Passkey statt Passwort

Ob Google, Apple oder Microsoft: Immer mehr Software-Anbieter bieten Nutzern die Möglichkeit, sich per Passkey anzumelden. Die Anmeldung soll dadurch einfacher und sicherer werden.  

Wir erklären, was ein Passkey ist, wie Passkeys funktionieren und welche Vorteile sie haben.

Immer Ärger mit den Passwörtern

Wie stehen Sie zu Passwörtern? Falls Sie sie als ein lästiges Übel empfinden, stehen Sie mit Ihrer Meinung nicht alleine da: 41 Prozent der LastPass-Nutzer sehen das scheinbar genauso. Das ist auch wenig verwunderlich, wenn man bedenkt, dass die Anzahl der benutzten Anwendungen, die über Anmeldedaten zugänglich sind, stetig steigt – und damit einhergehend auch die Anzahl der verwendeten Passwörter.

Denn: Wenn man es mit der Passwortsicherheit genau nimmt, muss für jede Anwendung ein eigenes Passwort festgelegt werden. Und zwar keines, das auf der Hitliste der beliebtesten Passwörter steht und dementsprechend unsicher ist. Ein sicheres Passwort sieht ganz anders aus: Laut BSI sollte es mindestens acht Zeichen beinhalten und dabei vier Zeichenarten (Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen) kombinieren.

Merken kann sich das allerdings niemand, weshalb Passwort-Manager immer häufiger zum Einsatz kommen. Sie vereinfachen die Sache zwar ungemein, Spaß macht die Passwort-Nutzung aber trotzdem nicht. Genau deshalb arbeiten immer mehr Anwendungen inzwischen mit einer Alternative: Passkeys.

Wie war nochmal das Passwort? Dieses Rätselraten gibt es beim Passkey nicht. Bild: Pexels/Djordje Petrovic

Was ist ein Passkey?

Als Passkey wird ein passwortloser Login bezeichnet. Dabei kommt ein Anmeldemerkmal zum Einsatz, das auf dem Computer oder Telefon gespeichert ist und zum Entsperren von Online-Konten verwendet wird. Eine bereits gängige Methode sieht so aus: Will sich ein Nutzer bei einer Webseite oder in einer App anmelden, gibt er seinen Benutzernamen oder seine E-Mail-Adresse ein und gibt dann über die Gerätesperre auf dem Smartphone – also Fingerabdruck, Gesichtserkennung, PIN oder Muster – den Zugang zum Account frei. Ein Passwort wird also nicht mehr benötigt.

Passkeys basieren auf einem Konzept der FIDO (Fast IDentity Online) Alliance, das als neuer Standard für die sichere Anmeldung bei Online-Accounts gilt. Unter anderem haben sich Google, Apple und Microsoft dazu verpflichtet, diesen neuen Anmeldestandard zu unterstützen. Einerseits, um Nutzern die Möglichkeit einer „passwortlosen Zukunft“ bieten zu können, andererseits, um den Anmeldevorgang sicherer zu gestalten. Denn: Anders als Passwörter können Passkeys nicht erraten oder wiederverwendet werden und schützen private Daten daher effektiv vor Angreifern.

Wie funktionieren Passkeys?

Sie fragen sich, wie ein Passkey ganz konkret funktioniert? Dann haben wir, am Beispiel des Google-Kontos, eine Schritt-für-Schritt-Anleitung für Sie:

1. Passkeys aktivieren:
   In diesem Schritt aktivieren Sie die Passkey-Anmeldung in Ihrem Google-Konto. Sobald Sie diese Option aktiviert haben, können Sie sich bei Websites und Apps mit Passkeys anmelden. So gehen Sie vor:
   • Öffnen Sie Ihr Google-Konto.
   • Gehen Sie auf „Sicherheit“.
   • Scrollen Sie nach unten und aktivieren Sie die Option „Passkey-Anmeldung“.
2. Passkey für eine Website oder App erstellen:
   In diesem Schritt erstellen Sie einen Passkey für eine Website oder App. Dazu scannen Sie einen QR-Code mit Ihrem FIDO-Key. Ihr FIDO-Key generiert dann einen öffentlichen Schlüssel, der mit dem privaten Schlüssel der Website oder App verglichen wird. Wenn die Schlüssel übereinstimmen, wird der Passkey erstellt. Hier das genaue Vorgehen:
   • Melden Sie sich bei der Website oder App an.
   • Wählen Sie die Option „Passkey erstellen“.
   • Scannen Sie den QR-Code auf Ihrem Computer oder Telefon mit Ihrem FIDO-Key.
   • Bestätigen Sie den Passkey auf Ihrem Computer oder Telefon.
3. Passkey verwenden:
   Um den Passkey zu nutzen, melden Sie sich bei einer Website oder App an. Dazu entsperren Sie Ihren Computer oder Ihr Telefon mit Ihrem FIDO-Key. Dadurch wird wieder ein öffentlicher Schlüssel generiert und mit dem privaten Schlüssel der Website oder App abgeglichen. Stimmen die Schlüssel überein, erfolgt die Anmeldung. Hier die Anleitung:
   • Melden Sie sich bei der Website oder App an.
   • Wählen Sie die Option „Passkey verwenden“.
   • Entsperren Sie Ihren Computer oder Ihr Telefon mit Ihrem FIDO-Key.
   • Bestätigen Sie den Passkey auf Ihrem Computer oder Telefon.

Achtung: Für Mitarbeiter von Unternehmen, die Google-Workspace-Konten verwenden, bietet sich die Passkey-Anmeldemethode noch nicht – unter anderem weil sich Passkeys nur auf eigenen Geräten einrichten lassen, aber nicht auf Unternehmensgeräten.

