Passkey
Was ist ein Passkey?
Ein Passkey ist eine relativ neue und sichere Methode, um sich bei Websites und Apps anzumelden. Ein Passwort ist dafür nicht mehr erforderlich; stattdessen verwenden Sie einen digitalen Schlüssel, der beispielsweise auf Ihrem Smartphone, Laptop oder Tablet gespeichert ist. Der Zugriff auf diesen digitalen Schlüssel wird beispielsweise mit Ihrem Fingerabdruck, Ihrer Gesichtserkennung oder einer PIN geschützt.
Funktionsweise eines Passkeys: passwortlose Anmeldung
Bei der herkömmlichen Zugriffssicherung müssen Sie für jede Anwendung ein eindeutiges Passwort verwenden, das zudem ausreichend stark sein muss. Das erfordert viel Disziplin von den Anwendern, und selbst dann gibt es zahlreiche technische Tricks und Social-Engineering-Methoden, um Passwörter dennoch zu ermitteln. Dazu zählen Datenlecks, bei denen Passwörter entwendet werden, ebenso wie Phishing-Angriffe und Keylogger.
Diese Schwachstellen vermeiden Sie mit Passkeys. Passkeys arbeiten mit einem sicheren Verifizierungsprotokoll auf Basis der sogenannten asymmetrischen Verschlüsselung. Die Authentifizierung verwendet einen eindeutigen privaten Schlüssel auf dem Gerät des Anwenders, etwa einem Laptop oder Smartphone, der mit einem öffentlichen Schlüssel innerhalb der Anwendung zusammenarbeitet. Bei der Anmeldung fordert die Anwendung das Gerät auf, eine digitale Signatur mit dem privaten Schlüssel zu senden. Diese Signatur wird mit dem öffentlichen Schlüssel in der Anwendung verifiziert. Es werden keine Passwörter oder andere sensible Daten ausgetauscht.
Für jede Anwendung erstellen Sie einen separaten Passkey, sodass auf einem Gerät mehrere Passkeys gespeichert sein können. Passkeys werden automatisch erstellt; Sie benötigen keinen eigenen Passkey-Generator oder Ähnliches.
Sichere und benutzerfreundliche Anmeldung
Passkeys sind somit sicherer, und die passwortlose Anmeldung ist natürlich auch deutlich benutzerfreundlicher. Als Anwender müssen Sie Ihre Identität jedoch weiterhin nachweisen. Andernfalls könnte sich jeder, der unbeabsichtigt Zugriff auf Ihren Laptop oder Ihr Smartphone erhält, direkt bei Ihren Anwendungen anmelden. Moderne Endgeräte verfügen glücklicherweise über biometrische Authentifizierung wie Fingerabdruckscanner oder Gesichtserkennung. Damit ist diese Verifizierung sehr einfach. Sobald Ihr Fingerabdruck oder Gesichtsscan bestätigt wurde, können Sie sich automatisch mit Ihrem Passkey anmelden.
Das oben beschriebene Szenario ist der Idealfall. Unterstützt ein Laptop oder Smartphone keine biometrische Verifizierung? Dann können Sie eine PIN oder ein Passwort verwenden. Die Verifizierung bleibt dennoch relativ einfach, denn es handelt sich um einen Code für Ihr Gerät, unabhängig davon, wie viele Passkeys Sie verwenden. Zudem darf dieser Code relativ einfach sein. Die PIN oder das Passwort bleibt intern auf dem Gerät, und das System verhindert unbegrenzt viele Wiederholungsversuche. Das Risiko, dass Ihre PIN oder Ihr Passwort durch Phishing oder einen Brute-Force-Angriff gestohlen wird, ist minimal.
Passkey-Beispiel
Wie funktioniert dies in der Praxis? Im Folgenden zeigen wir, wie Sie einen Passkey verwenden können, um beispielsweise Zugriff auf ein GitHub-Konto zu erhalten. Sie verwenden diesen Passkey auf einem Windows-Laptop mit biometrischer Windows-Hello-Authentifizierung. Um einen Passkey zu verwenden, muss dieser zunächst einmalig erstellt werden. Anschließend können Sie ihn unbegrenzt zur Anmeldung verwenden.
Passkey erstellen, einmalig
Rufen Sie github.com auf und melden Sie sich auf reguläre Weise mit Ihrem Benutzernamen und Passwort an.
Navigieren Sie anschließend zu „Settings“ und dort zu „Password and authentication“.
Scrollen Sie zu „Passkeys“ und wählen Sie „Add a passkey“.
Es erscheint eine Eingabeaufforderung, in der Sie „Windows Hello verwenden“ auswählen.
Sie können sich nun über Windows Hello authentifizieren, beispielsweise mit Ihrem Gesicht oder Fingerabdruck.
