Anmelden ohne Kennwörter Passkeys statt Passwörter

Passkeys sind ein von der FIDO Alliance verabschiedeter Standard für die passwortlose Anmeldung mit einem privaten und öffentlichen Schlüssel. Neben Online-Diensten unterstützt auch Windows 11 diese Technologie. Wir zeigen in diesem Beitrag was dabei wichtig ist.

Die Technologie hinter Passkeys basiert auf asymmetrischer Kryptographie, bei der ein öffentlicher und ein privater Schlüssel zum Einsatz kommen. Der private Schlüssel bleibt auf dem Gerät des Nutzers, während der öffentliche Schlüssel sicher auf dem Server gespeichert wird. Diese Methode bietet eine robustere Sicherheit und verbessert die Nutzererfahrung, da das Merken von Passwörtern entfällt.

Funktionsweise von Passkeys

Bei der Verwendung von Passkeys erstellt das Gerät des Nutzers ein Schlüsselpaar. Der öffentliche Schlüssel wird auf dem Authentifizierungsserver registriert, während der private Schlüssel sicher auf dem Gerät gespeichert und niemals geteilt wird. Bei einem Anmeldeversuch authentifiziert das Gerät den Nutzer beispielsweise durch Biometrie oder eine PIN und verwendet den privaten Schlüssel, um eine digitale Signatur zu erstellen. Diese Signatur wird an den Server gesendet, der sie mit dem gespeicherten öffentlichen Schlüssel überprüft. Bei erfolgreicher Überprüfung gewährt der Server Zugriff.

Bildergalerie

Bildergalerie mit 5 Bildern

Vorteile von Passkeys – und das muss beim Einsatz beachtet werden

Da der private Schlüssel nie das Gerät verlässt und nicht ohne biometrische Daten oder PIN des Nutzers verwendet werden kann, minimiert sich das Risiko von Phishing und anderen Betrugsversuchen. Nutzer müssen sich keine komplexen Passwörter merken oder eingeben, was die Anmeldung vereinfacht und beschleunigt. Aktuelle Implementierungen von Passkeys sind auf eine breite Nutzung ausgelegt, was eine nahtlose Erfahrung über verschiedene Geräte und Plattformen hinweg ermöglicht.

Es gibt aber nicht nur Vorteile, sondern es gibt auch einige Nachteile oder Komplikationen beim Einsatz von Passkeys. Nicht alle Dienste unterstützen bereits Passkeys, was eine parallele Nutzung von Passwörtern und Passkeys erforderlich macht. Die Umstellung von bekannten Passwörtern auf eine neue Methode erfordert Aufklärungsarbeit und Anpassungen seitens der Nutzer. Die Sicherstellung einer zuverlässigen Methode zur Wiederherstellung des Zugangs bei Verlust des Geräts stellt eine Herausforderung dar.

Die Unterstützung für Passkeys wächst derzeit stark, da immer mehr Plattformen die Vorteile dieser Technologie erkennen und implementieren. Es wird erwartet, dass künftige Entwicklungen die Benutzererfahrung weiter verbessern und die Integration in bestehende Systeme vereinfachen werden. Initiativen wie das FIDO-Allianzprojekt und die Unterstützung durch große Technologieunternehmen treiben die Akzeptanz und Entwicklung von Passkeys voran.

Die Verbreitung von Passkeys beschleunigt sich weiter

Die Entwicklungen im Bereich Passkeys beschleunigen sich aktuell immer mehr. Trotz des gesteigerten Interesses stehen Organisationen weiterhin vor Herausforderungen, insbesondere in Bezug auf die Bildung und den Widerstand gegenüber dem Wechsel zu neuen Technologien. Microsoft hat ebenfalls bedeutende Fortschritte bei der Einführung von Passkeys gemacht. Microsoft Entra ID/Azure AD wird es Nutzern ermöglichen, sich mit gerätegebundenen Passkeys, die in der Microsoft Authenticator-App verwaltet werden, zu registrieren und anzumelden. Die Initiative wird durch verbesserte Konfigurierbarkeit für Organisationen unterstützt, die PIV/CAC nutzen, sowie durch die Einführung zusätzlicher phishing-resistenter Authentifizierungs­optionen für mobile Geräte, einschließlich FIDO2-Unterstützung für iOS- und macOS-Anwendungen.

