Passwortlose Zukunft: Umfassende FAQ zu Passkeys

Was ist ein Passkey und wie funktioniert er?

Passkeys sind eine Form der Authentifizierung, mit der Sie schnell Konten erstellen und sich anmelden können – ohne ein weniger sicheres Passwort verwenden zu müssen. Diese sichere Anmeldemethode in einem Schritt ersetzt herkömmliche Authentifizierungsmethoden sowie den Prozess der Zwei-Faktor-Authentifizierung (2FA). Noch besser: Mit Passkeys erstellen Sie nie wieder ein schwaches Passwort, denn Sie müssen nie wieder ein Passwort erstellen.

Ersetzen Passkeys physische Hardware-Schlüssel wie YubiKeys?

Ein moderner YubiKey kann als eine Form von Passkey verwendet werden. Genauer gesagt handelt es sich dabei um einen sogenannten Sicherheitsschlüssel oder „gerätegebundenen Passkey“ – der Schlüssel selbst befindet sich auf dem kleinen Gerät und wird nie synchronisiert oder gesichert. Dadurch können sie schwieriger zu verwenden sein als synchronisierte Passkeys, in bestimmten Szenarien aber nützlich sein.

Sind Passkeys dasselbe wie passwortlos?

Ja. Da Passkeys kein Passwort erfordern, gelten sie als passwortlose Authentifizierungsmethode. Beachten Sie, dass Passkeys im Allgemeinen sicherer sind als andere Formen der passwortlosen Authentifizierung, die leichter durch Phishing angegriffen werden können.

Wie verwendet man Passkeys am besten?

Die Verwendung eines Passkeys ist viel einfacher, als Sie vielleicht denken. Wenn Sie sich für ein neues Konto registrieren, erstellen Sie statt eines herkömmlichen Benutzernamens und Passworts (und der zusätzlichen Registrierung für die zweistufige Anmeldung) einen einzigen Passkey. Dieser Passkey kann mit den biometrischen Daten auf Ihrem Gerät (z. B. einem Fingerabdruckscanner) oder einer PIN gekoppelt werden, wenn der Passkey eine Benutzerverifizierung erfordert. Wenn Sie sich also beim Konto anmelden, müssen Sie sich nur per Biometrie oder PIN authentifizieren, um Zugriff zu erhalten. Biometrische Daten werden nur lokal auf Ihrem Gerät verwendet und niemals an die Website gesendet.

Wie läuft die Einrichtung eines Passkeys ab? Wie ändert sich dieser Prozess, wenn ich die Website oder App künftig aufrufe?

Wenn eine Website oder App, die zuvor einen herkömmlichen Benutzernamen und ein Passwort verwendet hat, Unterstützung für Passkeys aktiviert, reicht oft ein Klick auf eine Schaltfläche, um Ihren ersten Passkey zu erstellen. Der Vorgang ist so einfach wie das Entsperren Ihres Geräts. Im Hintergrund wird beim Erstellen eines Passkeys ein kryptografisches Schlüsselpaar generiert. Der erste ist der öffentliche Schlüssel, der auf der Website gespeichert wird, für die Sie das Konto erstellen. Der zweite ist der private Schlüssel, der auf Ihrem Gerät oder in Ihrem Bitwarden-Tresor gespeichert wird. Dieses Schlüsselpaar wird auf Ihrem Gerät durch Ihren biometrischen Fingerabdruck oder Gesichtsscan geschützt.

Welche Informationen sind für die Einrichtung eines Passkeys erforderlich?

Wenn Sie einen Passkey für eine Website erstellen, müssen Sie sich zunächst mit Ihrem bestehenden Benutzernamen und Passwort anmelden. Der Server sendet dann eine Anfrage an Ihren Browser, bestimmte Verschlüsselungsinformationen bereitzustellen. Anschließend müssen Sie die Anfrage z. B. per Biometrie (Fingerabdruckscanner oder Gesichtsentsperrung) oder mit der PIN Ihres Geräts bestätigen. Nach erfolgreicher Verifizierung generiert Ihr Gerät das Schlüsselpaar und sendet den öffentlichen Schlüssel an die Website. Das sind alle Informationen, die Sie bei der Einrichtung eines Passkeys bereitstellen müssen.

Wo werden meine Passkeys gespeichert?

Der öffentliche Schlüssel wird auf der Website gespeichert und der private Schlüssel auf Ihrem Gerät oder bei Ihrem Passkey-Anbieter, z. B. in Ihrem Bitwarden-Tresor.

Wie schneiden Passwörter und Passkeys aus Sicherheitsperspektive im Vergleich ab?

Passkeys sind aus mehreren Gründen sicherer als die herkömmliche Authentifizierung mit Benutzername und Passwort. In erster Linie können Sie keine leicht zu knackenden Passwörter wie „Passwort“ verwenden. Außerdem ist die 2FA in den Passkey integriert, und jemand könnte nur dann auf Ihr Konto zugreifen, wenn er sowohl den privaten Schlüssel als auch Ihre biometrische Anmeldung oder die PIN Ihres Geräts hat.

Benötige ich 2FA mit meinem Passkey?

Nein, denn die 2FA ist in den Passkey integriert, der der Website beim Anmeldevorgang bereitgestellt wird. Jede Website kann jedoch einen zusätzlichen Schritt für die Anmeldung vorsehen, auch wenn die meisten dies nicht tun.

Kann mein Passkey gehackt werden?

Nichts ist zu 100 % narrensicher. Um einen Passkey zu hacken, wäre jedoch ein erheblicher Aufwand erforderlich: Man müsste nicht nur Zugriff auf das Gerät erhalten, auf dem der private Schlüssel gespeichert ist, sondern auch in Ihr Gerät eindringen, z. B. indem Ihre biometrische Anmeldung (Fingerabdruck oder Gesicht) oder die PIN Ihres Geräts nachgebildet wird. Deshalb sind Passkeys deutlich sicherer als herkömmliche Methoden.