Anschließend wird der Passkey automatisch erstellt und auf Ihrem Laptop gespeichert.
Auf Ihrem Laptop ist nun ein neuer Passkey gespeichert, der mit Ihrem Windows-Hello-Profil verknüpft ist. Dieser Passkey kann künftig zur Anmeldung bei Ihrem GitHub-Konto verwendet werden.
Alle installierten Passkeys, sowohl den neuen als auch bereits erstellte, finden Sie unter Windows-Einstellungen > Konten > Passkeys.
Passkey zur Anmeldung verwenden, unbegrenzt
Anschließend können Sie diesen Passkey verwenden, um sich bei Ihrem GitHub-Konto anzumelden:
Rufen Sie github.com auf und klicken Sie auf „Sign in“.
Wählen Sie „Sign in with a passkey“ aus.
Windows zeigt nun die Eingabeaufforderung „Ihren Passkey mit Windows Hello verwenden?“ an.
Bestätigen Sie mit Ihrem Gesicht, Fingerabdruck oder Ihrer PIN. Bei erfolgreicher Verifizierung sind Sie sofort angemeldet.
Künftig benötigen Sie also keinen Benutzernamen und kein Passwort mehr. Tatsächlich melden Sie sich nun mit Multi-Faktor-Authentifizierung, MFA, an. Sie beginnen mit etwas, das Sie sind , mittels Fingerabdruck oder Gesichtsscan, oder wissen , der PIN. Damit aktivieren Sie den Passkey auf Ihrem Gerät, etwas, das Sie besitzen, und erhalten damit Zugriff auf Ihr Konto.
Das obige Beispiel bezieht sich auf GitHub. GitHub gehört zu der wachsenden Zahl von Anwendungen, die Passkeys unterstützen. Microsoft unterstützt selbstverständlich ebenfalls Passkeys, und Sie können beispielsweise auch Microsoft 365 über einen Passkey mit Ihrem Laptop verknüpfen.
FIDO, der Passkey-Standard
Immer mehr Anwendungen unterstützen Passkeys, ihre Nutzung ist jedoch noch nicht universell. Die FIDO Alliance fördert ihre Verbreitung. In dieser Organisation arbeiten große Technologieunternehmen wie Microsoft, Google und Apple zusammen. FIDO steht für Fast IDentity Online und bietet eine Reihe von Standards, welche passwortlose Anmeldemethoden technisch ermöglichen.
Der ursprüngliche FIDO-Standard besteht bereits seit 2013, kürzlich wurde jedoch ein Update veröffentlicht, FIDO2. Damit können Sie unter anderem Passkeys auf Laptops und Smartphones verwenden und Anwender dabei mit biometrischen Methoden verifizieren. FIDO2 umfasst mehrere technische Protokolle:
WebAuthn. Dies ist der Standard des World Wide Web Consortiums, W3C, für die passwortlose Remote-Anmeldung. Damit steht ein standardisiertes Anmeldeprotokoll zwischen Endgeräten und Remote-Anwendungen zur Verfügung.
CTAP. Diese Abkürzung steht für Client to Authenticator Protocol. Passkeys auf Endgeräten sind nicht die einzige Option für die passwortlose Anmeldung. Anwender können auch Hardware-Schlüssel wie YubiKey verwenden. Einen solchen Schlüssel können Sie beispielsweise über den USB-Anschluss mit einem Laptop verbinden und anschließend als Authenticator für die Anmeldung nutzen. CTAP standardisiert den Datenaustausch zwischen Hardware-Authenticators und Endgeräten.
Natürlich nutzen Unternehmen wie Microsoft, Google und Apple die FIDO-Standards selbst aktiv. Zuvor haben wir bereits ein Passkey-Beispiel auf einem Windows-Laptop vorgestellt. Auch auf Apple-Geräten können Sie Passkeys verwenden, wobei sich Anwender mit Face ID oder Touch ID verifizieren. Android-Geräte unterstützen Passkeys, die mit Google-Konten verknüpft sind. Mit Passkeys können Sie selbstverständlich zahlreiche Anwendungen von Apple, Google und Microsoft nutzen, aber auch immer mehr andere Anwendungen unterstützen schrittweise Passkeys. GitHub wurde bereits als Beispiel genannt, auch Adobe unterstützt Passkeys.
Erweiterte Passkey-Szenarien
Das vorherige Passkey-Beispiel war ein Basisszenario; Sie melden sich mit einem Passkey an, der auf demselben Gerät installiert ist. Dies wird vermutlich auch das am häufigsten genutzte Szenario sein, aber es sind deutlich mehr Passkey-Szenarien möglich. Wir nennen zwei Beispiele:
Sie können Passkeys über die Cloud zwischen Geräten synchronisieren. Dann können Sie sich von mehreren Geräten aus mit demselben Passkey bei derselben Anwendung anmelden. In der Verwaltung ist dies deutlich einfacher, als für jedes Gerät einen separaten Passkey erstellen zu müssen.
