Das Ende der Kennwörter, jetzt kommen die Passkeys

Ein guter Kennwortmanager vereinfacht das Leben im Internet deutlich. Das täuscht jedoch nicht darüber hinweg, dass das Thema anstrengend bleibt: Für jeden Dienst sollte ein eigenes Kennwort verwendet werden. Dieses sollte in einer verschlüsselten Datenbank gespeichert werden. Und trotzdem funktioniert die automatische Anmeldung auf einer Website nicht immer wie gewünscht. Und so weiter.

Das soll sich endlich zum Besseren wenden. Die «Passkeys» sind angetreten, um die leidigen Kennwörter komplett zu ersetzen. Gleichzeitig werden der Komfort und die Sicherheit auf die Spitze getrieben. Allerdings steht dieser Prozess erst am Anfang. Es wird noch einige Zeit dauern, bis sich Passkeys überall durchgesetzt haben. In der Zwischenzeit wird es ein Nebeneinander von Passkeys und traditionellen Kennwörtern geben. Trotzdem ist das Thema keine Zukunftsmusik, sondern lässt sich hier und jetzt mit den wichtigsten Diensten nutzen.

Passkeys sind keine Modeerscheinung, denn hinter dieser Technologie steht als treibende Kraft die FIDO-Allianz («Fast Identity Online»). Zu ihren Mitgliedern gehören die Schwergewichte Microsoft, Apple und Google sowie viele weitere Unternehmen mit einem gemeinsamen Ziel: eine sicherere und komfortable Methode zur Authentifizierung voranzubringen. Und irgendwann in der nahen Zukunft sind die Kennwörter Geschichte.

Passkeys sind wie ein geheimer Code, der nur Ihrem Gerät und der jeweiligen Website bekannt ist. Es gibt nichts, was Sie sich merken könnten oder müssten. Bei der Anmeldung eines Dienstes wie PayPal oder Amazon erfolgt die Prüfung Ihrer Identität durch das Gerät, auf dem der Passkey installiert ist, Bild 1. Dabei handelt es sich oft um das Smartphone, weil die Identität besonders komfortabel durch den Finger- oder Gesichtsscanner bestätigt wird.

Genauso könnte die Prüfung am PC durch Windows Hello übernommen werden oder am Mac via Account-Kennwort. Noch mehr Sicherheit versprechen «Token», die über USB mit dem PC verbunden werden – also jederzeit physisch vom Rechner getrennt werden können. Zu dieser Gattung gehört zum Beispiel der Yubico YubiKey 5C, Bild 2, gesehen für 60.90 Franken bei brack.ch.

Bei der Verifizierung kommt eine asymmetrische Verschlüsselung zum Einsatz. Das eigene Gerät erzeugt dabei einen öffentlichen Schlüssel, der mit dem jeweiligen Dienst geteilt wird. Genaugenommen lässt sich ein solcher Schlüssel beliebig und ohne Risiko herumreichen. Denn mit dem öffentlichen Schlüssel lassen sich die Daten zwar verschlüsseln; doch um sie später lesbar zu machen, wird der zweite, geheime Schlüssel benötigt – und der befindet sich nur auf Ihrem Gerät.

Das heisst auch, dass ein erbeuteter Passkey bei einem Sicherheitsleck oder einem Phishing-Versuch für den Eindringling wertlos ist. Das gilt genauso, wenn der Rechner in der Hotel-Lobby belauscht wird oder Sie sich am Arbeitsplatz mit Ihrem privaten Passkey bei einer Seite einloggen. Passkeys sind also nicht nur viel bequemer, sondern auch sicherer. Denn es braucht immer Ihr Gerät, um ihn einzusetzen.