Was ein Passkey eigentlich ist

Ein Passkey ist kein besonders kompliziertes neues Passwort, sondern funktioniert nach einem grundlegend anderen Prinzip. Statt eines gemeinsamen Geheimnisses, das sowohl der Nutzer als auch ein Internetdienst kennen müssen, entsteht bei der Einrichtung ein kryptografisches Schlüsselpaar. Ein Teil davon kann beim jeweiligen Dienst hinterlegt werden, während der entscheidende private Teil beim Nutzer beziehungsweise in dessen Passkey-Verwaltung verbleibt. Beim späteren Anmelden wird nicht mehr das Passwort an die Website übertragen. Stattdessen weist das Gerät kryptografisch nach, dass der passende private Schlüssel vorhanden ist. Für den Nutzer selbst wirkt dieser technisch komplizierte Vorgang erfreulich unspektakulär. Häufig genügt es, das Smartphone oder den Computer so zu entsperren, wie man es ohnehin gewohnt ist: beispielsweise mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Im Hintergrund erledigt das System den Rest.

Der Fingerabdruck wird nicht an die Website geschickt

Gerade die Verwendung biometrischer Verfahren sorgt gelegentlich für ein Missverständnis. Wer sich mit einem Fingerabdruck oder über Gesichtserkennung anmeldet, übermittelt deshalb nicht automatisch biometrische Daten an den Betreiber der Website. Die Biometrie dient auf geeigneten Geräten lediglich dazu, den lokal gespeicherten Zugang freizugeben. Vereinfacht gesagt bestätigt das eigene Gerät, dass die berechtigte Person anwesend ist, und verwendet anschließend den Passkey für den eigentlichen Anmeldevorgang. Der Internetdienst benötigt also weder ein Foto des Gesichts noch einen gespeicherten Fingerabdruck. Auch eine Geräte-PIN kann dieselbe Aufgabe übernehmen. Das macht Passkeys gerade für Menschen interessant, die sich bei der Vorstellung unwohl fühlen, biometrische Merkmale an zahlreiche Unternehmen weiterzugeben. Die biometrische Überprüfung bleibt grundsätzlich eine Angelegenheit des eigenen Geräts.

Warum Passwörter für Angreifer so attraktiv sind

Das klassische Passwort besitzt einen entscheidenden Nachteil: Es ist ein Geheimnis, das weitergegeben werden kann. Genau darauf beruhen zahlreiche erfolgreiche Angriffe. Eine täuschend echt nachgebaute Anmeldeseite kann versuchen, Nutzer zur Eingabe ihres Passworts zu bewegen. Gestohlene Zugangsdaten werden anschließend automatisiert bei anderen Diensten ausprobiert, weil viele Menschen dasselbe Passwort mehrfach verwenden. Auch große Sammlungen früher erbeuteter Benutzername-Passwort-Kombinationen lassen sich für solche Angriffe verwenden. Selbst ein sehr kompliziertes Passwort schützt nur begrenzt, wenn sein Besitzer es auf der falschen Website eingibt. Deshalb wurden zusätzliche Sicherheitsstufen wie SMS-Codes, Authenticator-Apps und Freigaben über ein zweites Gerät eingeführt. Sie verbessern den Schutz erheblich, machen den Anmeldevorgang aber gleichzeitig komplizierter. Passkeys versuchen, Sicherheit und Bedienkomfort wieder stärker zusammenzubringen.

Warum eine gefälschte Login-Seite weniger nützt

Eine besonders wichtige Eigenschaft von Passkeys besteht darin, dass sie an den jeweiligen Internetdienst gebunden sind. Das unterscheidet sie fundamental von einem Passwort, das ein Nutzer theoretisch überall eintippen kann. Eine Phishing-Seite kann zwar so aussehen wie die echte Website einer Bank, eines Onlineshops oder eines sozialen Netzwerks. Sie besitzt aber nicht einfach automatisch die technische Identität des echten Dienstes. Ein Passkey soll deshalb nicht wie ein Passwort an irgendeine beliebige Seite herausgegeben werden können. Genau dadurch wird eine der erfolgreichsten Methoden des klassischen Passwortdiebstahls erheblich schwieriger. Natürlich verschwinden Betrugsversuche damit nicht aus dem Internet. Kriminelle können weiterhin versuchen, Menschen zu manipulieren, Zahlungen umzuleiten oder andere Sicherheitsmechanismen auszutricksen. Aber das simple Abgreifen eines eingegebenen Passworts verliert bei einem vollständig passwortlosen Zugang einen großen Teil seiner Wirkung.