Häufige Admin-Fragen beim Einsatz von Passkeys

Im folgenden Absatz gehen wir auf häufige Fragen, die für Admins und für Nutzer von Passkeys besonders interessant sind.

Wie integriert man Passkeys in bestehende Authentifizierungsinfrastrukturen?

Integration erfolgt durch Auswahl einer kompatiblen Authentifizierungsplattform und Anwendung der bereitgestellten Anleitungen zur Integration. Dies kann die Aktualisierung von Authentifizierungsservern und die Implementierung entsprechender APIs beinhalten.

Welche Änderungen sind an Datenschutzrichtlinien vorzunehmen?

Datenschutzrichtlinien müssen aktualisiert werden, um die Speicherung und Verarbeitung der öffentlichen Schlüsselkomponente von Passkeys zu reflektieren, unter Beachtung der geltenden Datenschutzgesetze.

Wie skaliert man die Passkey-Infrastruktur für große Nutzerzahlen?

Die Skalierung erfordert eine robuste Serverinfrastruktur, die auf hohe Anfragenzahlen ausgelegt ist, und möglicherweise den Einsatz von Cloud-Diensten zur Flexibilitätssteigerung.

Welche Protokolle und Standards müssen befolgt werden?

Die Implementierung sollte den FIDO2-Standard und WebAuthn-Richtlinien folgen, um Interoperabilität und Sicherheit zu gewährleisten.

Wie überwacht man die Sicherheit von Passkeys?

Regelmäßige Sicherheitsaudits und das Monitoring von Authentifizierungsprotokollen helfen, potenzielle Schwachstellen zu identifizieren und zu adressieren.

Welche Schulungsmaßnahmen sind erforderlich?

IT-Personal sollte in den Grundlagen der Passkey-Technologie, deren Verwaltung und Best Practices geschult werden.

Wie gewährleistet man Kompatibilität mit verschiedenen Geräten?

Es muss sichergestellt werden, dass die Passkey-Lösung breit unterstützt wird, einschließlich verschiedener Betriebssysteme und Geräte, um Nutzerakzeptanz zu fördern.

Welche Backup- und Wiederherstellungsoptionen gibt es?

Implementierung von Verfahren zur Konto-Wiederherstellung, die den Nutzern ermöglichen, ihren Zugang über alternative Authentifizierungsmethoden oder Geräte wiederherzustellen.

Wie geht man mit dem Übergang von Passwörtern zu Passkeys um?

Eine schrittweise Einführung mit paralleler Unterstützung für Passwörter und Passkeys bietet Nutzern Zeit zur Anpassung und minimiert Störungen.

Wie werden Passkeys in Multi-Faktor-Authentifizierungsstrategien integriert?

Passkeys können als ein Faktor innerhalb eines mehrstufigen Authentifizierungsprozesses fungieren, ergänzt durch biometrische Daten oder physische Sicherheitsschlüssel.

Das müssen Nutzer beim Einsatz von Passkeys wissen – Häufige Fragen

Benutzer, die sich mit Passkeys anmelden, müssen den Umgang natürlich ebenfalls verstehen, da er sich grundlegend von der Verwendung von Kennwörtern unterscheidet. Wir gehen nachfolgend auf häufige Fragen ein.

Was passiert, wenn ein Gerät verloren geht, das einen Passkey enthält?

Dienste bieten in der Regel Wieder­herstellungs­mechanismen an, um den Zugang über neue Geräte zu ermöglichen, ohne die Sicherheit zu kompromittieren.

Können Passkeys zwischen verschiedenen Geräten übertragen werden?

Ja, einige Systeme ermöglichen die sichere Übertragung oder Synchronisation von Passkeys zwischen Geräten, meist unter Verwendung verschlüsselter Kanäle.

Wie unterscheidet sich die tägliche Anmeldung mit Passkeys?

Die Anmeldung ist schneller und sicherer, da keine Passworteingabe erforderlich ist und Authentifizierungsmethoden wie Biometrie verwendet werden können.

Welche Schritte sind erforderlich, um einen Passkey einzurichten?

