Großbuchstabe. Kleinbuchstabe. Zahl. Sonderzeichen. Möglichst lang. Und natürlich für jeden Dienst ein anderes.
Seit Jahren versuchen wir, Passwörter sicherer zu machen. Das Grundproblem bleibt trotzdem dasselbe: Ein Passwort ist ein Geheimnis, das eingegeben werden muss und damit auch abgegriffen werden kann.
Statt sich ein weiteres Kennwort zu merken, wird die Anmeldung beispielsweise mit Fingerabdruck, Gesichtserkennung oder der PIN des Geräts bestätigt. Was für Nutzer einfacher aussieht, funktioniert technisch grundlegend anders. Genau deshalb gelten Passkeys als eine der interessantesten Entwicklungen rund um digitale Identitäten.
Was ist ein Passkey eigentlich?
Ein Passkey ist ein digitales Anmeldeverfahren auf Basis der FIDO-Standards.
FIDO steht für Fast Identity Online. Hinter diesen Standards steht die FIDO Alliance. Das Ziel: sichere Anmeldungen ermöglichen, ohne dass Nutzer dafür ein klassisches Passwort eingeben müssen. Passkeys bauen auf den FIDO2-Spezifikationen auf. FIDO2 verbindet dabei den vom World Wide Web Consortium entwickelten WebAuthn-Standard mit dem Client-to-Authenticator Protocol, kurz CTAP, der FIDO Alliance.
Was kompliziert klingt, lässt sich relativ einfach erklären.
Bei der Einrichtung eines Passkeys entsteht ein kryptografisches Schlüsselpaar. Der jeweilige Dienst erhält einen öffentlichen und einen privaten dazugehörigen Schlüssel. Dieser wird vom verwendeten Authentifikator geschützt.
Es muss deshalb bei der Anmeldung kein gemeinsames Geheimnis daraus gemacht werden, wie ein Passwort an den Dienst geschickt wird. Stattdessen weist das Gerät kryptografisch nach, dass der passende Schlüssel vorhanden ist.
Für Nutzer wirkt das meistens wie ein einfach Prozess und unspektakulär (meistens auch ein wenig nervig): Smartphone oder Computer fragt nach Fingerabdruck, Gesichtserkennung oder PIN. Anmeldung bestätigen. Fertig.
Der Fingerabdruck ist nicht der Passkey
Das ist ein wichtiger Unterschied. Fingerabdruck, Gesichtserkennung oder Geräte-PIN sind nicht der Passkey selbst. Sie dienen dazu, die Verwendung des Passkeys auf dem jeweiligen Gerät freizugeben.
Der Onlinedienst bekommt also nicht einfach den Fingerabdruck eines Nutzers übermittelt. Der eigentliche Anmeldevorgang basiert auf kryptografischen Schlüsseln. Das macht Passkeys nicht nur bequemer. Vor allem verändert sich dadurch eine Schwachstelle, mit der sich IT-Security seit Jahren beschäftigt.
Warum sind Passkeys gegen Phishing widerstandsfähiger?
Eine gefälschte Login-Seite kann zum verwechseln ähnlich aussehen. Logo stimmt. Farben stimmen. Eingabefelder stimmen. Wer dort Benutzername und Passwort eintippt, kann seine Zugangsdaten trotzdem direkt an einen Angreifer übergeben.
Bei Passkeys funktioniert dieses Prinzip anders.
Ein Passkey ist an den Dienst gebunden, für den er eingerichtet wurde. Er lässt sich deshalb nicht einfach wie ein Passwort auf einer gefälschten Website eingeben und anschließend vom Angreifer wiederverwenden. FIDO und Microsoft sprechen daher von phishing-resistenter Authentifizierung.
