Seit den frühen Tagen des Internets funktioniert der Zugang zu persönlichen Bereichen fast immer nach demselben Prinzip: Man denkt sich einen Benutzernamen und ein Passwort aus und hofft anschließend, beides nicht zu vergessen. Aus einer ursprünglich einfachen Lösung ist inzwischen ein erstaunlich komplizierter Teil unseres digitalen Alltags geworden. Für jede Plattform soll das Passwort möglichst lang, einzigartig und schwer zu erraten sein, Sonderzeichen enthalten und selbstverständlich nirgendwo sonst verwendet werden. Gleichzeitig besitzen viele Menschen Dutzende oder sogar Hunderte Benutzerkonten. Dass diese Anforderungen irgendwann miteinander kollidieren mussten, überrascht kaum. Passwörter werden wiederverwendet, aufgeschrieben, nach leicht merkbaren Mustern aufgebaut oder im schlimmsten Fall mehrfach nur geringfügig verändert. Passwortmanager haben einen Teil dieses Problems gelöst. Nun steht allerdings eine Technik bereit, die noch einen Schritt weitergeht: Passkeys sollen dafür sorgen, dass wir uns viele Passwörter künftig überhaupt nicht mehr merken müssen.
Was ein Passkey eigentlich ist
Ein Passkey ist kein besonders kompliziertes neues Passwort, sondern funktioniert nach einem grundlegend anderen Prinzip. Statt eines gemeinsamen Geheimnisses, das sowohl der Nutzer als auch ein Internetdienst kennen müssen, entsteht bei der Einrichtung ein kryptografisches Schlüsselpaar. Ein Teil davon kann beim jeweiligen Dienst hinterlegt werden, während der entscheidende private Teil beim Nutzer beziehungsweise in dessen Passkey-Verwaltung verbleibt. Beim späteren Anmelden wird nicht mehr das Passwort an die Website übertragen. Stattdessen weist das Gerät kryptografisch nach, dass der passende private Schlüssel vorhanden ist. Für den Nutzer selbst wirkt dieser technisch komplizierte Vorgang erfreulich unspektakulär. Häufig genügt es, das Smartphone oder den Computer so zu entsperren, wie man es ohnehin gewohnt ist: beispielsweise mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Im Hintergrund erledigt das System den Rest.
Der Fingerabdruck wird nicht an die Website geschickt
Gerade die Verwendung biometrischer Verfahren sorgt gelegentlich für ein Missverständnis. Wer sich mit einem Fingerabdruck oder über Gesichtserkennung anmeldet, übermittelt deshalb nicht automatisch biometrische Daten an den Betreiber der Website. Die Biometrie dient auf geeigneten Geräten lediglich dazu, den lokal gespeicherten Zugang freizugeben. Vereinfacht gesagt bestätigt das eigene Gerät, dass die berechtigte Person anwesend ist, und verwendet anschließend den Passkey für den eigentlichen Anmeldevorgang. Der Internetdienst benötigt also weder ein Foto des Gesichts noch einen gespeicherten Fingerabdruck. Auch eine Geräte-PIN kann dieselbe Aufgabe übernehmen. Das macht Passkeys gerade für Menschen interessant, die sich bei der Vorstellung unwohl fühlen, biometrische Merkmale an zahlreiche Unternehmen weiterzugeben. Die biometrische Überprüfung bleibt grundsätzlich eine Angelegenheit des eigenen Geräts.
Warum Passwörter für Angreifer so attraktiv sind
Das klassische Passwort besitzt einen entscheidenden Nachteil: Es ist ein Geheimnis, das weitergegeben werden kann. Genau darauf beruhen zahlreiche erfolgreiche Angriffe. Eine täuschend echt nachgebaute Anmeldeseite kann versuchen, Nutzer zur Eingabe ihres Passworts zu bewegen. Gestohlene Zugangsdaten werden anschließend automatisiert bei anderen Diensten ausprobiert, weil viele Menschen dasselbe Passwort mehrfach verwenden. Auch große Sammlungen früher erbeuteter Benutzername-Passwort-Kombinationen lassen sich für solche Angriffe verwenden. Selbst ein sehr kompliziertes Passwort schützt nur begrenzt, wenn sein Besitzer es auf der falschen Website eingibt. Deshalb wurden zusätzliche Sicherheitsstufen wie SMS-Codes, Authenticator-Apps und Freigaben über ein zweites Gerät eingeführt. Sie verbessern den Schutz erheblich, machen den Anmeldevorgang aber gleichzeitig komplizierter. Passkeys versuchen, Sicherheit und Bedienkomfort wieder stärker zusammenzubringen.