Ein Login kann plötzlich erstaunlich unspektakulär sein

Im Alltag ist wahrscheinlich weniger die Kryptografie interessant als die Frage, wie sich das Anmelden tatsächlich anfühlt. Wer einen Passkey für einen unterstützten Dienst eingerichtet hat, muss sich im Idealfall weder an komplizierte Zeichenfolgen erinnern noch einen Code aus einer SMS abschreiben. Stattdessen wird der Zugang auf dem Gerät bestätigt. Das ähnelt dem Entsperren eines Smartphones und dauert oft nur wenige Augenblicke. Gerade auf Mobilgeräten ist das angenehm, weil lange Passwörter auf kleinen Bildschirmtastaturen besonders lästig sind. Gleichzeitig entfällt die typische Situation, in der ein selten genutztes Konto nach Monaten wieder benötigt wird und niemand mehr weiß, welches Passwort damals vergeben wurde. Der bekannte Link „Passwort vergessen?“ könnte deshalb langfristig deutlich an Bedeutung verlieren.

Passkeys müssen auf mehreren Geräten funktionieren

Ein offensichtliches Problem entsteht allerdings, sobald man darüber nachdenkt, wie viele unterschiedliche Geräte ein durchschnittlicher Nutzer verwendet. Ein Zugang wäre wenig praktisch, wenn er ausschließlich auf dem Smartphone funktionieren würde, auf dem er ursprünglich eingerichtet wurde. Deshalb können Passkeys je nach verwendeter Lösung über einen Anbieter beziehungsweise eine Geräteplattform auf andere eigene Geräte synchronisiert werden. Daneben gibt es auch Passkeys, die bewusst an ein bestimmtes Gerät oder einen Sicherheitsschlüssel gebunden bleiben. Zudem existieren Verfahren, mit denen beispielsweise ein Smartphone bei der Anmeldung auf einem fremden oder neuen Computer helfen kann. Dabei kann etwa ein QR-Code angezeigt werden, den das Smartphone erfasst. Das Telefon bestätigt anschließend die Anmeldung, ohne dass der Passkey dauerhaft auf dem fremden Rechner gespeichert werden muss. Dadurch nähert sich das Verfahren einem entscheidenden Vorteil des Passworts an: Ein Zugang muss auch dann funktionieren, wenn man gerade nicht am üblichen Gerät sitzt.

Der Verlust des Smartphones bedeutet nicht automatisch den Verlust des Kontos

Eine häufige Sorge lautet verständlicherweise: Was passiert, wenn das Smartphone kaputtgeht oder verloren wird? Bei synchronisierten Passkeys können die Zugangsschlüssel über die verwendete Passkey-Verwaltung auch auf anderen beziehungsweise neuen Geräten verfügbar sein. Trotzdem bleibt die Wiederherstellung des Zugangs ein wichtiger Punkt, den Nutzer nicht völlig ignorieren sollten. Schließlich muss irgendwo festgelegt sein, wie eine Person nachweisen kann, dass ein neu eingerichtetes Gerät wirklich ihr gehört. Je nach Anbieter können dabei das bestehende Benutzerkonto, weitere vertrauenswürdige Geräte oder zusätzliche Wiederherstellungsverfahren eine Rolle spielen. Wer wichtige Konten absichert, sollte deshalb auch bei Passkeys darauf achten, welche Wiederherstellungsmöglichkeiten eingerichtet sind. Die Technik beseitigt zwar das Problem vergessener Passwörter, aber sie kann nicht die grundsätzliche Aufgabe abschaffen, eine digitale Identität nach einem Geräteverlust wieder zuverlässig ihrem Besitzer zuzuordnen.

Passkeys und Passwortmanager wachsen zusammen

Interessant ist außerdem, dass Passkeys nicht zwangsläufig ausschließlich an die Hersteller eines Betriebssystems gebunden sein müssen. Auch Anbieter von Passwortmanagern können Passkeys verwalten. Damit verändert sich gleichzeitig die Aufgabe solcher Programme. Ein Passwortmanager war ursprünglich vor allem ein sicherer Tresor für Zugangsdaten. In Zukunft könnte er zunehmend zu einer Verwaltung digitaler Identitäten werden, in der neben klassischen Passwörtern auch Passkeys gespeichert und auf verschiedenen Geräten bereitgestellt werden. Für Nutzer kann das wichtig sein, die nicht ausschließlich innerhalb eines einzigen Geräte-Ökosystems arbeiten. Viele Menschen besitzen beispielsweise ein Android-Smartphone, verwenden einen Windows-PC und greifen gelegentlich auf ein Tablet eines anderen Herstellers zurück. Je selbstverständlicher Passkeys werden, desto wichtiger wird deshalb die Fähigkeit, Zugänge komfortabel zwischen unterschiedlichen Geräten und Plattformen zu verwenden.

