Passkeys, ohne Begeisterung erklärt

Ein Passkey ist kein besseres Passwort, sondern etwas anderes: ein Schlüsselpaar. Der eine Teil bleibt auf dem Gerät und verlässt es nie, der andere liegt beim Dienst. Beim Anmelden beweist das Gerät, dass es den privaten Teil besitzt — übertragen wird nichts, was jemand abfangen und wiederverwenden könnte.

Was das im Alltag ändert

Der wichtigste Punkt hat nichts mit Verschlüsselung zu tun: Ein Passkey ist an die Adresse des Dienstes gebunden. Eine täuschend echt nachgebaute Anmeldeseite bekommt schlicht nichts, weil der Schlüssel merkt, dass er mit der falschen Gegenstelle spricht. Genau der Angriff, der in der Praxis funktioniert — siehe Die Angriffe, die tatsächlich ankommen — läuft damit ins Leere.

Was gern übergangen wird

• Wo liegt der Schlüssel? In der Regel im Konto von Apple, Google oder Microsoft, damit er auf mehreren Geräten funktioniert. Damit hängt der Zugang an diesem Konto — es wird zum wichtigsten Schloss im Haus.
• Was passiert beim Gerätewechsel? Bei synchronisierten Passkeys nichts. Bei gerätegebundenen ist der Schlüssel weg. Der Unterschied steht selten gross dabei.
• Wer setzt zurück? Im Unternehmen braucht es jemanden, der einen verlorenen Zugang wiederherstellen kann — und ein Verfahren, das nicht darin besteht, dass diese Person am Telefon geglaubt wird.

Wo es sich heute lohnt

Beim Mailkonto, und dort zuerst. Es ist der Schlüssel zu allen anderen Zugängen. Für den Rest gilt: Passkey einschalten, wo er angeboten wird, den zweiten Faktor aber nicht abschalten, solange das Passwort noch existiert. Sonst gibt es zwei Wege hinein und nur einer ist gut gesichert.