Passkeys - so funktionieren passwortlose Logins

Zu den Bewertungskriterien in unserem Test von Passwortmanagern (hier unser Test) gehört die Unterstützung von Passkeys beim Login auf Webseiten. Ein Passkey ermöglicht ein passwortloses Login.

Doch was steckt hinter dem sicheren Anmeldevorgang?

Passwörter können gestohlen werden, ein Passkey nicht. Immer wieder kommt es zu Passwort-Leaks, bei denen unzählige E-Mails und Passwörter erbeutet werden. Erst im Juli hatte ein Angreifer fast 10 Milliarden Passwörter in einem Hackerforum verfügbar gemacht. Mit einem Passwortmanager können Sie komplexe Passwörter erstellen und diese in einer Datenbank mit einem Masterpasswort oder einem biometrischen Schutz sicher ablegen. Wenn allerdings Kriminelle in den Besitz der Zugangsdaten kommen, hilft auch der Passwortmanager nicht mehr, solange Sie Ihr Passwort nicht geändert haben.

Um für (mehr) Sicherheit zu sorgen, haben sich deshalb namhafte Unternehmen aus der Tech-Branche zur FIDO-Allianz (Fast Identity Online) zusammengeschlossen und wollen einen sicheren Zugang entwickeln. Mit dabei sind Schwergewichte wie Adobe, Amazon, Apple, eBay, Google, LinkedIn, Microsoft, PayPal, TikTok, Uber, WhatsApp und Yahoo. Die Webseite www.passkeys.directory listete beim Redaktionsschluss 168 Mitglieder.

So funktionieren Passkeys

Passkeys sind sicherer als Passwörter, da sie nicht gehackt oder gestohlen werden können und nur für kurze Zeit gültig sind. Lokale Phishing-Attacken oder der Passwortklau sind damit keine Gefahr mehr. Und nicht zuletzt sind Passkeys schneller, komfortabler und herstellerunabhängig.

Ein Passkey wird einmalig für eine Webseite eingerichtet. Danach wählen Sie bei der Anmeldung auf einer Webseite nur noch aus, wer sich anmeldet, und bestätigen den Login auf PC, Notebook, Smartphone oder Tablet zum Beispiel per PIN, Fingerabdruck oder Gesichtsscan.

Technisch betrachtet werden beim Anlegen des Passkeys asymmetrische, kryptografische Schlüsselpaare erzeugt. Der öffentliche Schlüssel geht an den Betreiber der Webseite, der private Schlüssel verbleibt auf Ihrem Rechner.

Ein Passkey bietet – gleich auf welchem Gerät mit welchem Betriebssystem – einen riesigen Vorteil: Sie brauchen sich keine komplizierten Passwörter zu merken und können auch auf den Einsatz eines Passwortmanagers verzichten. Noch sind keine Sicherheitsprobleme mit Passkeys bekannt.

Das soll aber nicht heißen, dass das so bleibt. Wenn es tatsächlich Nachteile gegenüber dem Login mit Passwort gibt, dann eher beim Komfort: So könnten zum Beispiel Streamingdienste wie Netflix und Spotify mit Passkeys das (nicht erlaubte) Teilen von Zugängen noch restriktiver unterbinden.

Passkeys bei eBay & Co. einrichten

Wie die Einrichtung eines Passkeys funktioniert, zeigen wir am Beispiel von eBay in Microsoft Edge auf dem Windows-PC:

• Melden Sie sich wie gewohnt mit Ihrem Nutzernamen und dem dazugehörigen Passwort bei eBay an. Wenn noch kein Passkey existiert, wird die Seite Einfacher einloggen mit einem kurzen Hinweistext sichtbar. Klicken Sie auf Weiter.
• Im nächsten Schritt müssen Sie sich bei Windows authentifizieren – per PIN oder Gesichtserkennung mit unterstützter Webcam. Das haben Sie idealerweise in der Einstellungen-App unter Konten, Anmeldeoptionen bereits eingerichtet.
• Ist die Authentifizierung erledigt, erhalten Sie die Meldung Hauptschlüssel gespeichert. Nun können Sie sich zukünftig mit dem Passkey anmelden und das mit Windows Hello (PIN oder Gesichtserkennung) bestätigen – sicher und einfach.

Info: Das Prinzip der Passkeys kennenlernen

Sie wollen wissen, wie und ob Passkeys auf Ihrem System funktionieren? Dann besuchen Sie die Webseite webauthn.io. Sie wurde von Duo Labs entwickelt, um die neue W3C-Spezifikation Web-Authentication (WebAuthn) in Browsern zu testen. Und so geht es: Geben Sie einen beliebigen Nutzernamen ein, und klicken Sie auf die Schaltfläche Register. Der Browser oder der Passwortmanager kann nun zum Beispiel das Zusammenspiel mit Windows Hello regeln, wenn das eingerichtet ist. Auf dem Smartphone oder auf dem Tablet sollte das ebenso funktionieren.