Das Passwort verschwindet nicht über Nacht

Trotz aller Vorteile wird es noch lange klassische Passwörter geben. Das Internet besteht aus unzähligen Websites, alten Benutzerkonten, Unternehmenssystemen, Apps und Geräten, die nicht gleichzeitig auf eine neue Anmeldetechnik umgestellt werden können. Manche Dienste bieten Passkeys zunächst zusätzlich zum bisherigen Passwort an. Andere ermöglichen weiterhin mehrere Varianten der Anmeldung. Dadurch entsteht für eine Übergangszeit sogar eine etwas unübersichtliche Situation: Nutzer haben bei einigen Konten ein Passwort, bei anderen einen Passkey und bei wieder anderen beides. Hinzu kommen Einmalcodes, Authenticator-Apps und Wiederherstellungsschlüssel. Der viel beschworene Abschied vom Passwort ist deshalb eher ein längerer Umbau als ein plötzliches Ereignis. Das war bei vielen grundlegenden Internetstandards nicht anders. Neue Technik setzt sich meistens schrittweise durch, sobald genügend Geräte, Browser und Dienste sie zuverlässig unterstützen.

Auch Passkeys lösen nicht jedes Sicherheitsproblem

Es wäre außerdem ein Fehler, Passkeys als endgültige Lösung für sämtliche Gefahren im Internet zu betrachten. Ein Betrüger muss nicht zwingend ein Passwort stehlen, wenn er sein Opfer dazu bringen kann, Geld freiwillig zu überweisen oder sensible Daten herauszugeben. Schadsoftware auf einem kompromittierten Gerät bleibt ebenfalls problematisch. Und wer keinerlei sichere Methode besitzt, ein verlorenes Konto wiederherzustellen, kann auch mit moderner Authentifizierung Schwierigkeiten bekommen. Sicherheit besteht immer aus mehreren Ebenen. Passkeys beseitigen vor allem einige grundlegende Schwächen des Passwortprinzips. Sie verhindern nicht automatisch jeden Identitätsdiebstahl, jeden Social-Engineering-Angriff oder jede betrügerische Website. Gerade darin liegt allerdings ihre Stärke: Sie versuchen nicht, Menschen dazu zu bringen, immer kompliziertere Passwörter fehlerfrei zu verwalten, sondern entfernen einen besonders anfälligen Bestandteil möglichst vollständig aus dem Anmeldevorgang.

Für Nutzer könnte Sicherheit erstmals einfacher werden

Viele Verbesserungen der digitalen Sicherheit hatten bisher einen unangenehmen Nebeneffekt: Sie machten das Leben komplizierter. Aus einem Passwort wurden ein Passwort und ein SMS-Code. Später kam vielleicht noch eine Authenticator-App hinzu. Unternehmen führten immer strengere Passwortregeln ein, wodurch Zugangsdaten zwar theoretisch sicherer, aber gleichzeitig schwerer zu merken wurden. Passkeys drehen dieses Verhältnis in einem wichtigen Punkt um. Ein sichereres Verfahren kann für den Nutzer gleichzeitig einfacher sein. Statt lange Zeichenfolgen einzugeben, genügt eine ohnehin vertraute Gerätefreigabe. Dieser Unterschied könnte wesentlich dafür sein, ob sich die Technik langfristig durchsetzt. Sicherheitsverfahren funktionieren schließlich nur dann wirklich gut, wenn Menschen sie auch verwenden und nicht ständig nach Wegen suchen, sie aus Bequemlichkeit zu umgehen.

Ein kleines Stück Internetgeschichte könnte langsam enden

Das Passwort wird vermutlich noch viele Jahre zum digitalen Alltag gehören. Trotzdem deutet vieles darauf hin, dass seine zentrale Rolle langsam kleiner wird. Das wäre bemerkenswert, denn kaum ein anderes Element des Internets hat sich über Jahrzehnte so hartnäckig gehalten. Generationen von Nutzern haben gelernt, Kennwörter zu erfinden, zu vergessen, zurückzusetzen und erneut zu vergessen. Vielleicht werden sich spätere Internetnutzer irgendwann darüber wundern, dass Menschen früher dieselben geheimen Zeichenfolgen auf zahlreichen Websites eintippen mussten und gleichzeitig hoffen sollten, dass sie niemand abfängt. Passkeys sind technisch wesentlich komplizierter als ein Passwort. Für den Menschen vor dem Bildschirm könnten sie das Internet dagegen ein gutes Stück einfacher machen. Und gerade bei Sicherheit wäre das eine ungewöhnlich angenehme Entwicklung.

