Apple, Google und Microsoft setzen auf Passkeys, und immer mehr Websites bieten sie als Anmeldeoption an. Sie sollen Phishing erschweren und den Umgang mit Passwörtern ersetzen – bringen aber auch neue Sicherheitsfragen mit sich.
Warum Passwörter an ihre Grenzen kommen
Einzigartige Passwörter für jeden Dienst sind schwer zu merken. Werden Zugangsdaten bei einem Datendiebstahl erbeutet, tauchen sie mitunter auf Schwarzmärkten im Netz auf. Wer Passwörter wiederverwendet, riskiert zudem, dass ein Angriff auf einen Dienst auch den Zugang zu E-Mail-Konten, Bankdiensten oder sozialen Netzwerken öffnet.
Passwortmanager erleichtern den Umgang mit vielen Zugangsdaten. Sie schützen jedoch nicht zuverlässig vor Phishing und setzen voraus, dass Ihr einer zentralen Datenbank vertraut. Auch vorsichtige Nutzer:innen können dazu verleitet werden, ihr Passwort auf einer täuschend echt nachgebauten Anmeldeseite einzugeben.
Passkeys funktionieren anders: Sie verwenden ein kryptografisches Schlüsselpaar. Der öffentliche Schlüssel liegt auf dem Server des jeweiligen Dienstes, während der private Schlüssel geschützt auf Eurem Gerät gespeichert bleibt. Bei der Anmeldung weist das Gerät Eure Identität nach, ohne den privaten Schlüssel zu übertragen. Da Ihr kein Passwort eintippt, können Angreifer:innen es auch nicht auf einer gefälschten Website abfangen.
Biometrische Daten bleiben auf dem Gerät
Um einen Passkey zu verwenden, müsst Ihr das Gerät meist mit einem Fingerabdruck, einem Gesichtsscan oder einer PIN entsperren. Das bedeutet jedoch nicht, dass Eure biometrischen Daten an Apple, Google oder Microsoft weitergegeben werden.
Der Fingerabdruck oder Gesichtsscan verlässt das Gerät nicht. Er entsperrt lediglich einen geschützten Sicherheitschip, auf dem der private Schlüssel liegt. Nach der Freigabe bestätigt dieser Chip Eure Identität gegenüber der Website. Die Anbieter verwalten den verschlüsselten Speicher für Passkeys, erhalten aber nicht die biometrischen Vorlagen selbst.
Geräteschutz und Plattformwechsel bleiben wichtig
Passkeys sind nicht frei von Risiken. Statt eines online erratenen Passworts rückt der physische Zugriff auf ein entsperrtes Gerät in den Mittelpunkt. Hat eine Person Euer Gerät und kennt sie dessen PIN, könnte sie möglicherweise auf Konten zugreifen, die mit Passkeys geschützt sind. Viele Geräte verlangen allerdings für jeden Anmeldeversuch eine erneute Bestätigung.
Hinzu kommt die Bindung an bestimmte Plattformen. Passkeys sind häufig eng mit Diensten wie dem iCloud-Schlüsselbund von Apple oder dem Google Passwortmanager verknüpft. Die Synchronisierung innerhalb eines Ökosystems funktioniert meist unkompliziert. Ein Wechsel zwischen iPhone und Android kann dagegen Probleme bereiten. Ohne vorherigen Export der Passkeys besteht die Gefahr, den Zugang zu Konten zu verlieren.
Insgesamt schützen Passkeys besser als herkömmliche Passwörter, besonders vor Fernangriffen und Phishing. Die kryptografische Anmeldung verhindert ganze Angriffsmethoden, die Passwörter betreffen. Gleichzeitig müsst Ihr Gerätezugang und Plattformabhängigkeit im Blick behalten.
Der Wechsel lohnt sich, doch Passkeys sind kein Allheilmittel. Haltet Eure Geräte aktuell und schützt sie mit einer Bildschirmsperre. So verbindet Ihr die Vorteile der Passkeys mit grundlegenden Sicherheitsmaßnahmen.
