Passwörter abschaffen mit Passkeys: Was sie ausmacht und wie sie funktionieren

Inhaltsverzeichnis

Mehr zu FIDO2

• Passkeys und wie sie funktionieren
• Tipps zur Optimierung Ihres SSH-Workflows
• Security: Diese Verfahren und Geräte sichern Ihre Online-Zugänge
• FIDO2-Sicherheitsschlüssel zum Einloggen mit und ohne Passwort
• Open-Source-Hardware: Unterschätze Nischenprodukte
• FIDO2-Stick YubiKey Bio mit Fingerabdrucksensor
• Einrichten und ausreizen von FIDO2
• Logins für Webseiten mit WebAuthn
• FIDO2: So funktioniert der passwortlose Login

Nutzern sind sie lästig, Experten betrachten sie zu Recht als eines der größten Sicherheitsrisiken im Netz, vermissen würde sie wohl niemand: Die Rede ist von Passwörtern. Bisherige Versuche sie abzulösen, sind allerdings durchweg gescheitert. Einen vielversprechenden Vorstoß starteten die Fast Identity Online Alliance (FIDO) und das World Wide Web Consortium W3C im Jahr 2018 mit dem FIDO2-Standard: Er bindet Online-Accounts fest an Hardware-Sicherheitsschlüssel, auch Authenticator oder Token genannt. Damit kann man sich bequem und sicher einloggen, im besten Fall ganz ohne Passwort. Trotzdem begeisterte FIDO2 nicht die Masse – vermutlich, weil man sämtliche Sicherheitsschlüssel und Accounts zunächst umständlich miteinander verknüpfen muss.

Passkeys erweitern das FIDO2-Verfahren. Sie haben dieselben Vorzüge, bieten aber deutlich mehr Komfort, weil Nutzer nicht mehr eigenhändig alle Geräte mit allen Accounts verknüpfen müssen. Und falls mal ein Rechner oder Smartphone aus welchen Gründen auch immer ausfällt oder verschwindet, kann man die Passkeys einfach wiederherstellen.

Doch zunächst ein kurzer Rückblick auf die Geschichte von FIDO2: Zuerst kamen FIDO2-Sicherheitsschlüssel in Form von USB-Sticks und zu Preisen ab 10 Euro auf den Markt. Kurz darauf ließen sich auch die Security-Chips, die ohnehin in allen modernen Rechnern, Smartphones und Tablets stecken, als FIDO2-Authenticator verwenden. Unter Windows, Android, macOS, iOS und iPadOS kann man sich daher seit geraumer Zeit per FIDO2 authentifizieren, ohne Geld für einen speziellen Stick auszugeben.

Das war die Leseprobe unseres heise-Plus-Artikels "Passwörter abschaffen mit Passkeys: Was sie ausmacht und wie sie funktionieren ". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.