Erklärung
Bei einem Passkey wird für jeden Dienst ein Schlüsselpaar erzeugt. Der private Schlüssel bleibt auf dem Gerät oder in einem Schlüsselspeicher, der öffentliche liegt beim Dienst. Zur Anmeldung wird eine Herausforderung durch den privaten Schlüssel signiert, freigegeben durch Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das Verfahren beruht auf den Standards FIDO2 und WebAuthn.
Ein wichtiger Sicherheitsvorteil: Der Schlüssel funktioniert nur für die echte Adresse des Dienstes. Eine nachgebaute Anmeldeseite erhält keine verwertbare Anmeldung. Damit sind Passkeys gegen viele Formen von Phishing geschützt, die bei Passwörtern und Einmalcodes funktionieren.
Grenzen bestehen in der Verbreitung, im Umgang mit Geräteverlust und in der Wiederherstellung. Wie bei jedem Verfahren bleibt das Konto angreifbar, wenn der Wiederherstellungsweg schwach ist oder ein Gerät kompromittiert wurde.
Typisches Beispiel (schematisch)
Ein Mitarbeiter meldet sich per Fingerabdruck an. Auf einer nachgebauten Seite fordert das Gerät keine Freigabe an, weil die Adresse nicht zum registrierten Dienst passt.
Erkennung und Prävention
Passkeys oder Sicherheitsschlüssel sind besonders für Konten mit weitreichenden Rechten sinnvoll. Parallel sollten Wiederherstellungswege abgesichert und alte Anmeldeverfahren nach Möglichkeit abgeschaltet werden. Siehe auch Zwei-Faktor-Authentifizierung.
Auch gesucht als Passkey, Zugangsschlüssel, FIDO2, WebAuthn, passwortlose Anmeldung, Passkey-Anmeldung