Passwort-Chaos? Zeit für Passkeys!

Ruhe bitte, der alte Mann erzählt warum das Passwort ausgedient hat

Ich gehöre noch zum älteren Semester in Sachen Computer. Mein Einstieg war zu einer Zeit, wo Webseiten noch kein „s“ hinter dem „http“ hatten und man etwas später beim Handy eins genau wusste: hat man aus Versehen auf das Browser-Icon getippt, dann beende das schnell wieder – am besten mit viel panischem Tippen – sonst wird es bestimmt teuer. So war die Sicherheitsmaßnahme eher psychologisch. Die Furcht vor der verbalen Schelle des Elternteils, der den jugendlichen Handyvertrag bezahlt hat.

Letztlich kam die verbale Schelle dann eher vom zu viel SMS schreiben mit der Freundin. Flatrate, was ist das? Aber das ist ein anderes Thema…

Trust me, Bro: Passkey ist sicherer als das klassische Passwort!

Die schützende Hand oder auch mal die Popup-Schelle bieten heute die Tools an, die uns beim Wandern durch das Internet sicher begleiten…und das (blinde) Vertrauen ist immens groß. Der BROwser beispielsweise…

Das erwähnte HTTPS ist Pflicht, und dem Browser sollte auch tunlichst der Zertifikatsaussteller der zu besuchenden Website bekannt sein. Cookie-Meldungen verkrümeln sich bei Bedarf automatisch mit gewünschter Standardeinstellung, sichere Passwörter werden bei neuen Logins vorgeschlagen und gleich im eigenen Passwortmanager abgespeichert. Muss man sich nicht einmal mehr merken.

Doch laut Statistik nutzen immer noch 10 % der User ‚123456‘ als Passwort. 60 % der Passwörter sind leicht zu erraten. Das Bewusstsein hinkt noch hinterher. Auch wenn viele Unternehmen inzwischen auf ihre Richtlinien und Schulungen achten, das Konzept des Passworts ist überholt und daher gefährlich.

Letztlich ist das größte Risiko noch immer der Mensch, denn dieser stellt Emotionen auch mal vor logischem Denken. Mein Chef hat mir ein dringendes ToDo im MS Planner zugewiesen, verrät mir die allseits bekannte automatische Microsoft-Mail. Also keine Zeit verlieren und wie immer direkt auf den Link klicken, meinen Usernamen, Passwort und zweiten Faktor einfügen…hat er das nicht sonst automatisch gefüllt? Naja, ich bin drin, sieht ja auch alles aus wie gewohnt…

Eine Phishingsite ist heutzutage vielleicht innerhalb von einer Stunde aufgebaut – Wenn man kein Profi ist und sich dazu noch Zeit lässt! Tools wie Evilginx machen es verboten einfach, sich zwischen dem User und der echten Login-Seite zu schummeln und dort den begehrten Session-Cookie abzufangen.

Längst kein Geheimnis mehr: wenn die Hacker dazu noch gezielt das Opfer unter emotionalen Stress setzen können, ist eigentlich schon alles verloren – Schulung hin oder her. Da hilft dann auch der bemühte Browser nicht. Einen kleinen Helfer im System gibt es allerdings schon, der im Gegensatz zur MFA selbst bei dem gerade beschriebenem Adversary-In-The-Middle-Angriff standhaft bleibt.

Arbeiten Sie schon lange hier? Danke, aber ich nehme meinen eigenen Schlüssel!

Passkeys lassen sich in vielen Accounts bereits integrieren und die Zahl wächst…Anbieter verpflichten üblicherweise nicht dazu. So aufdringlich will man den Kunden gegenüber nicht sein. Die meisten Unternehmen sind dabei, Passkeys für ihre Benutzer einzuführen. Gut so, denn Passkeys sind dem stinknormalen Passwort überlegen – z. B. muss man sich keins mehr merken. Technisch kann der gestresste Benutzer dem nur scheinbar seriösen, digitalem Pförtner nicht seinen Ausweis in die Hände drücken, der diesen dann heimlich kopiert. Der Benutzer hat selbst einen Schlüssel, den auch nur er nutzen kann. Wenn er nicht ins Schloss passt, ist es nicht der Eingang, den man eigentlich nehmen wollte.

