Was sind Passkeys und warum will das jetzt jeder Dienst aktivieren?

Immer öfter möchten Webseiten und Dienste, wie zum Beispiel Outlook.com, statt einem Passwort einen sogenannten Passkey einrichten. Doch kaum jemand erklärt einfach und verständlich, was das eigentlich genau ist und warum wir das statt der gewohnten Passwörter nutzen sollten. In diesem Beitrag möchte ich Licht ins Dunkel bringen und erklären, warum wir uns bald vielleicht keine Passwörter mehr merken müssen.

Benutzername und Passwort: Eine alte, unsichere Methode

Jeder kennt das: Du registrierst dich, zum Beispiel bei Spotify, und wirst nach einem Benutzernamen und einem Passwort gefragt. In der Regel nimmst du dafür deine E-Mail-Adresse und – im besten Fall – ein von einem Passwortmanager generiertes Passwort. Und schon kann es losgehen.

Aber Vorsicht! Genau hier liegt das Problem. Irgendwann wird vielleicht eine Datenbank gehackt und genau diese Kombination gestohlen. Im schlimmsten Fall verlierst du den Zugang zu deinem Account. Das will niemand.

2 Faktor Authentifizierung zur Rettung!

Um dieser alten Methode mehr Sicherheit zu geben, wurde die Zwei-Faktor-Authentifizierung (2FA) erfunden. Wenn jemand deinen Benutzernamen und dein Passwort erraten oder gestohlen hat, greift ein weiterer Schutzmechanismus: der zweite Faktor.

Dazu muss nach dem Einloggen noch eine meist sechsstellige Zahlenkombination eingegeben werden. Diese wird per SMS verschickt (was eher unsicher ist) oder in einer App wie Ente Auth generiert. Dieser zweite Faktor ändert sich ständig und kann von Hackern nicht einfach erraten werden. Doch das Grundproblem bleibt: Um sich einloggen zu können, hantierst du immer noch mit der alten Methode – Benutzername und Passwort.

Darf ich vorstellen? Passkeys

Wie schon bei der “2FA” haben schlaue Köpfe eine neue Möglichkeit erfunden, um Logins sicher zu machen – diesmal aber viel bequemer. Alles, was du dir merken musst, ist dein Benutzername (meist deine E-Mail-Adresse).

So funktioniert die Magie: Anstatt dass du ein Passwort eintippst, passiert Folgendes:

1. Die Erstellung: Wenn du einen Passkey einrichtest, erstellt dein Gerät ein sogenanntes kryptografisches Schlüsselpaar. Ein Schlüssel ist öffentlich und wird beim Dienst (z.B. Google oder Amazon) hinterlegt. Der andere Schlüssel ist privat und verlässt niemals dein Gerät.
2. Der Login: Wenn du dich einloggen willst, stellt der Server deinem Gerät eine Art mathematisches Rätsel. Dein Gerät löst dieses Rätsel mit dem privaten Schlüssel.
3. Die Freigabe: Damit das passiert, musst du den Vorgang nur kurz bestätigen – und zwar so, wie du auch dein Handy entsperrst: per Gesichtserkennung, Fingerabdruck oder PIN.

Bild (c) Proton

Warum ist das besser?

Passkeys haben entscheidende Vorteile gegenüber Passwörtern:

• Keine Übertragung: Da dein privater Schlüssel dein Gerät nie verlässt, kann er bei einem Server-Hack auch nicht gestohlen werden. Der Server hat nur den “öffentlichen” Teil, der für Hacker nutzlos ist, um sich als du auszugeben.
• Schutz vor Phishing: Passkeys funktionieren nur auf der echten Original-Webseite. Solltest du auf eine gefälschte Phishing-Mail hereinfallen, wird dein Gerät den Login verweigern, weil es erkennt, dass es die falsche Seite ist.
• Bequemlichkeit: Nie wieder komplizierte Zeichenfolgen eintippen oder “Passwort vergessen” klicken. Finger drauf, drin.

