Ein guter Kennwortmanager vereinfacht das Leben im Internet deutlich. Das täuscht jedoch nicht darüber hinweg, dass das Thema anstrengend bleibt: Für jeden Dienst sollte ein eigenes Kennwort verwendet werden. Dieses sollte in einer verschlüsselten Datenbank gespeichert werden. Und trotzdem funktioniert die automatische Anmeldung auf einer Website nicht immer wie gewünscht. Und so weiter.

Das soll sich endlich zum Besseren wenden. Die «Passkeys» sind angetreten, um die leidigen Kennwörter komplett zu ersetzen. Gleichzeitig werden der Komfort und die Sicherheit auf die Spitze getrieben. Allerdings steht dieser Prozess erst am Anfang. Es wird noch einige Zeit dauern, bis sich Passkeys überall durchgesetzt haben. In der Zwischenzeit wird es ein Nebeneinander von Passkeys und traditionellen Kennwörtern geben. Trotzdem ist das Thema keine Zukunftsmusik, sondern lässt sich hier und jetzt mit den wichtigsten Diensten nutzen.

Passkeys sind keine Modeerscheinung, denn hinter dieser Technologie steht als treibende Kraft die FIDO-Allianz («Fast Identity Online»). Zu ihren Mitgliedern gehören die Schwergewichte Microsoft, Apple und Google sowie viele weitere Unternehmen mit einem gemeinsamen Ziel: eine sicherere und komfortable Methode zur Authentifizierung voranzubringen. Und irgendwann in der nahen Zukunft sind die Kennwörter Geschichte.

Passkeys sind wie ein geheimer Code, der nur Ihrem Gerät und der jeweiligen Website bekannt ist. Es gibt nichts, was Sie sich merken könnten oder müssten. Bei der Anmeldung eines Dienstes wie PayPal oder Amazon erfolgt die Prüfung Ihrer Identität durch das Gerät, auf dem der Passkey installiert ist, Bild 1. Dabei handelt es sich oft um das Smartphone, weil die Identität besonders komfortabel durch den Finger- oder Gesichtsscanner bestätigt wird.

Genauso könnte die Prüfung am PC durch Windows Hello übernommen werden oder am Mac via Account-Kennwort. Noch mehr Sicherheit versprechen «Token», die über USB mit dem PC verbunden werden – also jederzeit physisch vom Rechner getrennt werden können. Zu dieser Gattung gehört zum Beispiel der Yubico YubiKey 5C, Bild 2, gesehen für 60.90 Franken bei brack.ch.

Bei der Verifizierung kommt eine asymmetrische Verschlüsselung zum Einsatz. Das eigene Gerät erzeugt dabei einen öffentlichen Schlüssel, der mit dem jeweiligen Dienst geteilt wird. Genaugenommen lässt sich ein solcher Schlüssel beliebig und ohne Risiko herumreichen. Denn mit dem öffentlichen Schlüssel lassen sich die Daten zwar verschlüsseln; doch um sie später lesbar zu machen, wird der zweite, geheime Schlüssel benötigt – und der befindet sich nur auf Ihrem Gerät.

Das heisst auch, dass ein erbeuteter Passkey bei einem Sicherheitsleck oder einem Phishing-Versuch für den Eindringling wertlos ist. Das gilt genauso, wenn der Rechner in der Hotel-Lobby belauscht wird oder Sie sich am Arbeitsplatz mit Ihrem privaten Passkey bei einer Seite einloggen. Passkeys sind also nicht nur viel bequemer, sondern auch sicherer. Denn es braucht immer Ihr Gerät, um ihn einzusetzen.

Die Konten von Apple, Google und Microsoft sind für unzählige Anwender der Dreh- und Angelpunkt des digitalen Lebens. So ist es nur logisch, wenn diese Dienste zuerst in den Genuss der verbesserten Sicherheit kommen.

Melden Sie sich unter accounts.microsoft.com mit Ihrem Microsoft-Konto an. Klicken Sie auf den Bereich Erweiterte Sicherheitsoptionen, Bild 3. Im nächsten Fenster klicken Sie weiter unten auf Kennwortloses Konto und durchlaufen den Assistenten.

Um das Google-Konto über einen Passkey abzusichern, öffnen Sie die Internetadresse g.co/passkeys. Klicken Sie auf Passkeys verwenden und durchlaufen Sie den Assistenten. Wenn Sie sich ab- und neu anmelden, kann es sein, dass Google trotzdem die Kennworteingabe zeigt, Bild 4 A. Klicken Sie auf Andere Option wählen B und auf Passkeys verwenden.

