Was ist ein Passkey? Einfach erklärt
Ein Passkey ersetzt das gemeinsame Geheimnis eines Passworts durch ein Schlüsselpaar, das nur auf der echten Website funktioniert. Wie die Anmeldung abläuft und wie Sie den Zugang behalten, wenn das Handy verloren geht.
Die E-Mail meldet, Ihr Bankkonto sei gesperrt. Die Seite hinter dem Link sieht echt aus, nur die Adresse weicht um einen Buchstaben ab. Sie geben Ihr Passwort ein, und ab sofort kennen es zwei. Dagegen hilft keine Passwortrichtlinie, denn was Sie eintippen, ist genau das Geheimnis, das die Website prüft. Ein Passkey schafft dieses Geheimnis ab, und bei Encloq übernimmt er noch eine zweite Aufgabe.
Ein Passkey ist ein digitaler Zugangsschlüssel nach den Standards der FIDO Alliance, gestützt auf den W3C-Standard Web Authentication (WebAuthn). Er besteht aus zwei Schlüsseln, die zusammengehören. Den privaten behalten Sie: auf dem Gerät, im Passwort-Manager oder auf einem Sicherheitsschlüssel. Die Website bekommt nur den öffentlichen, und der funktioniert wie die Unterschriftsprobe bei der Bank. Damit lässt sich eine Unterschrift prüfen, aber keine leisten. Nachzeichnen kann ihn, anders als die Probe auf Papier, auch niemand.
Entsperrt wird ein Passkey wie Ihr Handy: mit Fingerabdruck, Gesicht oder der PIN der Bildschirmsperre. Laut FIDO Alliance verlassen biometrische Daten dabei nie das Gerät; die Website erfährt nur, dass die Prüfung geklappt hat.
Hinter der vertrauten Abfrage läuft ein kurzer Austausch ab:
- Die Website schickt eine zufällige Prüfaufgabe, die sogenannte Challenge, bei jeder Anmeldung eine neue.
- Ihr Browser hält fest, welche Website fragt, und bietet nur Passkeys an, die für genau diese Website erstellt wurden.
- Sie bestätigen mit Fingerabdruck, Gesicht oder PIN, und das Gerät signiert die Challenge mit dem privaten Schlüssel.
- Die Website prüft die Signatur mit dem öffentlichen Schlüssel, den sie bei der Einrichtung gespeichert hat.
Übers Netz geht eine Signatur für genau eine Challenge, beim zweiten Mal wertlos. Würde die Datenbank der Website morgen gestohlen, fände sich darin nichts, womit sich jemand anmelden könnte. Von einer Tabelle mit Passwort-Hashes lässt sich das nicht behaupten.
Phishing funktioniert, weil Menschen nachvollziehbare Fehler machen. Einmalcodes helfen weniger, als es scheint: Ein Code, den Sie auf einer gefälschten Seite eingeben, lässt sich in Sekunden an die echte weiterreichen, mit Software, die genau dafür gebaut ist.
Mit einem Passkey gibt es nichts einzutippen. Jeder Passkey gilt nur für die Website, für die er erstellt wurde, und darauf achtet der Browser. Eine nachgemachte Adresse bekommt schlicht keinen angeboten. Das US-Standardisierungsinstitut NIST nennt das in seinen Richtlinien zur Authentifizierung (SP 800-63B-4) Phishing-Resistenz: Schutz, der nicht davon abhängt, dass man beim Anmelden aufpasst. Als Beispiel führt es WebAuthn an.
| Passwort | Einmalcode | Passkey | |
|---|---|---|---|
| Funktioniert auf einer gefälschten Website | Ja | Ja, wenn rechtzeitig weitergereicht | Nein |
| Für Abfangende verwendbar | Ja | Bis er abläuft | Nein |
| Was die Website speichert | Einen Passwort-Hash | Ein gemeinsames Geheimnis oder Ihre Handynummer | Einen öffentlichen Schlüssel |
Synchronisierte Passkeys liegen im Passwort-Manager oder im Passkey-Speicher des Geräts und werden verschlüsselt auf Ihre anderen Geräte kopiert. Gerätegebundene bleiben, wo sie entstanden sind, etwa auf einem Sicherheitsschlüssel, den Sie anstecken oder ans Handy halten.
Beides ist solide. Das NIST erlaubt synchronisierte Passkeys bis zur zweiten seiner drei Sicherheitsstufen, sofern sie verschlüsselt gespeichert sind und das Konto, über das sie laufen, mit mehreren Faktoren geschützt ist. Die höchste Stufe verlangt Schlüssel, die das Gerät nicht verlassen können. Ein synchronisierter Passkey ist also nur so sicher wie das Konto, das ihn synchronisiert, und dieses Konto verdient den besten Schutz, den Sie haben.
Der Passkey auf Ihrem Handy funktioniert auch an einem Computer, auf dem er nicht liegt. Der Browser zeigt einen QR-Code, Sie scannen ihn und bestätigen am Handy, und das Handy prüft per Bluetooth, ob es wirklich in der Nähe ist. Ein Screenshot des Codes nützt jemandem am anderen Ende der Welt also nichts.