Was passiert, wenn ich mein Smartphone verliere? Wie stelle ich meinen Passkey wieder her, wenn es nichts wie ein Passwort gibt, mit dem ich mich identifizieren kann?

Passkeys können häufig zwischen Ihren Geräten synchronisiert werden, allerdings unterstützen noch nicht alle Plattformen dies. Bitwarden ermöglicht es Ihnen, Ihre Passkeys in Ihrem Tresor zu speichern, der gesichert wird und zwischen all Ihren Geräten synchronisiert wird. Sollten Sie Ihre Passkeys irgendwie verlieren, bieten die meisten Websites Wiederherstellungsoptionen, sodass Sie einen neuen Passkey für Ihr Konto erstellen können. Dies hängt natürlich von der jeweiligen Website ab.

Was passiert, wenn mein Gerät gestohlen wird? Kann ein Dieb auf diese Weise Zugriff auf Passkeys erhalten?

Ein Dieb könnte Ihre Passkeys auf Ihrem Gerät nur dann erfolgreich verwenden, wenn er auch Ihr Gerät entsperren kann und dadurch effektiv vollständigen Zugriff auf Ihre Daten erhält. Allerdings erfordert jede Verwendung eines Passkeys häufig eine Benutzerverifizierung wie Biometrie oder die erneute Eingabe der Geräte-PIN. Daher würde es nicht ausreichen, Ihr Gerät zu stehlen, während es entsperrt ist.

Google hat kürzlich die Unterstützung von Passkeys angekündigt. Ist das dasselbe, was Bitwarden ankündigt?

Teilweise. Google hat angekündigt, Unterstützung für die Passkey-Authentifizierung für Workspace-Konten hinzugefügt zu haben. Das bedeutet, dass sich Benutzer mit einem Passkey statt mit ihrem üblichen Passwort bei ihrem Google Workspace anmelden können. Ebenso können Bitwarden-Benutzer mit einem Passkey statt mit ihrem Master-Passwort auf ihre Bitwarden-Konten zugreifen.

Bitwarden hat außerdem angekündigt, dass Benutzer registrierte Passkeys, die mit den von ihnen genutzten Websites und Anwendungen verknüpft sind, direkt in ihren Tresoren speichern, aufbewahren und verwalten können. Google ermöglicht es also nun, Passkeys für Konten zu verwenden, und Bitwarden kann Passkeys in Tresoren speichern.

Verwende ich denselben Passkey unabhängig vom Browser, den ich nutze, oder benötigt jede Website je nach Browser oder Gerät einen anderen Passkey?

Die in Bitwarden gespeicherten Passkeys sind synchronisierte Passkeys. Das bedeutet: In jedem Browser, in dem Sie bei der Bitwarden-Erweiterung angemeldet sind, oder auf jedem Gerät, auf dem Sie die mobile Bitwarden-App installiert haben, können Sie mit denselben Passkeys auf Ihre Konten zugreifen, ohne neue erstellen zu müssen. Wenn Sie Ihre Passkeys nicht in Bitwarden speichern, hängt es davon ab, wie gut der Browser in das Betriebssystem Ihres Geräts integriert ist, auf dem die Passkeys gespeichert sind.

Die wachsende Liste der Websites, die derzeit Passkeys unterstützen, umfasst Best Buy, Cloudflare, eBay, Google, Kayak, PayPal und GitHub. Ein von der Community gepflegter Passkey-Index ist verfügbar auf GitHub.

Benutzer können mit unterstützten Browsern einen Passkey verwenden, um ohne Master-Passwort auf ihre Konten in der Web-App zuzugreifen. Passkeys können außerdem in Bitwarden-Tresoren erstellt und gespeichert werden, um auf Websites zuzugreifen, die Passkeys unterstützen.

Können Passkeys plattformübergreifend verwendet werden? Falls nicht, gibt es Probleme, wenn Sie je nach verwendeter Plattform unterschiedliche Passkeys haben?

Es gibt zwei Arten von Passkeys: gerätegebundene Passkeys und synchronisierte Passkeys. Gerätegebundene Passkeys sind auf das Gerät beschränkt, auf dem sie erstellt wurden. Synchronisierte Passkeys können in einem Passkey-Anbieter wie Bitwarden gespeichert und überall dort verwendet werden, wo Sie angemeldet sind.

Bin ich an die Verwendung von Passkeys gebunden, wenn ich mich dafür entscheide?

Das hängt von der Website oder dem Konto ab. Einige Websites entscheiden sich möglicherweise dafür, nur Passkey-Authentifizierung anzubieten, während andere herkömmliche Authentifizierung mit Benutzername und Passwort oder Authentifizierung mit Benutzername, Passwort und 2FA anbieten.

Können Passkeys mit anderen vertrauenswürdigen Personen geteilt werden?

Das hängt von der Plattform ab. Einige Plattformen, darunter Bitwarden, ermöglichen es, Passkeys mit vertrauenswürdigen Personen zu teilen.

Gibt es Support, z. B. einen Live-Chat-Mitarbeiter, mit dem ich sprechen kann, wenn ich Probleme mit meinem Passkey habe?

Das hängt von der Website ab. Wenn eine Website Passkey-Authentifizierung unterstützt und Support anbietet, kann sie Ihre Fragen zur Passkey-Authentifizierung für diese bestimmte Website beantworten.

Kann ich meinen Passkey entfernen, wenn ich ihn nicht mehr verwenden möchte?

Ja. Das erfolgt auf dieselbe Weise, wie Sie ein Passwort auf Ihrem Gerät entfernen würden.