Das bedeutet allerdings nicht, dass Passkeys Phishing abschaffen. Angreifer können weiterhin versuchen, Menschen zu täuschen, Informationen abzufragen oder sie zu bestimmten Handlungen zu bewegen. Passkeys erschweren aber eine besonders verbreitete Angriffsmethode: das Abgreifen wiederverwendbarer Zugangsdaten über gefälschte Login-Seiten.
Wo liegt ein Passkey?
Nicht jeder Passkey funktioniert dabei gleich. Microsoft unterscheidet in Entra ID unter anderem zwischen synchronisierten und gerätegebundenen Passkeys:
- ein gerätegebundener Passkey wird auf einem bestimmten Gerät gespeichert. Dazu zählen beispielsweise FIDO2-Hardware-Sicherheitsschlüssel oder entsprechende Passkeys auf unterstützten Geräten.
- ein synchronisierte Passkey der private Schlüssel wird auf dem lokalen Gerät erzeugt und verschlüsselt. Anschließend kann er über einen Passkey-Provider synchronisiert werden, sodass der Passkey auf weiteren Geräten desselben Nutzers verfügbar ist. Microsoft nennt dafür beispielsweise den iCloud-Schlüsselbund und den Google Password Manager.
Das bringt einen praktischen Vorteil: Geht ein einzelnes Gerät verloren, bedeutet das bei einem synchronisierten Passkey nicht automatisch, dass auch der Zugang verloren ist.
Passkey ist also nicht gleich Passkey. Welche Variante passt, hängt auch davon ab, welche Konten geschützt werden und welche Anforderungen dafür gelten.
Ist das Passwort damit Geschichte?
Nicht jeder Dienst, jedes Gerät und jede Unternehmensumgebung unterstützt Passkeys bereits vollständig.
In der Praxis wird die Umstellung deshalb meist schrittweise erfolgen und klassische Passwörter oder andere Anmeldeverfahren werden noch eine Zeit lang parallel bestehen. Damit ist die Einführung von Passkeys aber nicht einfach erledigt, sobald die neue Anmeldeoption aktiviert wurde.
Unternehmen müssen auch festlegen, wie der Zugang funktioniert, wenn ein Gerät verloren geht oder ersetzt wird, welche Alternative im Notfall zur Verfügung steht und ob für besonders sensible Konten andere Anforderungen gelten.
Passkeys sind damit ein wichtiger Baustein für eine sicherere Anmeldung, aber eben nur ein Teil des gesamten Identity Managements. Berechtigungen müssen weiterhin sauber vergeben und entzogen, Konten über ihren gesamten Lebenszyklus verwaltet und Geräte entsprechend geschützt werden. Auch Wiederherstellungsprozesse gehören dazu, damit ein verlorenes Smartphone oder ein nicht mehr verfügbarer Sicherheitsschlüssel nicht plötzlich zum Zugangshindernis wird.
Berechtigungen müssen weiterhin verwaltet werden. Konten müssen eingerichtet und wieder entfernt werden. Geräte müssen geschützt sein, auch für verlorene oder nicht mehr verfügbare Authentifizierungsmethoden braucht es einen funktionierenden Prozess.
Fazit: Das Passwort hat nicht ausgedient.
Passkeys werden Passwörter nicht von heute auf morgen ersetzen. Sie verändern aber grundlegend, wie eine sichere Anmeldung funktionieren kann: Statt ein Passwort einzugeben, das abgefangen oder auf einer gefälschten Website preisgegeben werden könnte, erfolgt die Anmeldung über einen kryptografisch geschützten Schlüssel.
Für Unternehmen ist deshalb nicht nur die Technik entscheidend, sondern auch die Vorbereitung. Welche Nutzer sollen zuerst umgestellt werden? Welche Passkey-Variante passt zu welchem Konto? Und was passiert, wenn ein Gerät verloren geht oder ersetzt werden muss?
Wer diese Fragen früh klärt, schafft die Grundlage für eine sichere und zugleich einfachere Anmeldung. Das Passwort verschwindet damit nicht sofort.
