Passkeys: die moderne Form der Authentifizierung

Für die Nutzer gehört es online zum Alltag, sich bei Diensten anzumelden und sich in ihr Konto einzuwählen. Lange Zeit waren dafür klassische Passwörter notwendig, die jedoch als unsicher und umständlich gelten. Mit den Passkeys existiert eine Alternative, die vieles vereinfacht und sowohl für die Anwender als auch für Unternehmen und Organisationen zahlreiche Vorteile in der täglichen Verwendung bietet.

Einführung: Was sind Passkeys?

Authentifizierungen sind in der digitalen Welt notwendig, um die Onlinedienste und die Accounts der Nutzer zu schützen. Doch leider erweisen sich herkömmliche Methoden wie Passwörter häufig als sehr umständlich und benutzerunfreundlich. Sie sind sogar unsicher, weil in der Vergangenheit im Zusammenhang mit passwortgeschützten Konten Phishing-Angriffe immer wieder erfolgreich waren. Kryptografische Schlüssel sollen hier Abhilfe schaffen und eine sicherere und einfacher zu verwendende Alternative darstellen.

Die Schlüsselpaare lassen sich damit als eine Art Authentifizierungsmethode der nächsten Generation verstehen. Mit der Einführung dieser Technologie sind jedoch auch Herausforderungen verbunden, die es erst einmal zu überwinden gilt.

Technische Grundlagen

Bei Passkeys kommen statt der klassischen Passwörter kryptografische Schlüsselpaare zum Einsatz. Einer davon ist öffentlich, der andere privat. Ziel ist die Umsetzung eines sicheren, bequemen und effizienten Anmeldeprozesses.

Public-Key-Infrastruktur

Für die Funktion der kryptografischen Schlüssel spielt die Public-Key-Infrastruktur (PKI) eine entscheidende Rolle. Die Schlüsselpaare basieren auf dem Prinzip der asymmetrischen Kryptografie, das direkt aus der PKI abgeleitet ist. Dabei wird ein Schlüssel auf einem öffentlichen Server gespeichert, während der andere private Schlüssel immer auf dem Gerät des Nutzers verbleibt. Kommt es zu einer Verwendung des Schlüssels, sendet ein Server eine sogenannte Challenge an das Benutzergerät. Nur wenn dieses Gerät die Challenge mithilfe des privaten Schlüssels signieren kann, gelingt die Authentifizierung.

FIDO2-Protokoll

Die für die Implementierung des Passkey-Verfahrens erforderlichen Standards und Protokolle sind in FIDO2 definiert. FIDO steht für „Fast Identity Online" — ein offener Standard der FIDO Alliance. Neben der Registrierung der Schlüssel und der Durchführung des Anmeldevorgangs stellt FIDO2 sicher, dass sich die Passkeys universell mit verschiedensten Diensten im Internet einsetzen lassen und gewährleistet so die erforderliche Interoperabilität.

WebAuthn

FIDO2 besteht aus zwei wesentlichen Komponenten, eine davon ist WebAuthn (Web Authentication API). Das W3C (World Wide Web Consortium) ist für die Entwicklung dieses Standards zuständig. Diese API ermöglicht die Authentifizierung von einem FIDO-fähigen Gerät per kryptografischem Schlüssel. WebAuthn stellt eine Schnittstelle zwischen dem Authentifizierungsgerät (z. B. einem Smartphone) und dem Webbrowser her — sichere, passwortlose Authentifizierung direkt im Browser. Unterstützte Geräte umfassen externe Hardware-Token (z. B. USB-Sticks) sowie biometrische Sensoren.

CTAP

CTAP ist die zweite Komponente von FIDO2. Sie ist zuständig für die Kommunikation zwischen dem Authenticator (z. B. einem USB-Sicherheitsschlüssel) und dem Client-Gerät (z. B. einem Smartphone). Die Verbindung lässt sich per Bluetooth, NFC oder USB herstellen. Dank CTAP kann sich jeder über ein externes Authentifizierungsgerät bei einem Online-Dienst anmelden — sicher, unkompliziert und ohne Passwort.

