Was Du zu Passkeys wissen musst und wie sie funktionieren
Wir erzeugen einen zweiten Passkey unter Android, nachdem wir uns auf dem Chromebook (Hintergrund) angemeldet haben.
Der Schutz Deiner Onlinezugänge ist so eine Sache. Traditionell nutzt man dabei Passwörter. Doch wenn man die zu kurz und einfach wählt, um sie sich zu merken, dann ist die Wahrscheinlichkeit hoch, dass jemand an diese ran kommt. Werden die Passwörter komplex, können hingegen die wenigsten sich diese merken. Nicht gut für Deine Handy-Sicherheit.
Passwortmanager helfen dabei. Doch auch hier werden die Passwörter gespeichert, idealerweise hinter einem sicheren Passwort. Um trotzdem sicherzustellen, dass die Person, die sich anmeldet, die ist, die sie vorgibt, kannst Du zusätzlich einen zweiten Faktor nutzen. Seien es Codes, die per SMS, über die E-Mail oder über eine App generiert werden. Man kennt das vom Onlinebanking.
Noch sicherer versprechen Passkeys zu werden. Die sind per Definition sehr komplex, da das „Passwort“ von der Hardware erzeugt wird. Du musst Dir aber nichts merken, da diese Passkeys sicher verwahrt werden.
Vorstellen kannst Du Dir das tatsächlich wie Deinen Haustürschlüssel. Wie der Schlüssel aufgebaut ist, musst Du Dir nicht merken, außer Du willst einen zusätzlichen anfertigen. Du steckst den Schlüssel einfach in ein Schloss hinein. Nur dass der Schlüssel in Passkeys deutlich komplexer ist.
Passkeys werden bereits von Google unterstützt, ebenso von Apple und neuerdings auch von Amazon und WhatsApp. Zeit also, sich das Ganze am Beispiel Amazon einmal genauer anzuschauen.
Passkeys am Beispiel Amazon
Wir spielen das Ganze an einem Amazon-Konto durch. Die Aktivierung der Passkey-Funktion ist denkbar einfach. Du gehst auf „Mein Konto“ und wählst dort „Anmelden und Sicherheit“ aus. Mittig findet sich dann die Möglichkeit, einen Passkey einzurichten.
Du kannst auch mehrere einrichten. Wir haben beispielsweise zwei eingerichtet, da wir sowohl im Apple– wie auch Google-Universum zu Hause sind. Selbst dieser komplexere Fall ist einfach durchgeführt.
Kleines Problem: Direkt vor der Einrichtung eines Passkeys muss man sich frisch angemeldet haben oder wird zu einer neuen Anmeldung aufgefordert. Das verwirrt dann vielleicht etwas, wenn der zweite Passkey eingerichtet wird.
Aber das ist, wie gesagt der Sonderfall. Die meisten werden wohl nur einen Passkey einrichten, wobei sich ein zweiter auch schon aus Backupgründen anbietet. Mit den Passwörtern seiner Accounts muss man dann nicht mehr hantieren. Alles, was es braucht, ist ein Gerät mit einem Passkey.
Anmeldungen mit dem Smartphone
Fortan melden wir uns bei Amazon mit einem vereinfachten und doch sicheren Verfahren an. Man gibt die E-Mail-Adresse an und wählt im nächsten Schritt unten Anmeldung per Passkey. Bei direkter Integration kann nun auf einem Mac etwa der Fingerabdruckleser genutzt werden, um den Passkey für Amazon zur Verfügung zu stellen.
Passkeys nutzen
Es kann aber auch ein Signal an ein Smartphone geschickt werden. So funktioniert das etwa auf Chromebooks. Dann gibt es eine Notification und anschließend gibt man auf seinem Android-Smartphone den Passkey frei.
Die letzte Alternative gibt es, wenn gar keine Integration vorhanden ist. Das ist etwa der Fall, wenn der Browser keinen Zugang zu dem eigenen Profil hat, Du im Privatmodus surfst oder schlicht Dich etwa auf dem Rechner Deiner Eltern anmelden willst. Dann kann die Anzeige eines QR-Codes ausgewählt werden. Der wird mit der iPhone- oder Android-Kamera aufgenommen und danach wird die Anmeldung freigegeben.
Amazon behält übrigens den zweiten Faktor für die Anmeldung bei.
Industrie verspricht mehr Sicherheit
Passkeys werden sich wohl mehr und mehr verbreiten. Für die meisten dürfte das tatsächlich eine Verbesserung der Sicherheit sein, denn allzu einfache Passwörter sind damit Geschichte. Zugleich bieten Passkeys einen hohen Komfort bei der Nutzung.
Absolute Sicherheit gibt es freilich auch mit Passkeys nicht. Wenn Dir etwa Dein Smartphone gestohlen wird, braucht es nur noch die Überbrückung der Sicherheitsfunktionen im Telefon, um dann auch an die Passkeys zu kommen. Das ist aber alles andere als einfach für einen Angreifer, der eher mit Phishing-E-Mails arbeitet. Dagegen sollten Passkeys sehr gut abgesichert sein.
Weitergehende Informationen findest Du bei der Fido Alliance, die sich um die Passkeys kümmert und beispielsweise in der Google-Dokumentation zum Chrome-Browser.
