Wie funktionieren Passkeys: Der vollständige Leitfaden für deine passwortlose Zukunft

Die Verwaltung von Passwörtern bleibt eine der größten Herausforderungen im Bereich IT-Sicherheit. Viele Unternehmen und Nutzer:innen suchen nach Alternativen, um Risiken durch Passwortdiebstahl zu minimieren. In diesem Kontext gewinnen Passkeys stetig an Bedeutung. Immer mehr große Technologiekonzerne möchten ihre Anwender:innen dazu bewegen, Passkeys statt klassischer Passwörter zu nutzen. Doch was steckt technisch dahinter, wie funktionieren Passkeys und was solltest du als Nutzer:in wissen?

Passwörter versus Passkeys

Ein klassisches Passwort wird von der Website oder App, auch als „relying party“ bezeichnet, im Identitätsmanagementsystem gespeichert. Bei jeder Anmeldung musst du dein Passwort erneut übertragen. Für diese Systeme gelten Passwörter als geteiltes Geheimnis. Dadurch entstehen Risiken, etwa durch Phishing-Angriffe oder Datendiebstahl. Viele schwerwiegende Datenlecks der Vergangenheit wurden durch kompromittierte Passwörter ausgelöst.

Im Gegensatz dazu speichert ein Passkey dein „Geheimnis“ nicht auf der Plattform. Die Passkey-Technologie basiert auf Zero Knowledge Authentication (ZKA). Der Betreiber des Dienstes kennt dein privates Geheimnis nicht. Statt das Passwort zu übertragen, beweist du lediglich, dass du im Besitz der benötigten Zugangsinformation bist. Das reduziert die Gefahr, dass sensible Informationen kompromittiert werden.

Public-Key-Kryptographie als Fundament

Passkeys nutzen Public-Key-Kryptographie. Jedes Passkey-Paar besteht aus einem öffentlichen und einem privaten Schlüssel. Der öffentliche Schlüssel kann frei verteilt, aber nicht zur Entschlüsselung genutzt werden. Der private Schlüssel bleibt ausschließlich in deinem Besitz. Will jemand eine verschlüsselte Nachricht senden, nutzt er den öffentlichen Schlüssel. Nur du kannst die Nachricht mit dem privaten Schlüssel entschlüsseln.

Digitale Signaturen sind ein weiteres zentrales Element. Nachrichten werden mit dem privaten Schlüssel signiert, damit die „relying party“ prüfen kann, ob du tatsächlich Zugriff auf das zugehörige, geheime Element hast. Der eigentliche private Schlüssel verlässt dabei nie dein Gerät. So können Passkeys den Authentifizierungsprozess absichern, ohne vertrauliche Daten zu teilen.

Passkey-Workflows und Herausforderungen

In der Praxis müssen Nutzer:innen einige Passkey-Workflows verstehen: Zuerst erfolgt die Entdeckung und Aktivierung der Passkey-Funktion. Hier unterscheiden sich Online-Dienste oftmals stark im Wording und der Implementierung. Anschließend registrierst du deinen Passkey bei der jeweiligen Plattform. Für jede Anmeldung nutzt du den Passkey, und schließlich kannst du ihn auch wieder löschen – etwa bei Gerätewechsel oder Kontoschließung.

Technisch bilden WebAuthn und der von der FIDO Alliance entwickelte CTAP-Standard die Basis für Passkeys. WebAuthn ist der etablierte Standard für passwortlose Logins im Web. Der FIDO2-Standard erweitert diesen Ansatz und sorgt für eine nutzer:innengerechte Authentifizierung. Geräte wie Laptops, Smartphones oder Sicherheitsschlüssel dienen als Authenticator und speichern beziehungsweise verarbeiten die Schlüsselpaare. Plattform-Authenticators sind dabei direkt ins Betriebssystem integriert, während „roaming authenticators“, etwa Hardware-Keys wie Yubikey, plattformunabhängig genutzt werden können.

Herausforderungen ergeben sich durch unterschiedliche Begriffe und Schnittstellen. Je nach Anbieter variieren die Nutzer:innenerfahrung, die Integration in Browser oder Apps sowie die Handhabung in Passwortmanagern. Die Standards adressieren viele dieser Aspekte, allerdings ist die Umsetzung noch nicht überall konsistent.

Mit Passkeys steht eine zukunftsfähige, passwortlose Alternative bereit. Wer sich über die technischen Grundlagen informiert, den Aufbau versteht und passende Authenticator-Lösungen wählt, kann von höherer Sicherheit und Komfort profitieren.

In auf dem iPhone/iPad (Safari) stehr Passkey seit iOS 16 zur Verfügung. Große Webseiten wie Amazon und eBay bieten schon länger einen Login mit diesem Sicherheitsmerkmal zur Verfügung.

Via: https://www.zdnet.com

Den Beitrag in unserem Forum kommentieren