Denn das ist ein Passkey, ein privater Schlüssel – Gespeichert, in deinem Besitz und freigegeben durch Face ID, Fingerabdruck oder PIN und abgeglichen mit dem öffentlichen Schlüssel der Website.

Laut Statistik der FIDO Alliance konnten Unternehmen 73 % der Login Zeit sparen und Passkeys haben eine 30 % höheren Erfolg beim Login verglichen mit traditionellem MFA. Es gibt 81 % weniger Supportfälle, die durch Login-Probleme resultieren. Somit lassen sich also effektiv Kosten sparen. Da der Passkey im Gegensatz zum Passwort nicht geteilt wird, interessiert es zumindest diesbezüglich auch nicht mehr, wenn mal wieder Millionen Accountdaten irgendwo abgeflossen sind.

Schöne neue Welt, oder? – Was passiert, wenn ich meinen Schlüssel verliere?

Wenn wir nun doch Passkeys haben, dann ist die Welt doch sicher und ich kann gewiss sein, dass die Amazon Bestellung, die ich gerade nicht getan habe, dann folglich vom Partner kommen muss…schon wieder. Das mag ggf. Grundsatzdiskussionen mit sich bringen, aber das ist wieder ein anderes Thema.

Zumindest im Endkundenbereich werden Passkeys jedoch bisher oft (nur) als zusätzliche Authentifizierungsmethode angeboten. Wenn man aufgrund der neuen Passkey-Panzertür trotzdem die alte Passwort-Holztür nicht zumauert, hat man „wenig“ Gewinn (auch wenn der Angriffsvektor potenziell bereits kleiner wird, wenn man diesen Eingang nicht mehr nutzt). Das ist allerdings auch nicht immer möglich, denn Legacy-Anwendungen werden nicht vollständig unterstützt.

Die Wiederherstellung bei verlorenen Schlüsseln läuft außerdem etwas anders ab. Entweder die Passkeys liegen wirklich nur auf dem lokalen Gerät (sei es der Laptop oder auch ein YubiKey) oder sie werden mit der Cloud synchronisiert. Eine Herausforderung besteht darüber hinaus, wenn man sich in mehreren Ökosystemen (Apple, Windows…) bewegt. Vertraut man der Cloud nicht, kann man auch Tools wie Bitwarden nutzen.

Hat man keine Backupmethode, gibt es in dem Fall allerdings keinen „Ich habe mein Passwort äh Passkey verloren“ – Button. Die Unternehmens-IT hat da zwar schon Möglichkeiten (TAP) – nur sind im Schritt davor, je nach Komplexität der Infrastruktur die Passkeys nicht gerade mit Fingerschnippen ausgerollt. Erwähnte Legacy-Anwendungen, Service-Accounts, API-Schlüssel usw. können ein Showstopper sein oder zumindest die komplette Umstellung einschränken.

Aber mit der richtigen Vorbereitung ist es definitiv wert, seine Authentifizierungsmethoden nochmal zu überdenken, wenn es im Business-Bereich vielleicht auch nicht garantiert zu 100 % möglich ist. Der Umstieg auf Passkeys wird auf jeden Fall allgemein empfohlen und es lohnt sich.

Fragen und Kontakt
Haben Sie fragen zu Passkeys oder brauchen Sie Unterstützung bei der Einrichtung? Einfach schreiben an service@inwerken.de. Unser IT-Sicherheits-Team meldet sich bei Ihnen! Leistungen darüber hinaus finden Sie in unserem Portfolio.

Quellen:
https://www.sueddeutsche.de/erfahrungen/sicherheitsstudie-zu-unsicheren-passwortern/
https://fidoalliance.org/passkey-index-2025/
https://www.ad-hoc-news.de/wissenschaft/passkey-studie-70-percent-der-unternehmen-erlebtenidentitaetsvorfaelle/69554500
https://hpi.de/artikel/hpi-veroeffentlcht-meist-geleakte-passwoerter-2025/
https://passwork.pro/blog/de/what-is-passkey-how-does-it-work