Was ist PassKey und wie funktioniert es?
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: Ein Passkey, auch Zugangsschlüssel genannt, ermöglicht die Anmeldung bei einem Konto, ohne ein Passwort einzugeben. Die Anmeldung bestätigst du meist per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Der Zugangsschlüssel ist an einen bestimmten Dienst gebunden. Dadurch schützt er deutlich besser als ein herkömmliches Passwort davor, dass Zugangsdaten auf einer gefälschten Website abgegriffen werden.
Wie funktioniert ein Passkey und was unterscheidet ihn vom Passwort?
Beim Erstellen eines Zugangsschlüssels entsteht ein Paar kryptografischer Schlüssel, also mathematisch miteinander verknüpfter Daten: ein öffentlicher und ein privater Schlüssel. Der Dienst speichert den öffentlichen Schlüssel. Der private Schlüssel bleibt dagegen unter der Kontrolle deines Geräts oder des Anbieters, der deine Zugangsschlüssel speichert und synchronisiert. Der private Teil wird bei der Anmeldung nicht an den Dienst übertragen.
Wenn du dich bei deinem Konto anmelden möchtest, sendet der Dienst eine einmalige Prüfaufgabe, eine sogenannte Challenge. Nach deiner Bestätigung signiert das Gerät diese mit dem privaten Schlüssel. Der Dienst prüft die Signatur mit dem öffentlichen Schlüssel. Du musst dir keine geheimen Zugangsdaten merken oder sie abtippen.
Fingerabdruck, Gesichtsscan und PIN sind nicht der Passkey selbst. Sie bestätigen lokal auf dem Gerät, dass du den Schlüssel verwenden darfst. Bei einer typischen Passkey-Anmeldung erhält der Dienst weder deinen Fingerabdruck noch ein Bild deines Gesichts. Auch die Geräte-PIN wird nicht zum Passwort für die Website.
Ein Passkey ist auch kein gewöhnliches, im Browser gespeichertes Passwort. Ein Passwortmanager kann ein Formular mit Benutzername und Passwort ausfüllen. Ein Zugangsschlüssel verwendet dagegen ein anderes Verfahren zur Authentifizierung. Derselbe Manager kann jedoch beide Methoden unterstützen.
Wovor schützt ein Zugangsschlüssel?
Der wichtigste Vorteil eines Passkeys ist seine Widerstandsfähigkeit gegen typisches Phishing: Dabei geben sich Angreifer als ein Dienst aus, um Anmeldedaten zu erbeuten. Der Schlüssel ist an eine Kennung des Dienstes gebunden, die auf dessen Domain basiert. Eine gefälschte Website unter einer anderen Adresse kann den Browser nicht einfach auffordern, den Schlüssel des echten Dienstes zu verwenden.
Ein Beispiel: Du erhältst eine Nachricht über eine angebliche Sperrung deines Kontos bei einem Onlineshop. Der Link führt zu einer Website, die dem Original täuschend ähnlich sieht, aber unter einer fremden Domain läuft. Ein gewöhnliches Passwort könntest du dort versehentlich eingeben; der zugehörige Passkey funktioniert auf dieser gefälschten Website nicht.
Wenn öffentliche Schlüssel bei einem Dienst in falsche Hände geraten, lassen sich daraus nicht unmittelbar die zugehörigen privaten Schlüssel rekonstruieren. Auch eine Anmeldung allein mit dem öffentlichen Schlüssel ist nicht möglich. Ebenso entfällt das Problem, dass ein Passwort für mehrere Dienste wiederverwendet wird.
Das bedeutet jedoch keinen Schutz vor jedem Angriff. Schadsoftware, eine übernommene aktive Sitzung oder ein unsicheres Verfahren zur Kontowiederherstellung können weiterhin eine Gefahr darstellen. Wenn der Dienst auch die Anmeldung per Passwort oder die Wiederherstellung per E-Mail zulässt, bleibt die Sicherheit dieser Zugangswege wichtig.
Wo wird ein Passkey gespeichert?
Die Art der Speicherung bestimmt mit, ob du dich auch auf einem anderen Gerät anmelden kannst. Nicht jeder Zugangsschlüssel ist automatisch überall verfügbar.