Apple geht noch einen Schritt weiter und erstellt für jede Apple-ID ab iOS 17, iPadOS 17 und macOS 14 automatisch einen Passkey, sodass Sie gar nichts unternehmen müssen. Sobald Sie sich bei icloud.com anmelden, geben Sie nur noch das Kennwort Ihres Accounts am Mac ein oder lächeln in die Kamera des iPhones.

Bei vielen Diensten ist der Wechsel auf den Passkey schon fast unanständig einfach, etwa bei amazon.de: Öffnen Sie in der Einstellung Mein Konto den Bereich Anmeldung & Sicherheit. Klicken Sie auf die Schaltfläche Passkey und anschliessend auf Einrichten. Eine Abfrage, ob ein Passkey erstellt werden soll, ist das Einzige, was Sie abnicken müssen. Wenn Sie sich später erneut anmelden möchten, geben Sie den Benutzernamen ein. In einem nächsten Schritt wird nicht mehr das Kennwort, Bild 5 A, eingegeben, sondern nur noch die Schaltfläche Melde dich mit einem Passkey an B angeklickt.

Die erzeugten Schlüssel sind nicht einsehbar und lassen sich deshalb auch nicht in einer Excel-Tabelle oder einem kleinen schwarzen Büchlein eintragen. Das sorgt vielleicht für ein mulmiges Gefühl, denn mit der Verwendung von Passkeys geht auch ein Kontrollverlust einher: Es wird alles über die Maschine geregelt. Und falls das Smartphone das einzige Gerät ist, dem die Passkeys bekannt sind und es abhandenkommt, dann ist das der Beginn einer langen und mühsamen Reise, um die Passkeys beim jeweiligen Anbieter wiederherzustellen. Eine der besten Absicherungen gegen dieses Ungemach besteht darin, dass Sie die Passkeys über den Cloud-Dienst Ihres Lieblingssystems synchronisieren.

Passkeys werden über das Microsoft-Konto synchronisiert. Achten Sie darauf, dass Sie die neueste Windows-Version verwenden.

Sinngemäss werden bei Google die Passkeys über das Google-Konto synchronisiert.

Passkeys werden seit macOS 12 respektive iOS 16 und iPadOS 16 im Schlüsselbund gespeichert, der wiederum über iCloud synchronisiert wird. So lässt sich mit dem iPhone ein Passkey generieren und am Mac durch die Eingabe des Konto-Kennwortes verwenden. Seit iOS 17 lassen sich ausserdem Kenn­wörter mit der Familie teilen.

Es geht aber auch anders, indem Sie einen spezialisierten Kennwortmanager verwenden, mit dem Sie nicht nur Passkeys erzeugen und verwalten, sondern diese auch zwischen mehreren Geräten synchronisieren oder sogar die ganze Sammlung mit dem Partner teilen. Bereits die kostenlose Version von Bitwarden (bitwarden.com) bietet diese Möglichkeit, genauso wie 1Password (1password.com). Beide Lösungen speichern die Passkeys in ihrer verschlüsselten Datenbank und synchronisieren sie zwischen mehreren Geräten oder Personen, wenn das gewünscht wird.

Seit jeher ist Sicherheit nicht nur im Sinne der Anwender, sondern auch der Anbieter. So verwundert es nicht, dass auch Internetgrössen wie eBay oder PayPal bereits mit von der Partie sind. Eine Liste mit den wichtigsten Diensten finden Sie unter passkeys.directory. Sie wird von 1Password bereitgestellt, dem eben erwähnten Kennwortmanager.

Falls Sie 1Password bereits verwenden, finden Sie in der Desktop-Anwendung im Bereich Watchtower, Bild 6 A, eine kachelartige Auflistung der sicherheitsrelevanten Aspekte. Dort findet sich eine Liste aller Dienste B, die Passkeys unterstützen. Klicken Sie dazu auf Objekte anzeigen C und beginnen Sie mit den Aufräumarbeiten.

Die Technologie hinter den Passkeys ist noch jung, doch sie wird bestimmt nicht mehr verschwinden. Bis sie sich überall durchgesetzt hat, wird es allerdings einige Jahre dauern. Trotzdem sollten Sie bereits jetzt davon Gebrauch machen und umrüsten, wo immer es möglich ist. Denn Passkeys sind in vielerlei Hinsicht ein Gewinn.