Wie Passkeys in der Praxis funktionieren

Das Verständnis des praktischen Authentifizierungsablaufs von Passkeys verdeutlicht, wie diese Technologie die Benutzererfahrung verändert.

Bei der ersten Registrierung generiert das Gerät des Nutzers ein einzigartiges kryptografisches Schlüsselpaar. Der private Schlüssel wird sicher auf dem Gerät gespeichert — im Secure Enclave, Trusted Platform Module (TPM) oder einem dedizierten Sicherheitsschlüssel. Der entsprechende öffentliche Schlüssel wird an den Dienstanbieter übermittelt und dem Benutzerkonto zugeordnet.

Wenn der Nutzer sich zu einem späteren Zeitpunkt authentifizieren möchte, sendet der Dienst eine kryptografische Challenge an das Gerät. Das Gerät fordert dann zur lokalen Authentifizierung auf — per Fingerabdruckscan, Gesichtserkennung, PIN-Eingabe oder einer anderen biometrischen Methode.

Sobald die lokale Authentifizierung erfolgreich ist, verwendet das Gerät den privaten Schlüssel, um die Challenge digital zu signieren. Diese signierte Antwort wird an den Dienst zurückgesendet, der den öffentlichen Schlüssel zur Verifizierung nutzt. Bei erfolgreicher Prüfung erhält der Nutzer Zugang.

Dieser Prozess dauert typischerweise nur wenige Sekunden und läuft transparent im Hintergrund ab — der Nutzer bestätigt lediglich seine biometrische Identität.

Vorteile

Passkeys bieten mit ihrer asymmetrischen Kryptografie eine ganze Reihe von Vorteilen für die Authentifizierung.

Sicherheit

Zu den wichtigsten Vorteilen gehört der Schutz vor Phishing-Angriffen. Private Schlüssel verlassen das Gerät des Nutzers nie, was Phishing-Attacken bereits im Ansatz vereitelt. Da keine Passwörter mehr notwendig sind, ist auch ein Passwortdiebstahl nicht mehr möglich. Auch Brute-Force-Angriffe laufen ins Leere — insgesamt erhöht sich die Sicherheit bei Authentifizierungsvorgängen dramatisch.

Passkeys vs. klassische Passwörter: Ein Sicherheitsvergleich

Klassische Passwörter weisen inhärente Schwachstellen auf, die kryptografische Authentifizierungsmethoden gezielt adressieren.

Passwortbasierte Systeme sind anfällig für Credential-Stuffing-Angriffe, bei denen Angreifer gestohlene Benutzername-Passwort-Kombinationen bei mehreren Diensten einsetzen. Bei Passkeys erhält jeder Dienst einen einzigartigen öffentlichen Schlüssel — Angriffe durch Wiederverwendung von Anmeldedaten werden unmöglich.

Klassische Passwörter können während der Übertragung abgefangen oder aus kompromittierten Datenbanken gestohlen werden. Passkeys eliminieren diese Risiken, da der private Schlüssel das Gerät nie verlässt und nur kryptografisch signierte Challenges übertragen werden.

Social-Engineering-Angriffe, bei denen Nutzer zur Preisgabe ihrer Passwörter gebracht werden, werden wirkungslos — Nutzer haben keinen direkten Zugriff auf ihre privaten Schlüssel, die Authentifizierung erfordert den physischen Besitz des Geräts.

Am wichtigsten ist vielleicht der integrierte Schutz gegen Phishing. Klassische Passwörter können auf betrügerischen Websites eingegeben werden, aber Passkeys sind kryptografisch an spezifische Domains gebunden. Der Authentifizierungsvorgang schlägt einfach fehl, wenn er auf einer nicht übereinstimmenden Domain versucht wird.

