Passkeys sind großartig, aber niemand erzählt einem von dem Haken an der Sache - bis es zu spät ist.

Vor etwa einem Jahr habe ich auf meinem Handy meinen ersten Passkey erstellt - für eine Weile hatte ich das Gefühl, dass das Anmeldeproblem endlich gelöst sei. Die Gesichtserkennung ließ mich fast sofort einloggen; es gab nichts einzutippen und nichts Neues zu merken. Dann versuchte ich, von einem ausgeliehenen Laptop aus mit einem anderen Browser einzuloggen - während mein Handy nicht verfügbar war. Damals begann die reibungslose Erfahrung allmählich zu zerbrechen.

Das hat mich zwar nicht ausgesperrt, aber es hat mir gezeigt, wie schnell die Bequemlichkeit verschwinden kann, sobald das Gerät, auf dem die Anmeldeinformationen gespeichert sind, nicht mehr verfügbar ist. Passkeys machen es überflüssig, bei unterstützten Anmeldungen ein Passwort einzugeben - sie beseitigen jedoch nicht die Notwendigkeit, das Konto wiederherzustellen. Sie verlagern einen Großteil dieser Verantwortung auf das Gerät, den Anbieter der Anmeldeinformationen sowie das Cloud-Konto, in dem die Informationen gespeichert sind.

Ich verwende keine Passwörter mehr, weil ich eine sicherere und einfachere Alternative gefunden habe.

Passkeys sind nicht nur sicherer, sie sind auch viel schneller in der Anwendung.

Passkeys wirken unsichtbar, bis sich das Gerät ändert.

Convenience hat einen Speicherort - ob Sie ihn kennen oder nicht.

Wenn eine Website anbietet, einen Passkey zu erstellen, schlägt Ihr Browser oder Betriebssystem in der Regel vor, wo dieser gespeichert werden soll. Die verfügbaren Optionen hängen jedoch von Ihrem Gerät, den aktivierten Anbietern sowie den Richtlinien der Website ab. Der Credential-Provider ist der Dienst des Betriebssystems oder der Passwort-Manager, der den Passkey speichert und in einigen Fällen auch synchronisiert. Diese Speicherebene wird viel leichter verständlich, wenn ein Passwort-Manager die Passkeys sichtbar und verwaltbar macht - anstatt sie tief in den Systemeinstellungen versteckt zu lassen.

Anschließend bestätigen Sie Ihre Identität mittels Fingerabdruck, Face ID, PIN oder Windows Hello und melden sich ohne Eingabe eines Passworts an. Jeder Passkey gehört zu einem bestimmten Webseiten- oder App-Konto - es handelt sich also nicht um einen Master-Key, der alles entsperrt.

Beim Erstellen wird ein kryptografisches Schlüsselpaar generiert. Die Website speichert den öffentlichen Schlüssel, während das zugehörige private Schlüsselmaterial unter der Kontrolle Ihres Geräts bzw. Ihres Anmeldeinformationsanbieters bleibt. Ein synchronisierter Anbieter kann Ende-zu-Ende verschlüsselte Kopien an Ihre anderen Geräte weiterleiten; die Website erhält den privaten Schlüssel jedoch niemals.

Der praktische Unterschied liegt zwischen synchronisierten und gerätegebundenen Passkeys. Ein Passkey, der im iCloud Keychain gespeichert ist, wird auf allen autorisierten Apple-Geräten verwendet; der Google Password Manager synchronisiert Passkeys hingegen zwischen Android-Geräten sowie kompatiblen Chrome-Installationen. Gerätegebundene Passkeys bleiben hingegen an ein bestimmtes Authentifizierungsgerät gebunden. Der Microsoft Entra Passkey unter Windows - der derzeit noch eine Preview-Funktion ist - speichert die Anmeldeinformationen im lokalen Windows Hello-Container und erfordert eine separate Registrierung auf jedem PC.

