Die Tech-Branche erzählt dir ständig, Passkeys seien die Zukunft des Anmeldens. Google rät dir, Passwörter nach Möglichkeit zu überspringen. Microsoft möchte, dass du dein Konto passwortlos machst. Das Versprechen ist einfach: Passkeys sind sicherer als Passwörter, weil sie nicht von einem Server gestohlen werden können. Das ist die gute Nachricht. Die schlechte Nachricht ist, dass Passkeys dich für immer aus deinen Konten aussperren könnten.
Warum Passkeys sicherer sind als Passwörter
Passkeys eignen sich hervorragend für die Unternehmenssicherheit. Sie sind an die Website gebunden, für die sie erstellt wurden, sodass ein Hacker sie nicht stehlen kann, indem er dich dazu bringt, dein Passwort woanders einzugeben. Wenn eine Website von einem Datenleck betroffen ist, sind Passkeys asymmetrisch, was bedeutet, dass Hacker sie nicht aus serverseitigen Details wiederherstellen können. Das macht sie nahezu unmöglich zu phishen.
Doch für die persönliche Sicherheit schaffen Passkeys ein größeres Problem, als sie lösen. Die größten Risiken für eine Einzelperson sind dauerhafte Kontosperrung, automatisierte Kontosperren und der Verlust eines Geräts. Passkeys schützen dich vor Man-in-the-Middle-Angriffen, aber sie erhöhen die Wahrscheinlichkeit, dass du den Zugang zu deinen Konten vollständig verlierst.
Das Aussperrproblem
Phishing ist mit Passkeys verschwunden. Das ist der Punkt. Aber es erzeugt ein falsches Sicherheitsgefühl. Die tatsächliche Sicherheit deines Kontos hängt von der schwächsten Wiederherstellungsmethode ab, die du anderswo eingerichtet hast: SMS, E-Mail-Links, Sicherheitsfragen. Wenn diese Wiederherstellungsmethoden nicht aktiviert sind, riskierst du weiterhin eine dauerhafte Aussperrung.
Hardware-Schlüssel sind begrenzt
Hardware-Schlüssel sollen dies lösen. Du kannst Passkeys zu einem physischen Gerät hinzufügen. Aber du kannst sie nicht sichern. Du kannst sie nur hinzufügen oder löschen, nicht verschieben. Also musst du 2-3 Hardware-Schlüssel kaufen und jeden einzelnen auf jeder Website registrieren. Das wird schnell teuer.
Diese Schlüssel haben auch Grenzen. Ein Hardware-Schlüssel kann nur 25-100 Konten pro Website speichern, wobei einige High-End-Schlüssel bis zu 300 erreichen. Sobald du die Obergrenze erreichst, musst du entweder Konten löschen oder einen weiteren Satz Schlüssel kaufen.
Synchronisierte Passkeys binden dich an einen Anbieter
Apple und Google wollen, dass deine Identität an ihre Betriebssysteme gebunden ist. Ihr „Happy Path“ ist die Nutzung einer synchronisierten Passkey-Verwaltung, die mit deinem Apple- oder Google-Konto verknüpft ist. Wenn ihre automatisierten Systeme eines Tages beschließen, dein Konto zu sperren, verlierst du den Zugriff auf alle deine Passkeys über alle Drittanbieter-Konten hinweg. Das ist unwiderruflich.
Die FIDO Alliance arbeitet daran, Passkeys portabler zu machen, doch die Erfahrung ist nach wie vor fragmentiert und uneinheitlich über die Anbieter hinweg. Es wird besser, aber es ist noch nicht so weit.
Drittanbieter-Verwaltung ist fragil
Passkeys in einem Passwort-Manager wie Bitwarden oder KeePassXC zu speichern, ist der derzeitige Kompromiss. Doch er kämpft gegen die Plattform. Betriebssysteme haben begonnen, APIs einzuführen, wie Androids Credential Manager, an die Drittanbieter-Tools andocken können. Die Erfahrung ist nach wie vor fragmentiert und es fehlt die jahrzehntelange Reife, die rund um die Passwort-Autofill-Funktion aufgebaut wurde.
Autofill außerhalb des Browsers und innerhalb nativer Apps ist besonders uneinheitlich. In Zukunft werden Passkeys von Drittanbietern wahrscheinlich der Weg nach vorn sein. So weit sind wir noch nicht.
Was passiert, wenn Passkeys nicht funktionieren
Die Anmeldung bei Konten auf Geräten, die dir gehören, funktioniert mit Passkeys hervorragend. Auf dem Computer eines Kollegen wird es unangenehm. Du kannst einen Hardware-Schlüssel einstecken, aber du hast nicht immer Zugang zu den Anschlüssen. Du kannst dich anmelden und einen synchronisierten Passkey verwenden, aber das bedeutet, dem Computer zu vertrauen, dass er nicht alle deine anderen Passkeys preisgibt.
Die letzte Option ist der „Hybrid Transport“, bei dem du einen QR-Code scannst und dich gleichzeitig per Bluetooth mit dem Computer verbindest. In der Theorie ist das sicher, doch die Realität ist geplagt von Sonderfällen, in denen Verbindungen fehlschlagen oder Bluetooth schlicht nicht unterstützt wird.
Das Fazit
| Sicherheitsfunktion | Eignung für Unternehmen | Eignung für Privatpersonen |
|---|---|---|
| Passkeys | Perfekt | Schlecht |
| Passwörter | Bekannte Phishing-Risiken | Einfach wiederherzustellen |
Unternehmensnutzer haben gute Gründe, Passkeys zu verwenden. Das Ökosystem ist für Einzelpersonen noch nicht ausgereift genug. TOTP-Codes haben bekannte Phishing-Risiken, aber die Wiederherstellungs- und Aussperrungsrisiken von Passkeys stellen für die meisten Menschen ein größeres alltägliches Risiko dar als ein AiTM-Proxy.
Für Nutzer, die zuvor Passwörter auf allen ihren Websites wiederverwendet haben, sind Passkeys ein großer Fortschritt. Für alle anderen ist es derzeit ein Rückschritt.
Quellenmaterial: „I don’t like passkeys“, hawksley.dev.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.