Der Beitrag Passkeys statt Passwörter: So verändert sich der digitale Login erschien zuerst auf Netzperlentaucher.

Versicherung

Ein wichtiger Grund, für eine odentliche Sicherung zu sorgen, ist die Versicherung. Ist man gegen Diebstahl, Einbruch und andere Schäden versichert, ist man im Schadensfall gefordert, nazuweisen, dass man seinen Besitz auch entsprechend gesichert hat. Lässt man das Auto unversperrt, steigt die Versicherung aus. Aber auch weniger offensichtliche Mängel können für eine Ablehung eines Schadensfalles. oder zumindest zu einer Teilschuld führen. Damit muss man einen Teil, oder sogar den ganzen Schaden selbst bezahlen. Was bei der Haus-, oder Wohnungstüre ganz selbstverständlich ist, das wird im Garten oft lockerer gesehen. Die Gartentüre, oder die Einfahrt bleibten offen. Oft steht auch das Garagentor offen und bietet Einbrechern Gelegenheit unbemerkt und in aller Ruhe ein Schloss zu knacken, während der Besitzer nicht im Haus ist.

Absperrtechnik

Es ist tatsächlich viel Aufwand jeden Tag das Gartentor, oder das Garagentor zuerst manuell zu öffnen, dann das Auto abzustellen und es wieder zu schließen. Bei schlechtem Wetter, oder im Winter kann das ziemlich unangenehm sein. Eine mögliche Lösung ist die Anschaffung eines Torantriebs. Bei Online-Anbietern kann man entsprechende Torantriebe bequem bestellen. Mit etwas Geschick lassen sich diese auch problemlos selbst einbauen. Dabei ist es keineswegs nur bei einem Schiebetor möglich, einen Motor anzubringen. Auch Drehflügeltore lassen sich mit Torantrieben nachrüsten. Verschiedene Modelle bewegen die Torflügel mit teleskopierbaren, oder geknickten Armen. Auch die Montage in der Erde ist platzsparend möglich. Mit der Funkfernbedienung muss man nicht mehr aussteigen, um das Tor zu öffnen, oder zu schließen.

Parkplatzsicherung

Viele Mieter von Stellplätzen für Ihr KFZ erleben immer wieder fremde Fahrzeuge, die ihren Parkplatz blockieren. Auch hierfür findet man Online Angebote für Absperrtechnik. Ein einfacher Absperrpfosten, oder ein Parkplatzbügel können am Parkplatz angedübelt, oder einbetoniert werden. Verlässt man seinen Parkplatz braucht man die Parkplatzsicherung lediglich hochzuklappen und schon kann kein anderes Fahrzeug sich auf den Parkplatz stellen. Ist der Pfosten umgelegt kann man direkt darüber parken. Auch wenn es auf dem Firmenparkplatz Probleme mit firmenfremden Falschparkern gibt, kann man solche Parkplatzsicherungen montieren. Ein Zentralschlüssel, den jeder berechtigte Mitarbeiter erhält, und schon kann man sicher sein, dass man sich über fremde Fahrzeuge auf dem Parkplätzen nicht mehr ärgern muss.

Sicherheit

Bei der Sicherung des eigenen Grundstücks ist es nicht immer notwendig, ein Betreten tatsächlich zu verhindern. Ein offen stehendes Tor kann allerdings sehr einladend wirken. Auch wenn man natürlich immer noch über den Zaun klettern kann, ist das eine Handlung, die bewußt gesetzt werden muss. Durch ein offenes Tor hingegen kann man auch aus Neugier gehen. So können Paketboten, oder andere Passanten den Garten, oder den Hof betreten. Der Bereich hinter dem Haus ist meist nicht einsehbar und wenn tagsüber niemand zu Hause ist kann sich ein Einbrecher ungestört mit Türe, oder Fenster beschäftigen. Ist das Tor geschlossen, erschwert das einen Einbruch zumindest ein wenig. Ein Auto, das hinter dem Tor parkt ist nicht so leicht zu erreichen und betritt jemand das eigene Grundstück, ist klar, dass er vorsätzlich über den Zaun geklettert ist und sich nicht nur verlaufen hat. Gelegenheit macht Diebe und Absperrtechnik vehindert solche Gelegenheiten.

Der Beitrag Das Privatgrundstück absperren erschien zuerst auf Netzperlentaucher.