Die Portabilität zwischen Anbietern verbessert sich ebenfalls. Die Spezifikationen für den Austausch von Anmeldeinformationen der FIDO Alliance stellen einen sicheren Standard bereit, damit teilnehmende Apps Anmeldeinformationen - einschließlich Passkeys - übertragen können. Aktuelle Apple-Plattformen unterstützen diese Übertragungen, und der Google-Passwort-Manager ermöglicht nun das Importieren und Exportieren von Passkeys mit kompatiblen Managern auf Android. Das Problem ist jedoch noch nicht ganz gelöst, da die Unterstützung weiterhin von der jeweiligen Software sowie der Mitwirkung beider Anbieter abhängt.

Wenn der Passschlüssel auf dem Handy gespeichert ist und nicht auf dem Computer vor Ihnen, kann die plattformübergreifende Authentifizierung die Lücke schließen. Der Laptop zeigt einen QR-Code an; Ihr Handy scannt ihn, und Bluetooth bestätigt, dass beide Geräte physisch nahe beieinander sind, bevor der Login freigegeben wird. In diesem Fall fungiert Ihr Android-Handy im Grunde als Sicherheitsschlüssel für das Gerät vor Ihnen.

Die eigentliche Anfrage wird über eine end-to-end-verschlüsselte Internetverbindung übertragen; das Telefon unterschreibt dabei eine einmalige Herausforderung, ohne den Passschlüssel preiszugeben. Falls das Telefon außerhalb der Bluetooth-Reichweite ist, offline, nicht verfügbar oder zu Hause ist, fällt dieser Weg weg.

Das Verlieren des Telefons ist verkraftbar, aber die Wiederherstellung hat zwei Ebenen.

Der Passkey mag sicher sein, während das zugehörige Konto in Flammen aufgeht.

Wenn ein Telefon in einen See fällt, lassen sich die Zugangsdaten in der Regel wiederherstellen - vorausgesetzt, sie wurden über einen End-to-End-verschlüsselten Dienst synchronisiert. Das Anmelden auf einem Ersatzgerät ermöglicht die Wiederherstellung dieser Daten. Apple bietet geschützte Wiederherstellungsmechanismen für iCloud Keychain an. Google hingegen verlangt eventuell eine PIN des Google Password Managers oder die Bildschirmsperre eines vorhandenen Geräts, bevor die synchronisierten Zugangsdaten in einer neuen Umgebung verfügbar gemacht werden.

Es gibt eigentlich zwei Arten von Wiederherstellungsproblemen. Das erste ist die Wiederherstellung von Anmeldeinformationen, bei der der verschlüsselte „Tresor“ mit Ihren Passkeys wiederhergestellt wird. Das zweite ist die Wiederherstellung von Webkonten - dabei gelangen Sie wieder in einen bestimmten Dienst, wenn keine nutzbaren Passkeys mehr vorhanden sind.

Falls Sie den Zugriff auf das Apple-, Microsoft-, Drittanbieter- oder Google-Konto verlieren, über das Ihre synchronisierten Daten verwaltet werden, kann die Wiederherstellung der Anmeldeinformationen schwierig oder sogar unmöglich sein. Dieses Risiko besteht auch, wenn der einzige Passkey auf einem verlorenen Gerät gespeichert ist, wenn Sie den Anbieter wechseln, ohne zuvor die Anmeldeinformationen zu übertragen, oder wenn ein verwalteter Arbeitscomputer den Anbieter blockiert, den Sie eigentlich nutzen wollten.

In diesem Fall hängt die Wiederherstellung ausschließlich davon ab, welche alternativen Wiederherstellungsmöglichkeiten der Dienst noch anbietet - dazu können ein Passwort, ein Link per E-Mail, Wiederherstellungscodes, ein weiterer registrierter Schlüssel oder ein Support-Prozess gehören. Dadurch sind nicht alle Alternativen unsicher; dennoch kann die tatsächliche Widerstandsfähigkeit des Kontos gegen eine Entwendung durch den schwächsten zulässigen Wiederherstellungsweg bestimmt werden.

