Für den Unterricht: Von der Caesar-Scheibe über das Vorhängeschloss bis zum Passkey, als Foliensatz für die Klassen 4 bis 8. Geheimbotschaften und der Zauberschlüssel →
Passwörter haben drei Probleme, die sich nicht wegerziehen lassen. Wir benutzen sie mehrfach, weil sich niemand hundert verschiedene merken kann. Wir tippen sie auf Seiten ein, die echt aussehen, aber gefälscht sind. Und selbst wenn wir alles richtig machen, liegen sie beim Anbieter, und der kann gehackt werden.
Passkeys lösen alle drei auf einmal. Nicht, weil sie bessere Passwörter wären, sondern weil es kein Geheimnis mehr gibt, das man eintippen, verraten oder stehlen könnte.
Anmeldung = Rätsel + Unterschrift, statt Geheimnis + Hoffnung
Was ist ein Passkey?
Ein Passkey ist ein Schlüsselpaar, das dein Gerät für genau ein Konto auf genau einer Website erzeugt. Der Standard dahinter heißt FIDO2 beziehungsweise WebAuthn, entwickelt von der FIDO Alliance. Apple, Google und Microsoft unterstützen ihn seit 2022 auf breiter Front.
Das Prinzip kennst du vom Vorhängeschloss: Du verteilst offene Schlösser an alle. Zuschnappen lassen kann jeder, aufschließen nur du mit deinem Schlüssel. Bei Passkeys bekommt die Website das offene Schloss, den öffentlichen Schlüssel. Den geheimen Schlüssel behält dein Gerät. Mathematisch ist es eine Unterschrift: Nur der geheime Schlüssel kann sie erzeugen, jeder mit dem öffentlichen kann sie prüfen.
// Was beim Anmelden mit Passkey passiert
Wichtig ist Schritt 3: Fingerabdruck oder Gesicht entsperren nur dein Gerät. Sie werden nicht an die Website geschickt und nirgends gespeichert außer auf dem Gerät selbst.
Warum das sicherer ist
| Passwort | Passkey | |
|---|---|---|
| Phishing | Du tippst es auf der falschen Seite ein, weg ist es | Passt nur zur echten Adresse, das prüft das Gerät |
| Datenleck beim Anbieter | Angreifer bekommen Passwort-Prüfsummen und können schwache Passwörter knacken | Angreifer bekommen nur öffentliche Schlüssel, damit kann man nichts anfangen |
| Wiederverwendung | Ein geknacktes Passwort öffnet viele Konten | Jedes Konto hat seinen eigenen Schlüssel |
| Erraten | Kurze oder bekannte Passwörter werden durchprobiert | Nichts zu erraten |
| Merken | Mühsam, also wird es einfach gemacht | Nichts zu merken |
Der wichtigste Punkt ist der erste. Gegen Phishing hilft beim Passwort nur Aufmerksamkeit, und Aufmerksamkeit hat Lücken. Beim Passkey entscheidet nicht der Mensch, ob die Seite echt ist, sondern das Gerät. Probier es aus:
// Phishing-Test · Passwort gegen Passkey
Du klickst auf einen Link in einer E-Mail. Welche Seite öffnet sich?
Wie meldest du dich an?
Wie benutzt man Passkeys?
- In den Kontoeinstellungen eines Dienstes unter „Sicherheit“ oder „Anmeldung“ nach „Passkey erstellen“ suchen. Viele Dienste bieten es nach der nächsten Anmeldung auch von selbst an.
- Das Gerät fragt nach Fingerabdruck, Gesicht oder PIN. Fertig, der Passkey ist angelegt.
- Beim nächsten Mal statt des Passworts einfach „Mit Passkey anmelden“ wählen und entsperren.
Wo liegt der Passkey? In der Schlüsselverwaltung deines Geräts oder deines Passwort-Managers: im iCloud-Schlüsselbund, im Google Passwortmanager, in Windows Hello oder in Programmen wie 1Password und Bitwarden. Bei den meisten werden Passkeys verschlüsselt zwischen deinen eigenen Geräten synchronisiert, sodass der neue Laptop sie automatisch kennt.
Auf einem fremden Rechner zeigt die Anmeldeseite einen QR-Code. Du scannst ihn mit dem Handy, bestätigst dort, und der Rechner ist angemeldet. Das Handy muss dabei in der Nähe sein, das wird per Bluetooth geprüft. So kann niemand aus der Ferne einen solchen Code für sich nutzen.
Wer es ganz sicher will, nimmt einen Sicherheitsschlüssel zum Anstecken. Darauf liegt der Passkey fest und lässt sich nicht kopieren.
Was machen Apps und Dienste mit Passkeys?
- Sie speichern nur deinen öffentlichen Schlüssel und eine Kennung. Eine Passwort-Datenbank, die sich stehlen ließe, gibt es für dieses Konto nicht mehr.
- Bei jeder Anmeldung schicken sie ein neues, zufälliges Rätsel und prüfen die Unterschrift. Eine abgefangene Antwort nützt beim nächsten Mal nichts.
- Viele behalten das Passwort zunächst als Notausgang. Das ist bequem, aber solange es existiert, kann man auch darüber angreifen. Wo ein Dienst es erlaubt, lohnt es sich, das Passwort danach abzuschalten oder wenigstens sehr lang und einmalig zu machen.
- Für den Fall, dass alle Geräte weg sind, bieten Dienste Wiederherstellungscodes oder einen zweiten Weg an. Den sollte man einrichten, bevor man ihn braucht.
Worauf du achten solltest
- Mehr als ein Gerät: Entweder werden Passkeys synchronisiert, oder du legst für wichtige Konten einen zweiten Passkey an, etwa auf einem Sicherheitsschlüssel.
- Das Konto, das alles synchronisiert, besonders schützen: Wer Zugriff auf deinen Apple-, Google- oder Passwort-Manager-Zugang hat, kommt an die synchronisierten Passkeys. Dieser eine Zugang verdient die beste Absicherung.
- Umzug zwischen Anbietern: Passkeys von einem Passwort-Manager in einen anderen zu übertragen, war lange schwierig. Die FIDO Alliance hat dafür einen gemeinsamen Standard geschaffen, den die großen Anbieter nach und nach einbauen.
- Nicht jeder Dienst ist so weit. Für die übrigen bleibt ein Passwort-Manager mit langen, einmaligen Passwörtern und einem zweiten Faktor die beste Wahl.
Das sicherste Geheimnis ist eines, das man nicht verraten kann. Ein Passkey ist genau das: Er bleibt auf deinem Gerät und passt nur in die richtige Tür.
Wie das Schloss im Browser und die Ausweise von Websites funktionieren, steht in Wie ich nie wieder ein abgelaufenes Zertifikat verpasse.