Das Symptom
Beim Anmelden fragt der Dienst plötzlich nicht mehr nach dem Passwort, sondern
will einen Fingerabdruck oder eine Gesichtserkennung – und bietet an, das Passwort
gleich ganz abzuschaffen. Das wirkt gleichzeitig zu bequem und zu riskant: Wenn
das Handy weg ist, ist dann alles weg? Und gibt man damit nicht gerade seinen
Fingerabdruck an einen Onlinedienst? Also klickt man auf „später“ und bleibt beim
Passwort, das man seit Jahren kennt.
Die „Layer 8“-Wahrheit
Der Begriff führt in die Irre, weil er nach „Passwort“ klingt. Ein Passkey ist
kein besser verstecktes Geheimnis, sondern ein Schlüsselpaar: Dein Gerät erzeugt
bei der Registrierung einen privaten und einen öffentlichen Schlüssel, der
öffentliche geht an den Dienst, der private bleibt laut BSI beim Nutzer und wird
nicht versendet oder offengelegt. Beim Login schickt die Webseite eine
Zufallszahl, dein Gerät signiert sie, fertig. Es gibt damit nichts mehr, was du
weitergeben könntest – auch nicht versehentlich, auch nicht an eine überzeugend
gebaute Fälschung. Und die Biometrie geht nirgendwohin: Der Fingerabdruck wird
laut BSI nur gegenüber dem eigenen Authentikator präsentiert und muss beim Dienst
nicht hinterlegt werden.
Der eigentliche Fortschritt liegt aber in einer Kleinigkeit, die man beim ersten
Hinsehen übersieht: Der Schlüssel weiß, zu welcher Webseite er gehört. Das BSI
beschreibt, dass der Client bei jedem Anmeldeversuch prüft, ob die Webseite auch
diejenige ist, für die sie sich ausgibt, und dass ein Passkey deshalb nur für den
einen, korrekten Zugang genutzt werden kann; die WebAuthn-Spezifikation des W3C
hält dieselbe Bindung an die Origin der Relying Party fest und schreibt vor, dass
Browser und Authentikator sie gemeinsam durchsetzen. Damit wandert die
Erkennungsleistung, die bisher der Mensch erbringen musste – ist das wirklich
meine Bank? – in eine Zeichenkettenprüfung, die eine Maschine perfekt und
gelangweilt millionenfach richtig macht. Phishing scheitert hier nicht daran,
dass du aufmerksam warst, sondern daran, dass auf der falschen Domain nichts
passiert. Das ist der Unterschied zwischen einer Warnung und einer Sperre.
Bleibt die berechtigte Sorge um das verlorene Gerät – und die ist kein
Gegenargument, sondern eine Aufgabe: einen zweiten Passkey registrieren oder die
Synchronisierung bewusst wählen, bevor man das Passwort abschafft. Wer das vorher
klärt, tauscht ein Geheimnis, das man verraten kann, gegen einen Schlüssel, den
man verlegen kann. Verlegte Schlüssel lassen sich duplizieren, verratene
Geheimnisse nicht zurückholen.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Den Begriff einordnen, bevor man etwas umstellt
Ein Passkey ersetzt das Passwort, nicht nur den zweiten Faktor. Statt eines Geheimnisses, das du kennst und eintippst, verwaltet dein Gerät ein Schlüsselpaar. Beim Login sendet die Webseite laut BSI eine Nachricht mit einer kryptografischen Challenge – praktisch eine hinreichend große Zufallszahl –, und der Authentikator antwortet mit einer Signatur darüber. Du selbst bestätigst nur, wer sich anmeldet, etwa per Fingerabdruck oder Gesichtsscan.
2.Mit einem Konto anfangen, das nicht das wichtigste ist
Passkeys sind einfach, aber der erste Durchlauf klärt Fragen, die man nicht beim E-Mail-Konto klären will: Wo landet der Schlüssel, welches Gerät fragt beim nächsten Mal, wie sieht der Anmeldedialog aus. Ein Nebenkonto als Testlauf kostet fünf Minuten und erspart die Panik am Zugang, über den alle anderen zurückgesetzt werden.
3.Vor der Umstellung den Wiederherstellungsweg klären
Das ist der Schritt, den fast alle überspringen. Nach dem BSI ist die Wiederherstellung nach Geräteverlust nur über lokale Backups oder über in die Cloud synchronisierte Passkeys möglich. Also vorher entscheiden: synchronisiert im Schlüsselbund beziehungsweise Passwortmanager – dann muss dieses Konto selbst hart abgesichert sein –, oder gerätegebunden mit einem zweiten registrierten Gerät als Ersatz.
4.Einen zweiten Passkey oder Sicherheitsschlüssel registrieren
Die meisten Dienste erlauben mehrere Passkeys pro Konto. Genau dafür ist das da: ein zweites Gerät oder ein Hardware-Sicherheitsschlüssel, der an einem anderen Ort liegt. Ein einziger Schlüssel auf einem einzigen Gerät ist derselbe Fehler wie ein einziger Wohnungsschlüssel ohne Zweitschlüssel – nur dass die Tür hier vom Anbieter aufgemacht werden müsste, was mühsam bis unmöglich ist.
5.Das alte Passwort nicht stillschweigend liegen lassen
Solange das Passwort im Konto aktiv bleibt, existiert der alte, phishbare Anmeldeweg weiter, und die strukturelle Verbesserung ist zum Teil dahin. Wo der Dienst es zulässt, das Passwort nach der Umstellung entfernen. Wo nicht, ein langes, einmaliges Passwort im Passwortmanager hinterlassen und den zweiten Faktor aktiv halten – die Angreifer suchen den schwächsten Weg, nicht den, den du gerade eingerichtet hast.
6.Die geräteübergreifende Anmeldung einmal ausprobieren
Wer am Rechner sitzt, dessen Passkey aber auf dem Telefon liegt, scannt laut BSI einen QR-Code und bestätigt den Login so, als würde er sich auf dem Handy anmelden, zum Beispiel per Fingerabdruck. Das einmal in Ruhe durchzuspielen lohnt sich, denn im Ernstfall an einem fremden Rechner sucht man diesen Ablauf sonst unter Zeitdruck.