Die Einrichtung umfasst in der Regel die Verifizierung der Identität durch bestehende Methoden und das Aktivieren der Passkey-Option im Nutzerkonto.

Gibt es Risiken bei der Verwendung von Passkeys?

Wie bei jeder Technologie besteht ein gewisses Risiko, jedoch sind Passkeys durch die Verwendung kryptographischer Methoden grundsätzlich sicherer als traditionelle Passwörter.

Wie kann überprüft werden, welche Dienste Passkeys nutzen?

Dienste informieren typischerweise über ihre Unterstützungsseiten oder in den Sicherheitseinstellungen ihrer Plattformen über die Verfügbarkeit von Passkey-Optionen.

Können weiterhin Passwörter verwendet werden, wenn die Anmeldung bei bestimmten Diensten nicht mit Passkeys möglich ist?

Ja, Dienste, die Passkeys nicht unterstützen, erfordern weiterhin die Nutzung traditioneller Passwörter bis zu deren Implementierung.

Wie funktioniert die Authentifizierung auf Geräten ohne biometrische Sensoren?

Auf Geräten ohne biometrische Sensoren kann die Authentifizierung durch andere Methoden erfolgen, wie PINs oder Passcodes, die den Zugriff auf den privaten Schlüssel freigeben.

Wie aktualisiert oder widerruft man einen Passkey?

Dienste bieten in der Regel Optionen in den Sicherheitseinstellungen des Nutzerkontos, um Passkeys zu verwalten, zu aktualisieren oder zu widerrufen. Dies kann nötig sein, wenn ein Gerät gewechselt oder der Verdacht eines Sicherheitsrisikos besteht.

Passkeys sind nicht das Allheilmittel gegen Phishing

Obwohl Passkeys signifikante Verbesserungen in der digitalen Sicherheit und Benutzerfreundlichkeit bieten, sind sie kein Allheilmittel und weisen spezifische Schwachstellen auf. Ein zentraler Aspekt ist die Abhängigkeit von der Gerätesicherheit. Da der private Schlüssel auf dem Gerät des Nutzers gespeichert wird, kann ein verlorenes, gestohlenes oder kompromittiertes Gerät ein Sicherheitsrisiko darstellen. Ohne angemessene Sicherheitsmaßnahmen auf dem Gerät, wie beispielsweise eine starke Geräteverschlüsselung oder biometrische Sicherheitsfeatures, könnte ein Angreifer potenziell Zugriff auf den privaten Schlüssel erlangen.

Eine weitere Herausforderung ist die Benutzerakzeptanz und das Verständnis für die neue Technologie. Die Umstellung von traditionellen Passwörtern auf Passkeys erfordert eine Anpassung der Nutzergewohnheiten und eine umfassende Schulung, um sicherzustellen, dass Nutzer die Technologie effektiv nutzen können. Fehlende Akzeptanz und Verständnis können zu unsachgemäßer Verwendung oder Ablehnung der Technologie führen, was die potenziellen Sicherheitsvorteile untergräbt.

Die Verwaltung und Wiederherstellung von Passkeys stellt ebenfalls eine Herausforderung dar. Im Falle eines Gerätewechsels oder -verlusts müssen Nutzer in der Lage sein, ihren Passkey sicher wiederherzustellen oder zu transferieren, ohne die Sicherheit zu kompromittieren. Dies erfordert robuste, benutzerfreundliche Prozesse, die derzeit noch entwickelt und standardisiert werden.

Zudem ist die breite Implementierung und Unterstützung durch Dienste und Plattformen eine Voraussetzung für die Effektivität von Passkeys. Solange nicht alle Dienste oder zumindest ein Großteil Passkeys unterstützen, bleiben Nutzer gezwungen, parallele Authentifizierungsmethoden zu verwenden, was die Komplexität erhöht und potenzielle Sicherheitslücken offenlässt.

Schließlich ist die technische Infrastruktur hinter Passkeys komplex, und die Implementierung muss sorgfältig geplant und durchgeführt werden, um Sicherheitslücken zu vermeiden. Die Standardisierung und Kompatibilität zwischen verschiedenen Systemen und Anbietern sind entscheidend für eine sichere und nahtlose Nutzungserfahrung.

(ID:49992509)