Benutzerfreundlichkeit

Wer keine Passwörter erstellen muss, muss sich diese auch nicht mehr merken oder verwalten. Die Anmeldung vereinfacht sich deutlich. Authentifizierungen gelingen deutlich schneller, gerade bei Gesichtserkennung oder Fingerabdruckscan. Zudem lässt sich die Technologie nahtlos in verschiedene Geräte und Plattformen integrieren. Auch Passwort-Resets gehören der Vergangenheit an.

Datenschutz

Die Speicherung der privaten Schlüssel und biometrischer Daten erfolgt nur lokal auf dem eigenen Gerät. Das Risiko für Datenschutzverletzungen verringert sich, wenn die Daten die lokale Umgebung nie verlassen. Passwortdatenbanken — in der Vergangenheit ein beliebtes Angriffsziel — sind nicht mehr erforderlich. Zudem verringert sich die Datenmenge, die Nutzer an Dienste weitergeben müssen.

Herausforderungen bei der Implementierung und Adoption

Zu den technologischen Hürden gehört, dass noch nicht alle Geräte und Plattformen kryptografische Schlüssel unterstützen, was entsprechende Investitionen erfordert. Wichtig ist auch, die erforderliche Akzeptanz bei den Nutzern herzustellen und Einstiegshürden so gering wie möglich zu halten. Nicht zu unterschätzen sind die eingefahrenen Gewohnheiten im Umgang mit Passwörtern.

Ebenfalls zu beachten ist, dass die Anmeldung per Passkey nicht mehr möglich ist, wenn der Anwender sein Gerät verliert. Es sollten daher Mechanismen zur Wiederherstellung oder Übertragung der Schlüssel auf ein neues Gerät vorhanden sein.

Passkeys implementieren: So starten Sie

Für Unternehmen, die Passkey-Authentifizierung einführen möchten, ist das Verständnis der grundlegenden Anforderungen entscheidend.

Der erste Schritt ist die Sicherstellung der Browser- und Plattformkompatibilität. Moderne Browser — Chrome, Firefox, Safari und Edge — unterstützen die WebAuthn API, während iOS, Android, macOS und Windows die notwendigen Plattform-Authentifikator-Funktionen bereitstellen.

Aus technischer Sicht erfordert die Passkey-Implementierung die Integration der WebAuthn API in bestehende Authentifizierungsabläufe. Viele Unternehmen arbeiten mit spezialisierten Authentifizierungsbibliotheken oder Identity-Management-Plattformen, die vorgefertigte WebAuthn-Integrationen anbieten.

Eine schrittweise Einführung erweist sich oft als am effektivsten: Passkeys zunächst als optionale Methode neben klassischen Passwörtern anbieten, um Nutzervertrauen aufzubauen und iterativ zu verbessern.

Wesentliche Überlegungen umfassen Kontowiederherstellungsmechanismen, geräteübergreifende Synchronisierung und Nutzeraufklärung. Für Unternehmen, die Passkeys gemeinsam mit Standards wie OpenID Connect oder SAML einsetzen möchten, bieten moderne Identity-Plattformen die Grundlage für eine nahtlose Authentifizierungserfahrung.

Zukunftsperspektiven und mögliche Auswirkungen auf die IT-Sicherheitsbranche

Grundsätzlich ist mit der Einführung der Passkey-Technologie ein großes Potenzial für die IT-Sicherheitslandschaft verbunden. Die Vorteile in Hinblick auf einfachere Verwendung und höhere Effizienz liegen auf der Hand. Allerdings bedeutet der Einsatz dieser Methode auch eine Neuausrichtung der Sicherheitsstrategie: Von nun an gilt es vor allem, die Endgeräte zu schützen, denn hier sind die privaten Schlüssel gespeichert. Phishing sollte in der Zukunft keine große Rolle mehr spielen. Stattdessen werden Cyberkriminelle nach neuen Angriffsvektoren suchen und sich auf die Manipulation der Endgeräte konzentrieren. Darauf muss sich die Branche einstellen.