Sie können Passkeys auf Ihrem Smartphone auch als Authenticator verwenden. Möchten Sie sich beispielsweise von einem Gerät anmelden, auf dem Ihr Passkey nicht gespeichert ist? Vielleicht nutzen Sie kurz den Laptop einer anderen Person? Dann zeigt das Anmeldefenster einen QR-Code an. Diesen können Sie mit Ihrem Smartphone scannen und sich direkt mit dem Passkey auf Ihrem Smartphone anmelden.
Vorteile von Passkeys
Im Vergleich zur herkömmlichen Anmeldung mit Passwörtern bieten Passkeys vor allem Vorteile. Einige davon wurden bereits genannt, nachfolgend finden Sie die wichtigsten Punkte:
Bessere Sicherheit. Die Benutzerverifizierung erfolgt mithilfe eines kryptografischen Handshakes zwischen der Anwendung und dem Endgerät. Es werden keine Passwortdaten ausgetauscht, und Phishing-Methoden können nicht eingesetzt werden, um Zugangsdaten zu kopieren. Sie verwenden für jede Anwendung einen eindeutigen Passkey.
Benutzerfreundlich. Die Anmeldung mit einem Passkey erfolgt ohne lange Passwörter, und Sie müssen höchstens eine PIN eingeben. In den meisten Fällen können Sie Ihren Fingerabdruck oder Ihre Gesichtserkennung verwenden.
Weniger Passwörter. Die Zahl der Anwendungen, die Passkeys unterstützen, steigt schnell. Das bedeutet, dass Sie immer weniger Passwörter verwalten und sich merken müssen.
Plattformunabhängig. Es stehen sichere Methoden zur Verfügung, um Ihre privaten Schlüssel über die Cloud auf mehreren Geräten zu synchronisieren.
Mit Passkeys verfügen Sie automatisch über Multi-Faktor-Authentifizierung. Sie melden sich mit etwas an, das Sie sind oder wissen, über Ihre PIN oder biometrische Erkennung, und der Passkey ist auf etwas installiert, das Sie besitzen, Ihrem Gerät.
Passkey-Nutzung in Ihrer IAM-Umgebung
Für die persönliche Nutzung sind Passkeys somit ideale Ersatzlösungen für Passwörter. Auch in Unternehmensnetzwerken gibt es mehrere Möglichkeiten, Ihr Zugriffsmanagement sicherer und benutzerfreundlicher zu gestalten. Dabei sind jedoch zusätzliche Aspekte zu beachten. In einer Unternehmensumgebung müssen Sie die Verwaltung von Passkeys zentral organisieren. Normalerweise provisionieren Sie Konten und Berechtigungen beispielsweise an Ihren Identity Provider, IdP, wie AD oder Entra ID, sowie an Zielsysteme. Da Passkeys auf Endgeräten gespeichert werden, muss nun die Integration mit Ihrem Device-Management-System berücksichtigt werden. Dies macht Ihr Zugriffsmanagement sicherer und für Anwender einfacher, kann das Identity Management jedoch komplexer gestalten.
Es ist zudem sinnvoll, die Zusammenhänge zwischen Passkeys und Konzepten wie Single Sign-On, SSO, zu berücksichtigen. Wenn Sie SSO verwenden, ist es für die angeschlossenen Anwendungen weniger naheliegend, Passkeys zu nutzen. Sie melden sich schließlich beim IdP an, und von dort steuert der SSO-Mechanismus, wer Zugriff auf welche Anwendungen erhält. Dann ist der Einsatz von Passkeys weniger offensichtlich. Gleichzeitig ist ein Passkey eine deutlich sicherere Anmeldemethode für den zentralen Zugang zu Ihrem SSO-Mechanismus. Sie müssen sich nicht mehr mit einem starken Master-Passwort anmelden, das nachweislich sicher sein muss. Stattdessen melden Sie sich einmalig mit einem Passkey an und erhalten über SSO anschließend automatisch Zugriff auf alle Ihre Anwendungen.
Mehr über Passkeys erfahren?
Aus IAM-Perspektive spielen Passkeys vor allem bei der Organisation Ihres Access Managements eine Rolle. In diesem Bereich können Sie Passkeys einsetzen, um Anwendungen abzusichern oder beispielsweise als zentralen Zugang zu Ihrem Single-Sign-On-Mechanismus. Auch Ihre Identity Provider wie Entra ID unterstützen bereits Passkeys in Kombination mit dem Authenticator auf Ihrem Smartphone. Über die Möglichkeiten werden Sie in nächster Zeit mehr erfahren.