Sicherer Login mit Passkey

Ein Internet ganz ohne Passwörter und ohne Phishing – das kann mit der Passkey-Technologie gelingen. Immer mehr Online-Dienste wie Google, Amazon und PayPal bieten diese Funktion für die Anmeldung an. Doch Passkeys sind noch nicht im Alltag der Menschen angekommen. Viele Nutzerinnen und Nutzer kennen die Passwort-Alternative nicht oder haben Fragen zu der neuen Technologie. Wir erklären, wie Passkeys funktionieren, wie man sie nutzen kann und welche Anbieter sie bereits verwenden.

Account ohne Passwort

Monika R. sitzt zuhause an ihrem Rechner und möchte Fotos in ihr Google Drive Konto hochladen, um sie später mit Freunden zu teilen. „Als sie sich mit ihren Benutzerdaten einloggen möchte, wird sie gefragt, ob sie „Passkey verwenden?“ möchte. Da sie sich damit nicht auskennt, ignoriert sie die Aufforderung und meldet sich stattdessen wie gewohnt mit ihrem Passwort an. Diese Situation kommt wahrscheinlich einigen Internetnutzerinnen und -nutzern bekannt vor. Denn wer sich in seinem Google-, Apple- oder Microsoft-Konto einloggen möchte, wird neuerdings immer eindringlicher zur passwortlosen Authentifikation und zur Anmeldung über einen sogenannten Passkey (übersetzt: „Hauptschlüssel“) aufgefordert. Das Versprechen dahinter: Man muss sich nicht mehr für jeden einzelnen Onlinedienst Abfolgen von Buchstaben, Ziffern und Zeichen als Passwort merken. Zudem sollen Passkeys im Gegensatz zu Passwörtern sicher gegen den Diebstahl von Benutzerdaten (Phishing) sein. Mussten Nutzerinnen und Nutzer bisher noch selbst aktiv werden, um Passkeys zu aktivieren, etwa in den Sicherheitseinstellungen bei Google-Diensten, bekommt man nun immer öfter die direkte Aufforderung, einen solchen „Hauptschlüssel“ zu erstellen und zu verwenden. Viele Nutzerinnen und Nutzer wissen nicht, ob und wie sie auf das neue Anmeldeverfahren umsteigen sollen. Können uns Passkeys tatsächlich der Schlüssel für eine passwortlose Zukunft sein?

Wie Passkeys funktionieren

Bei Passkeys gibt es keine Passwörter mehr, die in die falschen Hände fallen können. Das Prinzip: Anstelle eines Passworts wird auf dem Smartphone oder dem Rechner ein digitaler Schlüssel (Kryptoschlüssel) abgelegt. Dieser Schlüssel besteht aus einer langen, zufällig generierten Zeichenfolge. Im Gegensatz zu Passwörtern bleibt dieser private Schlüssel allein bei den Nutzerinnen und Nutzern gespeichert. Der jeweilige Online-Dienst, zum Beispiel Amazon, lagert auf seinem Server nur das Gegenstück, einen sogenannten öffentlichen Schlüssel. Selbst wenn dieser bei Datenlecks abgefischt wird, lässt sich daraus nicht der private Schlüssel ableiten. Per „digitalem Handschlag“ können die beiden Softwareschnipsel abgleichen, ob die Anmeldung berechtigt ist. Der große Vorteil für Nutzerinnen und Nutzer: Im Gegensatz zum Passwort muss man sich den Passkey nicht selbst merken. Das übernehmen der Computer oder das Smartphone. Nutzerinnen und Nutzer müssen also nichts mehr eintippen. Sie melden sich stattdessen per Fingerabdruck-Scan oder Gesichtserkennung an. Im Hintergrund sendet der Online-Dienst, bei dem man sich einloggen möchte, bestimmte Daten an den eigenen Rechner oder das Smartphone. Man spricht dabei auch von einer Aufgabe (Challenge). Das Gerät löst die Aufgabe, indem es die Challenge mit dem privaten Schlüssel digital signiert und zurück an den Dienst schickt. Anhand der digitalen Signatur kann der Webdienst zweifelsfrei feststellen, dass die Challenge mit dem eigenen privaten Schlüssel signiert wurde. Kurz gesagt: Man beweist dem Online-Dienst, dass man den privaten Schlüssel besitzt, ohne den Schlüssel preiszugeben. Der Passkey bleibt geheim und wird sicher auf dem Endgerät gespeichert – in der Regel in einem sicheren Speicherbereich wie einem Krypto-Chip. Falls Kriminelle die persönliche Passkey-Verwaltung in die Finger bekommen sollten, können sie damit nichts anfangen. Denn die Schlüssel allein funktionieren nicht ohne den jeweils dazugehörigen Fingerabdruck- oder Gesichts-Scan. Wichtig ist jedoch: Für ein optimales Funktionieren und aus Sicherheitsaspekten sollte man das Betriebssystem und den Browser unbedingt immer auf dem neusten Stand halten.

So erstellt man einen Passkey

Zur Erstellung und Verwaltung von Passkeys sind die meisten aktuellen Smartphones und Computer geeignet. Internet-Dienste, die das Anmelden mit einem Passkey anbieten, führen Nutzerinnen und Nutzer in der Regel Schritt für Schritt durch die Einrichtung:

• Falls noch nicht geschehen, registriert man sich auf der Webseite, in der App oder dem Dienst zunächst wie gewohnt mit seinen persönlichen Daten wie Benutzername, E-Mail oder Telefonnummer.
• Anschließend meldet man sich mit diesen Benutzerdaten auf der Webseite oder in der App an und tippt auf „Passkey erstellen“ oder „Passkey einrichten“. Wird man nicht automatisch dazu aufgefordert, findet man die Funktion im Bereich „Einstellungen“, „Konto“ oder „Sicherheit“)
• Anschließend bestätigt man das Speichern des Passkeys per Fingerabdruck oder Gesichtsscan. Zum Speichern und Verwalten benötigt man ein Gerät oder ein Programm – einen so genannten Authenticator. Das kann zum Beispiel ein FIDO2-Stick sein (ein spezielles Gerät ähnlich wie ein USB-Stick), ein Programm auf dem Computer (z. B. Passwort-Manager) oder eine Authenticator-App auf dem Smartphone. Einen FIDO2-Stick kann man online oder im Fachhandel für etwa 20 bis 100 Euro kaufen und über eine USB-Schnittstelle mit seinem Endgerät verbinden.
• Um sich bei einem Online-Dienst anzumelden, für den ein Passkey eingerichtet wurde, kann man seine Identität von nun an bequem per Fingerabdruck, Gesichtsscan oder durch die Eingabe einer PIN bestätigen.