Ein Passkey kann Phishing verhindern, während ein preisgegebenes E-Mail-Konto weiterhin einen weiteren Zugangsweg bietet. Eine gekaperte Telefonnummer, die für die SMS-Authentifizierung verwendet wird, kann dasselbe bewirken - sofern der Dienst dies als Wiederherstellungsmethode zulässt.

Meine Passkeys haben jetzt einen Ausstiegsplan

Jetzt überprüfe ich den Notausgang, bevor ich die Tür schließe.

Ich erstelle nach wie vor Passkeys - allerdings bin ich mittlerweile viel vorsichtiger darin, wo jeder einzelne Passkey letztendlich verwendet wird, bevor ich die entsprechende Bestätigung gebe. Für wirklich wichtige Konten registriere ich in der Regel einen zweiten Passkey mit einem anderen Gerät oder Anbieter, sofern die Website das zulässt. Ein Hardware-Sicherheitsschlüssel, der die Eingabe von Passwörtern überflüssig macht, ist ebenfalls eine hervorragende Backup-Lösung - vorausgesetzt, er befindet sich nicht im selben Beutel oder derselben Tasche wie mein Handy.

Ich bewahre die Wiederherstellungscodes ebenfalls an einem Ort außerhalb des Geräts auf, das sie ersetzen sollen, und stelle sicher, dass das Konto, das meine Passschlüssel synchronisiert, nach wie vor funktionierende Wiederherstellungsoptionen bietet. Dasselbe Prinzip gilt, wenn man ein Passwort-Manager-Archiv sicher sichert: Eine Sicherungskopie, die neben dem Gerät oder Konto aufbewahrt wird, das sie eigentlich retten soll, ist möglicherweise keine wirklich gute Sicherungskopie.

Vor dem Entsorgen eines alten Telefons oder dem Löschen eines Ersatzpassworts schaue ich mir die Seite zur Verwaltung von Passkeys auf der Website an. Jeder Dienst verwaltet Passkeys etwas anders: Einige benennen sie um, andere zeigen mehr Informationen an. Das Löschen eines Passkeys beim Anbieter führt nicht zwangsläufig dazu, dass die entsprechende Registrierung auf der Website selbst entfernt wird.

Die Gewohnheit, die mir am meisten Sicherheit gibt, ist zugleich die weniger spannende. Bevor ich ein altes Gerät zurücksetze, logge ich mich von einem anderen Gerät aus ein, um sicherzustellen, dass alles wie erwartet funktioniert. Außerdem richte ich eine sichere Notfalllösung ein, bis das Ersatzgerät vollständig konfiguriert ist. Das kostet zwar ein paar zusätzliche Minuten, doch es ist weitaus besser, als erst zu merken, dass mein Notfallplan Lücken aufweist - wenn ich bereits ausgesperrt bin.

Passkeys sind immer noch hervorragend - vorausgesetzt, man weiß, wo sie gespeichert sind.

Ich werde mich nicht von Passkeys abwenden. Wenn ein Dienst sie ordnungsgemäß implementiert, schneiden sie in fast allen Aspekten, die mir wichtig sind - von der Benutzerfreundlichkeit bis hin zur Widerstandsfähigkeit gegen Phishing - besser ab als Passwörter. Der Schwachpunkt lag niemals in der Kryptographie oder im alltäglichen Anmeldeprozess. Er liegt vielmehr in der zugrundeliegenden Infrastruktur: dem Sync-Konto, dem Anmeldeanbieter, dem Geräte-Ökosystem sowie den Wiederherstellungsmechanismen. Diese werden gerne übersehen - bis ein Telefon kaputtgeht oder ein Plattformwechsel sie unvermeidlich ins Blickfeld rückt.

Sobald Sie wissen, wo Ihre Passkeys gespeichert sind, was sie synchronisiert und wie Sie den Zugriff wiederherstellen können, wenn Sie Ihr übliches Gerät nicht zur Verfügung haben, lässt sich das versteckte Problem viel leichter bewältigen.