Die Ressource „Schafft die Passwörter ab?! Anmelden ohne Passwort mit Passkey“ wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt. Sie richtet sich an Verbraucher*innen, Unternehmen und Organisationen sowie weitere Zielgruppen und informiert über Funktionsweise, Nutzung und Hintergründe von Passkeys. Ziel ist es, Grundlagen der passwortlosen Authentisierung zu vermitteln und zentrale Fragen zur Anwendung zu beantworten. Die Funktion- und Nutzungsweisen von Passkey sind gut verständlich und nachvollziehbar beschrieben, so dass diese Ressource für die breiten Zielgruppen sehr nützlich ist.
Hintergrund: Herausforderungen klassischer Passwörter
Die Kombination aus Benutzername und Passwort ist ein etabliertes Schutzprinzip im Internet, bringt jedoch Herausforderungen mit sich. Passwörter müssen individuell vergeben und verwaltet werden und können bei Datenlecks oder durch Phishing gestohlen werden. Vor diesem Hintergrund stellt das BSI eine Technologie vor, die eine Anmeldung ohne Passwort ermöglicht.
Funktionsweise von Passkeys
Passkeys ermöglichen eine passwortlose Anmeldung bei Online-Diensten. Nach einmaliger Einrichtung in den Sicherheitseinstellungen einer Webseite oder App wird ein geheimer Schlüssel auf dem Gerät gespeichert und ein zugehöriger öffentlicher Schlüssel beim Dienst hinterlegt. Diese bilden die Grundlage für ein kryptografisches Verfahren, das bei jeder Anmeldung automatisch im Hintergrund abläuft.
Beim Login wählen Nutzer*innen den Passkey und bestätigen die Anmeldung beispielsweise über Fingerabdruck oder Gesichtsscan. Die notwendigen Daten werden im Hintergrund verarbeitet, anschließend wird der Zugang freigegeben.
Nutzung und Anwendung
Passkeys können auf verschiedenen Geräten eingesetzt werden. Befindet sich der Passkey auf einem Smartphone, kann die Anmeldung am PC über eine Verknüpfung beider Geräte erfolgen, etwa durch das Scannen eines QR-Codes und eine zusätzliche Bestätigung.
Die Verbreitung von Passkeys nimmt zu. Viele Betriebssysteme sowie Online-Dienste wie Onlineshops, soziale Medien oder Finanzportale unterstützen diese Form der Authentisierung bereits. Eine Liste bekannter Dienste, die Passkey verwenden, dinsen Sie unter passkey.directory.
Umgang mit Verlust von Geräten
Gehen Geräte verloren oder werden gestohlen, können Zugänge über Backups oder synchronisierte Passkeys wiederhergestellt werden. Einige Dienste bieten alternative Möglichkeiten zur Identitätsprüfung, um neue Passkeys einzurichten.
Hintergrund der Technologie
Passkeys basieren auf Standards der FIDO-Allianz (Fast Identity Online). Diese entwickelt offene und herstellerunabhängige Verfahren zur Nutzerauthentisierung, an denen zahlreiche internationale Unternehmen sowie das BSI beteiligt sind.
Ergänzende Informationsangebote
Das BSI stellt ergänzend weitere Informationsangebote bereit, darunter den Podcast „Update verfügbar“ sowie den Newsletter „Einfach • Cybersicher“. Dieser informiert regelmäßig über Entwicklungen im Bereich Cybersicherheit und enthält zusätzliche Lerninhalte zu Themen des digitalen Alltags.