Wenn Passkeys so viel besser sind, warum werden sie nicht ab sofort überall eingesetzt?

So schön die Theorie klingt, in der Praxis gibt es noch einige Hürden. Das System funktioniert fantastisch, solange du dich in einem Ökosystem bewegst. Aber sobald es komplizierter wird, steigt der Aufwand:

• Das Problem mit den verschiedenen Geräten: Ein Passkey, der auf deinem Smartphone gespeichert ist, synchronisiert sich nicht automatisch mit deinem Windows-PC. Willst du dich am PC einloggen, musst du oft einen QR-Code auf dem Bildschirm mit deinem Handy scannen, um die Freigabe zu erteilen. Das ist zwar sicher, aber ein zusätzlicher Schritt, der nerven kann.
• Biometrie ist Pflicht (oder Hardware): Nicht jeder PC hat einen Fingerabdruckscanner oder eine Gesichtserkennung. Wenn diese Hardware fehlt, musst du entweder eine PIN nutzen oder – für maximale Sicherheit – einen Hardware-Stick (wie einen YubiKey) verwenden. Das Problem: Diesen Stick musst du dann immer physisch dabei haben. Vergisst du ihn zu Hause, bleibst du ausgesperrt.
• Der Zwang zum “Passkey-Manager”: Früher konnten sich Menschen, die keinen Passwort-Manager nutzen wollten, ihre Passwörter einfach (wenn auch unsicher) merken oder auf einen Zettel schreiben. Das geht bei Passkeys nicht mehr. Ein Passkey ist eine komplexe kryptografische Datei. Das bedeutet: Wer bisher keinen Passwort-Manager (wie Bitwarden oder den integrierten Manager deines Browsers) genutzt hat, muss jetzt zwingend einen verwenden. Ohne digitale Hilfe gibt es keinen Login mehr. Das ist für viele eine große Umstellung.
• Ökosystem-Wechsel: Möchtest du weg von einem iOS Gerät und nutzt Apples Schlüsselbund-System, bist du in Apples Falle getappt und dich an den Hersteller gebunden. Es gibt schlicht (noch) keine Möglichkeit Passkeys einfach zu exportieren und dann wieder woanders zu importieren. Deshalb müsstest du dich bei jedem Dienst mit Passkey anmelden und diesen dann auf dem neuen Gerät neu generieren.

Passwort Manager zur Rettung!

Viele Leute fragen mich, warum ich nicht den Google Passwort Manager verwende oder diverse andere, Hersteller spezifische Angebote. Genau aus dem vorher beschriebenen Grund – wobei es bei Apple am schlimmsten ist: Ich möchte mich nicht so tief an einen Anbieter binden. Was ist, wenn der plötzlich weg ist, kostenlose Dinge kostenpflichtig werden, etc?

Genau deshalb nutze ich für meine 2 Faktor Auth-Schlüssel Ente-Auth und für meine Passwörter und Passkeys Bitwareden mit meinem selbst gehosteten Bitwarden Server Vaultwarden. Und das ist genau der Weg, den jeder gehen sollte.

Auch, wenn du keinen eigenen Server betreibst, kannst du super einfach bei Bitwarden ein persönliches, kostenloses Konto erstellen oder 10$ im Jahr für den Premium Plan bezahlen. Egal ob iOS, Android, Windows, MacOS oder Linux: Bitwaren läuft überall und verwaltet dann deine Passwörter und Passkeys. Du bist nicht an Apple und Co. gebunden. Und möchtest du weg von Bitwarden und zu 1Password um ein Beispiel zu kennen, kannst du deine Bibliothek einfach exportieren und woanders importieren. Einfach.

Fazit: Warum jetzt?

Die großen Tech-Giganten wie Apple, Google und Microsoft pushen diese Technologie jetzt massiv. Sie ist sicherer für die Anbieter und bequemer für die Nutzer. Auch wenn die Umstellung erst einmal ungewohnt wirkt: Der Passkey ist der sicherste Schlüsselbund, den du je hattest – und du hast ihn immer dabei.