Bei den meisten Diensten hat ein Passkey eine einzige Aufgabe: zu beweisen, dass Sie es sind. Bei Encloq kommt eine zweite dazu, weil Ihre Dateien und Nachrichten Ende-zu-Ende-verschlüsselt sind. Unterstützt Ihr Passkey die WebAuthn-Erweiterung PRF, berechnet er bei jeder Bestätigung zusätzlich ein Geheimnis, das nur er erzeugen kann. Damit öffnet Ihr Gerät Ihren Verschlüsselungsschlüssel, den Encloq versiegelt aufbewahrt. Das Geheimnis selbst bekommt Encloq nie zu sehen. Wir verwahren Ihren Schlüssel und können ihn nicht öffnen.
In der App sind das zwei Schritte. „Mit Passkey anmelden“ öffnet Ihr Konto, alles bleibt verschlüsselt; „Mit Passkey entsperren“ macht Dateien und Nachrichten auf diesem Gerät lesbar. Ein neu hinzugefügter Passkey meldet Sie sofort an, Ihre Inhalte öffnet er aber erst, wenn Sie Ihren Schlüssel darauf kopiert haben. PRF beherrscht nicht jeder Browser und nicht jeder Passkey-Anbieter; Encloq sagt Ihnen bei der Einrichtung Bescheid.
Ein verlorenes Handy ist selten ein Notfall, denn ohne Entsperren sind die Passkeys darauf wertlos. Entscheidend ist, dass Sie anderswo hineinkommen und das Handy aussperren. In Encloq erledigen Sie das von einem Gerät aus, das Sie noch haben:
Mit einem anderen Passkey anmelden.
Mit dem auf Ihrem Computer, in Ihrem Passwort-Manager oder auf einem Sicherheitsschlüssel.
Verlorenen Passkey entfernen.
Öffnen Sie unter Einstellungen › Zugangsdaten sein ⋯-Menü und wählen Sie „Entfernen“.
Sitzung beenden.
Wählen Sie unter Einstellungen › Sitzungen für das Gerät „Sitzung widerrufen“.
Neuen Ersatz einrichten.
Fügen Sie auf dem neuen Gerät einen Passkey hinzu und kopieren Sie Ihren Schlüssel darauf, damit wieder zwei Passkeys Ihre Daten entsperren.
Ein neuer Passkey bringt keine Inhalte zurück
Ist gar kein Passkey mehr da, holt Sie ein Code per E-Mail zurück in Ihr Konto; wie das geht, zeigt die Passkey-Anleitung. Ihre Inhalte holt er nicht zurück. Encloq kann Ihren Verschlüsselungsschlüssel nicht wiederherstellen: Hält ihn kein Passkey und kein Passwort mehr, bleiben Ihre Dateien und Nachrichten verschlüsselt, für uns genauso wie für Sie. Richten Sie deshalb mindestens zwei Passkeys ein, die Ihre Daten entsperren können.
Ein Konto ist nur so sicher wie sein schwächster Zugang. Encloq setzt auf Passkeys, erlaubt aber für Geräte, die keine verwenden können, ein Passwort. Und ein Passwort lässt sich erraten, mehrfach verwenden und abfischen. Legen Sie eines an, sichern Sie es mit einer Authentikator-App ab, beschränken Sie es auf die Anmeldung, solange es Ihre Daten nicht öffnen muss, und entfernen Sie es wieder, sobald Sie es nicht mehr brauchen.
Drei weitere Dinge nimmt Ihnen ein Passkey nicht ab:
- Schadsoftware auf einem entsperrten Computer agiert in Ihrer Sitzung, also nach der Anmeldung. Dagegen helfen Updates und eine Bildschirmsperre, nicht das Anmeldeverfahren.
- Ein Link aus einer E-Mail- oder Messenger-App öffnet sich oft in einem eingebauten Browser, der keine Passkeys verwenden kann. Encloq erkennt das und bietet an, die Seite in Ihrem normalen Browser zu öffnen.
- Passkeys, die ein Hersteller synchronisiert, tauchen nicht automatisch bei einem anderen auf. Ein plattformübergreifender Passwort-Manager oder ein Sicherheitsschlüssel erspart Ihnen diese Überraschung.
Sind Passkeys quantensicher?
Noch nicht. Heutige Passkeys arbeiten mit klassischen Signaturen, auch bei der Anmeldung in Encloq. In einer mitgeschnittenen Anmeldung steckt nichts, was sich später entschlüsseln ließe. Bevor es einen leistungsfähigen Quantencomputer gibt, brauchen die Standards trotzdem Post-Quanten-Signaturen. Der Post-Quanten-Schutz von Encloq gilt für Schlüsselaustausch und Inhaltssignaturen; mehr dazu im Beitrag zur Post-Quanten-Kryptografie.
Passkeys in Encloq einrichten
Die Anleitung zeigt, wie Sie Ihren Passkey erstellen, einen zweiten hinzufügen und was zu tun ist, wenn ein Gerät verloren geht.