Info: Auch Microsoft setzt auf Passkeys

Bereits im Juni 2023 hat Microsoft die Anmeldung per Passkey eingeführt – allerdings zunächst nur in einem Insider-Build von Windows 11. Erstmalig war es möglich, sich ausschließlich mit einem Passkey einzuloggen. Seit Mai 2024 lassen sich Passkeys für zahlreiche Microsoft-Konten sowie -Dienste nutzen. Außer der Anmeldung auf Webseiten werden auch Programme wie Microsoft 365 und der KI-Assistent Copilot unterstützt.

Zur Einrichtung der Passkeys besuchen Sie die Webseite aka.ms/addproof und melden sich mit Ihren Zugangsdaten an. Danach wählen Sie die Option Face, fingerprint., PIN, or security key aus. Im folgenden Schritt wird der Passkey erstellt und mit dem von Ihnen vergebenen Namen in Ihrem Microsoft-Konto gelistet.

FAQ zu Passkeys

1. Was ist ein Passkey und wie funktioniert er?
Ein Passkey ist ein moderner, sicherer Anmeldemechanismus, der passwortloses Login ermöglicht. Beim Anlegen eines Passkeys wird ein kryptografisches Schlüsselpaar erzeugt: Der öffentliche Schlüssel wird an den Webseitenbetreiber gesendet, der private Schlüssel bleibt sicher auf Ihrem Gerät. Zum Login wählen Sie einfach Ihr Benutzerprofil aus und bestätigen die Anmeldung z.B. per PIN, Fingerabdruck oder Gesichtserkennung.

2. Warum sind Passkeys sicherer als herkömmliche Passwörter?
Passkeys sind sicherer, weil sie nicht gehackt oder gestohlen werden können. Die Schlüsselpaare sind nur für kurze Zeit gültig und werden lokal gespeichert, was Phishing-Angriffe und Passwort-Leaks verhindert.

3. Welche Vorteile bieten Passkeys gegenüber Passwörtern?

• Sicherheit: Passkeys können nicht gestohlen oder durch Phishing-Angriffe erbeutet werden.
• Komfort: Kein Merken von komplexen Passwörtern nötig.
• Schnelligkeit: Anmeldung erfolgt durch einfache Bestätigung.
• Unabhängigkeit: Funktioniert geräte- und herstellerübergreifend.

4. Welche Nachteile können Passkeys haben?
Der größte Nachteil liegt möglicherweise im Komfort: Bestimmte Dienste könnten das Teilen von Zugängen (z.B. bei Netflix oder Spotify) restriktiver gestalten, da Passkeys immer an ein Gerät und einen Benutzer gebunden sind.

5. Was passiert, wenn Passkeys doch gehackt werden?
Bisher sind keine Sicherheitsprobleme mit Passkeys bekannt.

6. Benötige ich noch einen Passwortmanager, wenn ich Passkeys nutze?
Passkeys reduzieren die Notwendigkeit eines Passwortmanagers erheblich, da sie eine sichere, passwortlose Alternative bieten. Ein Passwortmanager bleibt jedoch nützlich für Accounts, die noch nicht auf Passkeys umgestellt wurden.

7. Wie richte ich einen Passkey ein, z.B. bei eBay?

1. Melden Sie sich bei eBay mit Ihrem Benutzernamen und Passwort an.
2. Wählen Sie die Option „Einfacher einloggen“ und folgen Sie den Anweisungen.
3. Authentifizieren Sie sich per Windows Hello (PIN oder Gesichtserkennung).
4. Ihr Passkey wird erstellt und kann zukünftig für den Login verwendet werden.

8. Welche großen Unternehmen unterstützen Passkeys?
Mitglieder der FIDO-Allianz, darunter Adobe, Amazon, Apple, Google, Microsoft und viele mehr, unterstützen die Einführung und Nutzung von Passkeys.

9. Wo kann ich die Funktionsweise von Passkeys testen?
Besuchen Sie die Webseite webauthn.io von Duo Labs, um Passkeys in Ihrem Browser zu testen. Dort können Sie ausprobieren, wie sich ein Login mit Passkey anfühlt und funktioniert.

10. Unterstützt Microsoft Passkeys?
Ja, Microsoft hat die Anmeldung per Passkey seit Mai 2024 für zahlreiche Dienste freigeschaltet. Zur Einrichtung besuchen Sie die Webseite aka.ms/addproof und folgen Sie den Anweisungen, um Ihren Passkey zu erstellen.

11. Sind Passkeys wirklich zukunftssicher?
Passkeys gelten als vielversprechender Schritt in Richtung sicherer, passwortloser Zukunft. Die Technologie wird kontinuierlich weiterentwickelt, um den sich verändernden Sicherheitsanforderungen gerecht zu werden.