Warum eine gefälschte Login-Seite weniger nützt
Eine besonders wichtige Eigenschaft von Passkeys besteht darin, dass sie an den jeweiligen Internetdienst gebunden sind. Das unterscheidet sie fundamental von einem Passwort, das ein Nutzer theoretisch überall eintippen kann. Eine Phishing-Seite kann zwar so aussehen wie die echte Website einer Bank, eines Onlineshops oder eines sozialen Netzwerks. Sie besitzt aber nicht einfach automatisch die technische Identität des echten Dienstes. Ein Passkey soll deshalb nicht wie ein Passwort an irgendeine beliebige Seite herausgegeben werden können. Genau dadurch wird eine der erfolgreichsten Methoden des klassischen Passwortdiebstahls erheblich schwieriger. Natürlich verschwinden Betrugsversuche damit nicht aus dem Internet. Kriminelle können weiterhin versuchen, Menschen zu manipulieren, Zahlungen umzuleiten oder andere Sicherheitsmechanismen auszutricksen. Aber das simple Abgreifen eines eingegebenen Passworts verliert bei einem vollständig passwortlosen Zugang einen großen Teil seiner Wirkung.
Ein Login kann plötzlich erstaunlich unspektakulär sein
Im Alltag ist wahrscheinlich weniger die Kryptografie interessant als die Frage, wie sich das Anmelden tatsächlich anfühlt. Wer einen Passkey für einen unterstützten Dienst eingerichtet hat, muss sich im Idealfall weder an komplizierte Zeichenfolgen erinnern noch einen Code aus einer SMS abschreiben. Stattdessen wird der Zugang auf dem Gerät bestätigt. Das ähnelt dem Entsperren eines Smartphones und dauert oft nur wenige Augenblicke. Gerade auf Mobilgeräten ist das angenehm, weil lange Passwörter auf kleinen Bildschirmtastaturen besonders lästig sind. Gleichzeitig entfällt die typische Situation, in der ein selten genutztes Konto nach Monaten wieder benötigt wird und niemand mehr weiß, welches Passwort damals vergeben wurde. Der bekannte Link „Passwort vergessen?“ könnte deshalb langfristig deutlich an Bedeutung verlieren.
Passkeys müssen auf mehreren Geräten funktionieren
Ein offensichtliches Problem entsteht allerdings, sobald man darüber nachdenkt, wie viele unterschiedliche Geräte ein durchschnittlicher Nutzer verwendet. Ein Zugang wäre wenig praktisch, wenn er ausschließlich auf dem Smartphone funktionieren würde, auf dem er ursprünglich eingerichtet wurde. Deshalb können Passkeys je nach verwendeter Lösung über einen Anbieter beziehungsweise eine Geräteplattform auf andere eigene Geräte synchronisiert werden. Daneben gibt es auch Passkeys, die bewusst an ein bestimmtes Gerät oder einen Sicherheitsschlüssel gebunden bleiben. Zudem existieren Verfahren, mit denen beispielsweise ein Smartphone bei der Anmeldung auf einem fremden oder neuen Computer helfen kann. Dabei kann etwa ein QR-Code angezeigt werden, den das Smartphone erfasst. Das Telefon bestätigt anschließend die Anmeldung, ohne dass der Passkey dauerhaft auf dem fremden Rechner gespeichert werden muss. Dadurch nähert sich das Verfahren einem entscheidenden Vorteil des Passworts an: Ein Zugang muss auch dann funktionieren, wenn man gerade nicht am üblichen Gerät sitzt.
Der Verlust des Smartphones bedeutet nicht automatisch den Verlust des Kontos
Eine häufige Sorge lautet verständlicherweise: Was passiert, wenn das Smartphone kaputtgeht oder verloren wird? Bei synchronisierten Passkeys können die Zugangsschlüssel über die verwendete Passkey-Verwaltung auch auf anderen beziehungsweise neuen Geräten verfügbar sein. Trotzdem bleibt die Wiederherstellung des Zugangs ein wichtiger Punkt, den Nutzer nicht völlig ignorieren sollten. Schließlich muss irgendwo festgelegt sein, wie eine Person nachweisen kann, dass ein neu eingerichtetes Gerät wirklich ihr gehört. Je nach Anbieter können dabei das bestehende Benutzerkonto, weitere vertrauenswürdige Geräte oder zusätzliche Wiederherstellungsverfahren eine Rolle spielen. Wer wichtige Konten absichert, sollte deshalb auch bei Passkeys darauf achten, welche Wiederherstellungsmöglichkeiten eingerichtet sind. Die Technik beseitigt zwar das Problem vergessener Passwörter, aber sie kann nicht die grundsätzliche Aufgabe abschaffen, eine digitale Identität nach einem Geräteverlust wieder zuverlässig ihrem Besitzer zuzuordnen.
Passkeys und Passwortmanager wachsen zusammen
Interessant ist außerdem, dass Passkeys nicht zwangsläufig ausschließlich an die Hersteller eines Betriebssystems gebunden sein müssen. Auch Anbieter von Passwortmanagern können Passkeys verwalten. Damit verändert sich gleichzeitig die Aufgabe solcher Programme. Ein Passwortmanager war ursprünglich vor allem ein sicherer Tresor für Zugangsdaten. In Zukunft könnte er zunehmend zu einer Verwaltung digitaler Identitäten werden, in der neben klassischen Passwörtern auch Passkeys gespeichert und auf verschiedenen Geräten bereitgestellt werden. Für Nutzer kann das wichtig sein, die nicht ausschließlich innerhalb eines einzigen Geräte-Ökosystems arbeiten. Viele Menschen besitzen beispielsweise ein Android-Smartphone, verwenden einen Windows-PC und greifen gelegentlich auf ein Tablet eines anderen Herstellers zurück. Je selbstverständlicher Passkeys werden, desto wichtiger wird deshalb die Fähigkeit, Zugänge komfortabel zwischen unterschiedlichen Geräten und Plattformen zu verwenden.
