Was ist ein Passkey?

Ein Passkey ist eine neue Möglichkeit, sich bei Websites und Apps anzumelden, ohne ein herkömmliches Passwort zu verwenden. Anstatt eine Zeichenkette zu erstellen und sich zu merken, generiert Ihr Gerät – ein Smartphone, Laptop oder Tablet – ein einzigartiges kryptografisches Schlüsselpaar, das Ihre Identität beweist. Sie authentifizieren sich mithilfe einer bereits in Ihr Gerät integrierten Funktion, wie einem Fingerabdruckscan, einer Gesichtserkennung oder einer PIN. Die Website sieht niemals Ihr eigentliches Geheimnis; sie erhält lediglich einen kryptografischen Beweis, dass Sie die richtige Person sind.

Passkeys basieren auf den offenen Standards FIDO2 und WebAuthn, was bedeutet, dass sie plattformübergreifend funktionieren – einschließlich der Ökosysteme von Apple, Google und Microsoft. Große Dienste wie Google, Apple, GitHub und PayPal unterstützen bereits Passkeys, und die Verbreitung wächst schnell.

Wie funktionieren Passkeys?

Jeder Passkey besteht aus zwei mathematisch verknüpften Schlüsseln: einem öffentlichen Schlüssel und einem privaten Schlüssel.

  • Der öffentliche Schlüssel wird auf dem Server der Website oder App gespeichert, bei der Sie sich anmelden.
  • Der private Schlüssel verlässt niemals Ihr Gerät. Er ist durch Ihre biometrischen Daten oder Ihre Geräte-PIN geschützt.

Wenn Sie sich anmelden, sendet der Server Ihrem Gerät eine Herausforderung – im Wesentlichen ein zufälliges Datenelement. Ihr Gerät verwendet den privaten Schlüssel, um diese Herausforderung zu signieren, und sendet die Signatur zurück. Der Server prüft die Signatur anhand Ihres öffentlichen Schlüssels. Wenn sie übereinstimmt, erhalten Sie Zugang.

Es wird niemals ein Passwort übertragen, auf einem Server gespeichert oder offengelegt. Selbst wenn die Datenbank einer Website kompromittiert wird, finden Angreifer nur öffentliche Schlüssel, die allein wertlos sind.

Warum Passkeys für VPN-Nutzer wichtig sind

VPN-Nutzer sind in der Regel sicherheitsbewusster als durchschnittliche Internetnutzer, und Passkeys bekämpfen direkt einige der häufigsten Bedrohungen, vor denen VPN-Nutzer sich schützen möchten.

Phishing-Resistenz: Herkömmliche Passwörter können über gefälschte Anmeldeseiten gestohlen werden. Passkeys sind kryptografisch an bestimmte Domains gebunden, sodass selbst eine überzeugend wirkende Fake-Website Ihr Gerät nicht dazu bringen kann, Anmeldedaten preiszugeben. Dies ist einer der größten praktischen Sicherheitsvorteile, die Passkeys bieten.

Kein Risiko durch Credential Stuffing: Da es kein wiederverwendbares Passwort gibt, das gestohlen und wiederverwendet werden könnte, funktionieren Credential-Stuffing-Angriffe – bei denen Angreifer geleakte Benutzername/Passwort-Kombinationen bei mehreren Diensten ausprobieren – schlicht nicht gegen Passkey-geschützte Konten.

Schutz Ihres VPN-Kontos selbst: Viele VPN-Anbieter beginnen damit, Passkeys für die Kontoanmeldung zu unterstützen. Wenn Ihr VPN-Konto mit einem Passkey gesichert ist, kann ein Angreifer, der Ihre E-Mail-Adresse und Ihr Passwort aus einem anderen Datenleck erlangt hat, sich nicht anmelden, Ihr Abonnement ändern oder auf Ihre Kontoeinstellungen zugreifen.

Kompatibel mit Zero-Trust-Sicherheit: Für Business-VPN-Nutzer und Remote-Mitarbeiter ergänzen Passkeys Zero-Trust-Netzwerkzugriffsmodelle, indem sie eine starke, phishing-resistente Identitätsprüfung bieten, bevor der Zugriff auf Ressourcen gewährt wird.

Praktische Beispiele und Anwendungsfälle

  • Persönliche Kontosicherheit: Sie besuchen Google, tippen auf „Mit Passkey anmelden", und Ihr Smartphone fordert Sie zur Eingabe eines Fingerabdrucks auf. Fertig – kein Passwort erforderlich.
  • Unternehmensweiter Remote-Zugriff: Ein Mitarbeiter verwendet einen Passkey auf seinem Dienstlaptop, um sich bei einem Remote-Access-VPN zu authentifizieren – und eliminiert damit das Risiko, dass ein gestohlenes VPN-Passwort unbefugten Zugriff ermöglicht.
  • Sicherheit auf Reisen: Wenn Sie durch Regionen mit hoher Überwachung oder risikoreichen öffentlichen WLAN-Netzwerken reisen, bedeuten Passkeys, dass es buchstäblich kein Passwort gibt, das ein Keylogger oder ein Netzwerk-Sniffer abfangen könnte.
  • Entwickler- und Serverzugriff: Plattformen wie GitHub unterstützen Passkeys und sichern so den Zugriff auf Repositories und Infrastruktur, ohne Passwörter preiszugeben.

Fazit

Passkeys stellen eine echte Verbesserung gegenüber Passwörtern dar – sie sind sicherer, einfacher zu verwenden und resistent gegen die gängigsten Angriffsmethoden. Für alle, denen Online-Privatsphäre und -Sicherheit am Herzen liegen, ist die Aktivierung von Passkeys, wo immer möglich, einer der effektivsten Schritte, die Sie jetzt sofort unternehmen können.