Mit dem Passkey bestätigen Nutzer ihre Anmeldung bequem über das Smartphone. Bild: Pexels/Yan Krukau

Passkeys: Das sind die Vorteile

Passkeys sollen also eine einfache und praktische Möglichkeit darstellen, sich bei Online-Konten anzumelden, und dadurch eine passwortlose Zukunft einläuten. Wir haben die drei wichtigsten Vorteile für Sie zusammengefasst:

• Bequemlichkeit:
  Passwörter adé, heißt es dank der neuen Passkeys. Nutzer müssen dadurch in Zukunft weder auf die unsichere Passwortvergabe – nämlich die Namen von Haustieren, Geburtstage oder das berüchtigte „Passwort123“ – zurückgreifen, noch im Zuge einer sicheren Passwortvergabe eine teilweise komplizierte Passwortverwaltung in Kauf nehmen. Passkeys sollen für Nutzer in erster Linie unkompliziert und bequem sein.
• Sicherheit:
  Wie oft ist davon zu hören, dass Hacker Passwörter erbeuten konnten und diese im Darknet veröffentlichen? Mit Passkeys ist ein Mittel dagegen gefunden! Denn: Passkeys sind eine sicherere Alternative zu herkömmlichen Passwörtern, da sie nicht gespeichert werden müssen und daher nicht gehackt werden können. Passkeys sind außerdem widerstandsfähig gegen Online-Angriffe wie Phishing und zudem sicherer als SMS-Einmalcodes, die abgefangen oder umgeleitet werden können.
• Kompatibilität:
  Passkeys basieren auf den FIDO2- und WebAuthn-Standards. Diese Standards werden von einer Vielzahl von Unternehmen unterstützt, darunter Google, Apple, Microsoft und Samsung. Dadurch sind Passkeys mit verschiedenen Geräten, unterschiedlichen Betriebssystem und in vielen Diensten und Apps nutzbar.

Sie sehen: Passkeys sind eine unkompliziertere und sicherere Alternative zu Passwörtern. Daher setzen inzwischen auch schon verschiedene Anbieter und Webseiten auf diese Art der passwortlosen Anmeldung.

Diese Webseiten setzen auf Passkeys

Allen voran sind hier Apple, Google und Microsoft zu nennen. Die Konzerne haben – um die erwähnte Komptabilität zu gewährleisten – nach dem FIDO-Konzept gemeinsam Passkeys entwickelt und diese in den Betriebssystemen iOS, macOS, Android und Windows verfügbar gemacht. Google beispielsweise hat die passwortlose Anmeldung im Oktober 2023 für Nutzer ausgerollt – allerdings (vorerst) nur für private Nutzer.

Neben Apple, Google und Microsoft bieten aber noch weitere Dienste und Webseiten bereits eine Passkey-Anmeldung an. Dazu zählen beispielsweise Firefox, Facebook, Twitter, PayPal und Shopify. Es ist zu erwarten, dass in naher Zukunft immer mehr Geräte und Dienste Passkeys unterstützen werden. Das wird vor allem jene Nutzer, die mit den herkömmlichen Passwörtern auf Kriegsfuß stehen, sicherlich freuen.

Passkeys könnten Passwörter als Anmeldemethode bald ablösen. Bild: Pexels/Tony Schnagl

Wir helfen bei der Passwort-Sicherheit

Passkeys sind also eine neue Möglichkeit, sich bei Apps und Websites anzumelden – und zwar auf die gleiche Weise, wie Benutzer ihre Geräte entsperren. Damit sind sie nicht nur benutzerfreundlicher als Passwörter, sondern bieten gleichzeitig auch mehr Sicherheit.

Prognosen gehen daher davon aus, dass es Passwörter, wie wir sie heute kennen, in nicht allzu ferner Zukunft nicht mehr geben. Noch ist es aber nicht soweit, weshalb insbesondere Unternehmen in Sachen Passwort-Sicherheit weiterhin gefordert sind. Besonders ratsam ist es, Mitarbeiter regelmäßig über die Bedeutung sicherer Passwörter zu informieren und die Nutzung eines Passwort-Managers für alle verbindlich zu machen.

Die Experten aus dem IT-SERVICE.NETWORK helfen dabei gern. Denn: Sie bieten sowohl die Implementierung von Tools wie einem Passwort-Manager als auch die Schulung von Mitarbeitern bezüglich Cyberrisiken an (oder sie können solche Schulungen vermitteln). Dadurch lässt sich das Risiko von unsicheren Passwörtern als Einfallstor für Cyberattacken zumindest reduzieren. Sie möchten mehr erfahren? Sprechen Sie uns an!

Weiterführende Informationen:
Datensicherheit.de, heise, heise, Google, Google, Google, Google, Google
Zur besseren Lesbarkeit verwenden wir im Text die männliche Form. Gemeint sind jedoch immer alle Geschlechter und Geschlechtsidentitäten.

Geschrieben von

Janina Kröger

Seit Anfang 2019 ist Janina Kröger für den Blog des IT-SERVICE.NETWORK verantwortlich – anfangs in der Position der Online-Redakteurin und inzwischen als Content Marketing Managerin. Die studierte Germanistin/Anglistin und ausgebildete Redakteurin behält das Geschehen auf dem IT-Markt im Blick, verfolgt gespannt neue Trends und Technologien und beobachtet aktuelle Bedrohungen im Bereich des Cybercrime. Die relevantesten… Weiterlesen

Fragen zum Artikel? Frag den Autor