Das Passwort verschwindet nicht über Nacht
Trotz aller Vorteile wird es noch lange klassische Passwörter geben. Das Internet besteht aus unzähligen Websites, alten Benutzerkonten, Unternehmenssystemen, Apps und Geräten, die nicht gleichzeitig auf eine neue Anmeldetechnik umgestellt werden können. Manche Dienste bieten Passkeys zunächst zusätzlich zum bisherigen Passwort an. Andere ermöglichen weiterhin mehrere Varianten der Anmeldung. Dadurch entsteht für eine Übergangszeit sogar eine etwas unübersichtliche Situation: Nutzer haben bei einigen Konten ein Passwort, bei anderen einen Passkey und bei wieder anderen beides. Hinzu kommen Einmalcodes, Authenticator-Apps und Wiederherstellungsschlüssel. Der viel beschworene Abschied vom Passwort ist deshalb eher ein längerer Umbau als ein plötzliches Ereignis. Das war bei vielen grundlegenden Internetstandards nicht anders. Neue Technik setzt sich meistens schrittweise durch, sobald genügend Geräte, Browser und Dienste sie zuverlässig unterstützen.
Auch Passkeys lösen nicht jedes Sicherheitsproblem
Es wäre außerdem ein Fehler, Passkeys als endgültige Lösung für sämtliche Gefahren im Internet zu betrachten. Ein Betrüger muss nicht zwingend ein Passwort stehlen, wenn er sein Opfer dazu bringen kann, Geld freiwillig zu überweisen oder sensible Daten herauszugeben. Schadsoftware auf einem kompromittierten Gerät bleibt ebenfalls problematisch. Und wer keinerlei sichere Methode besitzt, ein verlorenes Konto wiederherzustellen, kann auch mit moderner Authentifizierung Schwierigkeiten bekommen. Sicherheit besteht immer aus mehreren Ebenen. Passkeys beseitigen vor allem einige grundlegende Schwächen des Passwortprinzips. Sie verhindern nicht automatisch jeden Identitätsdiebstahl, jeden Social-Engineering-Angriff oder jede betrügerische Website. Gerade darin liegt allerdings ihre Stärke: Sie versuchen nicht, Menschen dazu zu bringen, immer kompliziertere Passwörter fehlerfrei zu verwalten, sondern entfernen einen besonders anfälligen Bestandteil möglichst vollständig aus dem Anmeldevorgang.
Für Nutzer könnte Sicherheit erstmals einfacher werden
Viele Verbesserungen der digitalen Sicherheit hatten bisher einen unangenehmen Nebeneffekt: Sie machten das Leben komplizierter. Aus einem Passwort wurden ein Passwort und ein SMS-Code. Später kam vielleicht noch eine Authenticator-App hinzu. Unternehmen führten immer strengere Passwortregeln ein, wodurch Zugangsdaten zwar theoretisch sicherer, aber gleichzeitig schwerer zu merken wurden. Passkeys drehen dieses Verhältnis in einem wichtigen Punkt um. Ein sichereres Verfahren kann für den Nutzer gleichzeitig einfacher sein. Statt lange Zeichenfolgen einzugeben, genügt eine ohnehin vertraute Gerätefreigabe. Dieser Unterschied könnte wesentlich dafür sein, ob sich die Technik langfristig durchsetzt. Sicherheitsverfahren funktionieren schließlich nur dann wirklich gut, wenn Menschen sie auch verwenden und nicht ständig nach Wegen suchen, sie aus Bequemlichkeit zu umgehen.
Ein kleines Stück Internetgeschichte könnte langsam enden
Das Passwort wird vermutlich noch viele Jahre zum digitalen Alltag gehören. Trotzdem deutet vieles darauf hin, dass seine zentrale Rolle langsam kleiner wird. Das wäre bemerkenswert, denn kaum ein anderes Element des Internets hat sich über Jahrzehnte so hartnäckig gehalten. Generationen von Nutzern haben gelernt, Kennwörter zu erfinden, zu vergessen, zurückzusetzen und erneut zu vergessen. Vielleicht werden sich spätere Internetnutzer irgendwann darüber wundern, dass Menschen früher dieselben geheimen Zeichenfolgen auf zahlreichen Websites eintippen mussten und gleichzeitig hoffen sollten, dass sie niemand abfängt. Passkeys sind technisch wesentlich komplizierter als ein Passwort. Für den Menschen vor dem Bildschirm könnten sie das Internet dagegen ein gutes Stück einfacher machen. Und gerade bei Sicherheit wäre das eine ungewöhnlich angenehme Entwicklung.