Passkeys: Anmelden ohne Passwort #122

Korrektur zur Folge: In der Folge heißt es, Passkeys ließen sich nicht teilen, wenn der Dienst das nicht vorsieht. Das stimmt so nicht. Apple erlaubt seit iOS 17 das Teilen von Passwörtern und Passkeys über geteilte Gruppen in der Passwörter-App, und auch Passwortmanager wie 1Password oder Bitwarden legen Passkeys in gemeinsamen Tresoren ab. Danke an Daniel für den Hinweis.

---

Passkeys sollen Benutzername und Passwort im Web ablösen. Das Grundproblem klassischer Logins ist das geteilte Geheimnis: Ein Passwort liegt sowohl beim Nutzer als auch beim Dienst, wird oft mehrfach verwendet und lässt sich über gefälschte Anmeldemasken abgreifen. Mit KI-generierten Phishing-Seiten und fehlerfreien Mails ist dieses Risiko zuletzt eher gewachsen als gesunken.

Passkeys setzen stattdessen auf asymmetrische Kryptografie, dasselbe Prinzip, das SSH seit 1995 nutzt. Beim Registrieren erzeugt ein Authenticator ein Schlüsselpaar. Der private Schlüssel bleibt im Authenticator, der öffentliche geht an den Dienst, die sogenannte Relying Party, und wird dort unter einer Credential ID abgelegt. Beim Login schickt der Server eine zufällige Challenge, der Authenticator signiert sie mit dem privaten Schlüssel, der Server prüft die Signatur mit dem öffentlichen. Weil der Browser die Origin der aufgerufenen Seite in die Signatur einbezieht und der Authenticator pro Domain ein eigenes Schlüsselpaar hält, läuft Phishing ins Leere: Für eine gefälschte Domain existiert schlicht kein passender Schlüssel.

Fingerabdruck, Gesichtserkennung oder PIN schalten dabei nur den Authenticator frei, biometrische Daten verlassen das Gerät nie. Authenticator kann der Passwortmanager von Google oder Apple sein, Windows Hello oder ein Hardware-Token wie ein YubiKey. Die großen Anbieter synchronisieren Passkeys verschlüsselt über alle Geräte eines Accounts, sodass ein zerstörtes Smartphone nicht automatisch den Zugang kostet. Trotzdem gilt: Solange Dienste als Fallback weiterhin ein Passwort akzeptieren, ist die Kette nur so stark wie dieses schwächste Glied.

Technisch steckt dahinter FIDO2, also der W3C-Standard WebAuthn als Browser-API plus CTAP für die Kommunikation mit dem Authenticator, koordiniert von der FIDO Alliance mit Apple, Google und Microsoft. Die Verbreitung wächst schnell: Im Mai 2026 meldete die Allianz rund fünf Milliarden aktive Passkeys, Mitte Oktober waren es bereits sieben Milliarden. Wer selbst Dienste entwickelt, kann Passkeys heute über WebAuthn und gängige Auth-Libraries mit überschaubarem Aufwand anbieten.

Links zur Folge:

FIDO Alliance zu Passkeys: https://fidoalliance.org/passkeys/

Passkey Index 2026: https://fidoalliance.org/passkey-index-2026/

---

Einfach Komplex ist ein Podcast von Heisenware.

Weitere Infos und ein kostenloser Test: https://heisenware.com/einfach-komplex

Kontakt: [email protected]