Ratgeber
Online-Daten im Todesfall: So funktioniert die «digitale Erbschaft»
von Florian Bodoky
Adieu Passwörter: Was sind eigentlich Passkeys?
20.10.2023
Die FIDO-Alliance hat zusammen mit Google die sogenannte «Passkey»-Technologie entwickelt. Damit sollen Passwörter abgeschafft und Logins zwar bequemer, aber trotzdem sicherer gemacht werden. Aber wie genau funktioniert das?
Stattdessen kannst du dich auf deinem Handy oder Laptop authentifizieren – auch per Gesichtserkennung oder Fingerabdruck. Danach wirst du automatisch angemeldet. Du benötigst theoretisch also gar keine Passwörter mehr. Das geht schneller und ist bequemer als mit Passwort und 2FA. Plus: Es ist sicherer. Wie das?
Was sind Passkeys und wie funktionieren sie?
Denn anders als bei der Passwort-Abfrage bist nicht du es, der dein Passwort dort hinschickt, wo du dich einloggen willst. Es läuft genau umgekehrt ab: Der Online-Dienst – zum Beispiel dein Google-Account – ist es, der eine Anfrage auf das Gerät schickt, auf dem dein privater Schlüssel gespeichert ist. Die sogenannte «Challenge». Die muss der Authentifikator auf deinem Gerät lösen.
Hat der Authentifikator das getan, sendet er die gelöste Challenge zurück an den Online-Dienst. Dieser entscheidet nun mittels des öffentlichen Schlüssels: «Die Aufgabe wurde korrekt gelöst, also hatte der Empfänger den korrekten Schlüssel. Er darf passieren». Damit hast du quasi bewiesen, dass du die oder der bist, für die oder den du dich ausgibst und den Schlüssel besitzt, ohne aber zu verraten, wie genau dein privater Schlüssel zusammengesetzt ist.
Was der Authentifikator auf deinem Gerät genau ist, kannst du selber festlegen. Zum Beispiel ein Master-Passwort. Eine PIN. Ein Muster auf dem Touchpad deines Smartphones. Oder auch einfach dein Fingerabdruck oder die Gesichtserkennung. Je nachdem halt, was das Gerät, auf dem der Schlüssel gespeichert ist, unterstützt.
Die Basis für Passkeys: FIDO2
Passkeys sind eine Erweiterung von FIDO2. Vielleicht hast du davon schon gehört. FIDO2 wurde ebenfalls von der FIDO-Alliance und dem World Wide Web Consortium (W3C) entwickelt. Es besteht aus zwei «Zutaten»:
- dem «Client to Authenticator Protocol» (CTAP2).
- dem «WebAuthentication standard API» (WebAuthn).
CTAP2 sorgt vereinfacht gesagt dafür, dass der Hardware-Authentifikator – zum Beispiel ein Security-Token à la Yubikey – und der Browser sicher miteinander kommunizieren können. CTAP2 unterstützt dabei USB, Bluetooth und NFC. Das schränkt den privaten Schlüssel auf ein Gerät ein. Dazu komme ich gleich.
WebAuthn ist derweil eine Schnittstelle, die für die Kommunikation zwischen einem Authentifikator und dem Online-Dienst, an dem du dich anmelden willst, zuständig ist. Unterstützt ein Online-Dienst Webauthn, kannst du dich mit dem oben erklärten Schlüsselprinzip anmelden.
Ein Beispiel aus der Praxis: Apple
Apple etwa hat Passkeys in ihren Schlüsselbund implementiert (seit macOS Ventura sowie iOS/iPadOS 16). Wenn du bei einem Dienst, zum Beispiel deinem Google-Account, den Login per Passkey aktiviert hast, funktioniert das Einloggen sowohl an deinem Mac, deinem iPhone oder deinem iPad – vorausgesetzt, du nutzt für alle Apple-Geräte die gleiche Apple-ID. Sobald du also deinen Mac mit dem Passwort gestartet hast, ist der private Schlüssel aktiv.
Beim iPhone kann der Authentifikator auch die Gesichtserkennung sein – hast du diese beim Entsperren deines iPhones hinter dich gebracht, kannst du dich fortan passwortlos im Browser deines Smartphones bei Google anmelden. Smartphones – ganz egal ob Android (ab Android 9) oder iOS – bieten zudem noch eine zusätzliche Funktion.
Du kannst sie als Authentifikator-Gerät nutzen, um dich an einem fremden Gerät einzuloggen. Bist du zum Beispiel bei einem Freund zu Hause und willst dich an dessen PC bei deinem Google-Account anmelden, funktioniert das über den Authentifikator auf deinem Phone (weil da ja der private Schlüssel gespeichert ist).
Wo liegen die Unterschiede zu Passwörtern?
Passkeys und Passwörter haben einen komplett anderen Ansatz. Während Passkeys wie oben beschrieben funktionieren, sind Passwörter in den Datenbanken der jeweiligen Dienste gespeichert, wenn auch verschlüsselt. Gibst du das Passwort zusammen mit dem Benutzernamen ein, vergleicht der Online-Dienst diese Angaben. Sind diese identisch, erhältst du Zugang.
Da dein privater Schlüssel bei Passkeys nie übermittelt wird, kann er auch nicht abgefangen oder beim Online-Dienst gestohlen werden.
Oder aber du aktivierst das Zwei-Faktor-Authentifizierungsverfahren. Dort bestätigst du mit einer Authentifizierungs-App oder per SMS-Code, dass du auch wirklich du bist. Dies ist ziemlich umständlich und teilweise auch fehleranfällig. Gibst du zum Beispiel den 2FA-Code falsch ein, musst du das Prozedere wiederholen. Passkeys lösen also nicht nur das Problem mangelnder Sicherheit. Sie vereinfachen und beschleunigen auch die Anmeldeverfahren bei Online-Diensten.
Welche Dienste unterstützen Passkeys?
Titelbild: Shutterstock
Seit ich herausgefunden habe, wie man bei der ISDN-Card beide Telefonkanäle für eine grössere Bandbreite aktivieren kann, bastle ich an digitalen Netzwerken herum. Seit ich sprechen kann, an analogen. Wahl-Winterthurer mit rotblauem Herzen.
Hintergrund
Interessantes aus der Welt der Produkte, Blicke hinter die Kulissen von Herstellern und Portraits von interessanten Menschen.
Alle anzeigen