- Synchronisierte Schlüssel werden von einem Anbieter auf kompatiblen Geräten bereitgestellt, etwa über eine im Betriebssystem integrierte oder externe Zugangsdatenverwaltung. Der Zugriff hängt vom Konto beim Anbieter und dessen Regeln zur Wiederherstellung ab.
- Gerätegebundene Schlüssel verbleiben auf einem bestimmten Gerät, beispielsweise einem Hardware-Sicherheitsschlüssel. Sie werden nicht automatisch auf weitere Geräte kopiert.
Dein Smartphone kann auch eine Anmeldung auf einem Computer bestätigen, auf dem dein Passkey nicht gespeichert ist. Wird dieses Verfahren unterstützt, zeigt der Computer einen Code vom Typ QR an. Du scannst ihn mit dem Smartphone und bestätigst die Anmeldung. Meist sind eine Internetverbindung sowie Bluetooth erforderlich, um die räumliche Nähe der Geräte zu bestätigen. Dabei wird der Schlüssel nicht dauerhaft auf den Computer kopiert.
Die Unterstützung hängt vom Dienst, dem Betriebssystem, dem Browser und der Zugangsdatenverwaltung ab. Bevor du dein Smartphone wechselst oder in ein anderes Ökosystem umziehst, prüfe in der offiziellen Dokumentation des Anbieters, welche Möglichkeiten zur Synchronisierung und Übertragung von Schlüsseln aktuell bestehen.
Wie aktivierst du einen Passkey für dein Konto?
Du kannst einen Zugangsschlüssel nicht selbst für jede beliebige Website aktivieren: Der jeweilige Dienst muss diese Funktion unterstützen. Die entsprechende Option findest du meist in den Sicherheitseinstellungen des Kontos unter „Zugangsschlüssel“ oder „Passkeys“.
- Melde dich mit deiner bisherigen Methode beim Dienst an und öffne die Sicherheitseinstellungen.
- Wähle die Option zum Hinzufügen eines Zugangsschlüssels. Prüfe, wo er gespeichert werden soll: in einer Zugangsdatenverwaltung oder auf einem Hardware-Sicherheitsschlüssel.
- Bestätige die Erstellung des Schlüssels mit der vom Gerät vorgegebenen Methode.
- Teste die neue Anmeldung, während du noch eine aktive Sitzung oder eine andere Zugangsmethode verfügbar hältst.
- Falls der Dienst es erlaubt, füge einen zweiten Schlüssel auf einem unabhängigen Gerät hinzu oder lege Wiederherstellungscodes bereit.
Verwende dafür dein eigenes, abgesichertes Gerät. Speichere keinen persönlichen Zugangsschlüssel im Browserprofil eines öffentlichen oder gemeinsam genutzten Computers.
Was tun, wenn du dein Smartphone verlierst?
Der Verlust deines Smartphones muss nicht bedeuten, dass du den Zugang zu deinem Konto verlierst. Ein synchronisierter Passkey kann auf einem anderen kompatiblen Gerät verfügbar sein. Ein zusätzlicher Hardware-Sicherheitsschlüssel kann einen unabhängigen Anmeldeweg bieten. War dein einziger Schlüssel an das verlorene Gerät gebunden, musst du möglicherweise das Wiederherstellungsverfahren des Dienstes nutzen.
Nutze nach dem Verlust die Funktion zur Fernsperrung des Geräts und prüfe die aktiven Sitzungen deiner Konten. Sobald du wieder Zugriff hast, entferne bei Bedarf die Zugangsdaten des verlorenen Geräts gemäß den Anweisungen des Anbieters.
Bevor du die Anmeldung per Passwort deaktivierst, führe einen praktischen Test durch: Prüfe, ob du dich ohne dein hauptsächlich genutztes Smartphone anmelden kannst. So erkennst du, ob du tatsächlich einen Zugangsweg für den Notfall hast oder nur davon ausgehst, dass die Synchronisierung ausreicht.
Siehe auch: Was ist 2FA?
Lesen Sie auch
