt eine zufällige kryptografische Aufgabe und schickt sie an den Browser.
Der FIDO2-Stick muss diese Aufgabe mit seinem privaten Schlüssel beantworten.
Der Stick signiert die Challenge mit dem privaten Schlüssel und gibt die Signatur zurück:
Der Server überprüft die Signatur mit dem zuvor gespeicherten öffentlichen Schlüssel.
Ist die Signatur korrekt, weiß der Server, dass derjenige, der sich anmelden möchte, tatsächlich Zugriff auf den registrierten FIDO2-Stick hat.

9. Funktiuoniert ein FIDO2-Stick auch auf dem Smartphone?

Ja, entweder über NFC oder über die Ladebuchse

Nachteile von Passkeys

Falls das Gerät, auf dem Ihre Passkeys hinterlegt sind, verloren gegangen ist, gestohlen wurde, oder den Geist aufgegeben hat, müssen die Passkeys relativ aufwändig wiederhergestellt werden.

Was tun, wenn keine Sicherheitskopien in einer Cloud hinterlegt wurden und auf einem neuen Gerät synchronisiert werden können? Dann muss die Identität neu nachgewisen werden und ein neuer Passkey für den Zugang erstellt werden. Sie müssen also zum Beispiel die Bank kontaktieren und Ihren Account wiederherstellen.

Wero-Sicherheit

Ein praktisches Beispiel für den Einsatz moderner Sicherheitsmechanismen ist Wero. Auch Wero nutzt biometrische Verfahren zur Freigabe von Transaktionen.

Die biometrische Verifizierung wie Face ID oder Fingerabdruck findet dabei ausschließlich über die Sicherheitsfunktionen des eigenen Smartphones oder der Banking-App statt. Wero selbst hat keinen Zugriff auf diese sensiblen Daten.

Wero-Datenschutz

Zu keinem Zeitpunkt werden echte biometrische Daten auf Wero-Servern gespeichert oder verarbeitet. Die Abfrage bestätigt lediglich gegenüber der App, dass die korrekte Person das Gerät bedient.

Die Authentifizierung erfolgt lokal auf dem Gerät, während im Hintergrund eine kryptografische Bestätigung der Transaktion stattfindet. Die Zahlungsabwicklung erfolgt über sichere Bankinfrastrukturen wie SEPA Instant Credit Transfer.

Der Mensch ist das Problem

Durch die Kombination aus Gerätebindung und lokaler Verifizierung bietet Wero Sicherheit einen maximal möglichen Schutzniveau gegen Phishing und unbefugte Zugriffe. Eine Schwachstelle ist allerdings immer noch der Mensch! Bitte beachten Sie diese 7 Sicherheits-Tipps.

Sind Passkeys die Zukunft?

Wird sich der Passkey-Login in den kommenden Jahren als Standard für sichere Anmeldungen etablieren?