Mobile-Menu

Passwortlose Authentifizierung Passkeys statt Passwörter und Phishing

Ein Gastbeitrag von Alexander Böhm 5 min Lesedauer

Anbieter zum Thema

adesso SE

Immer wieder werden Unternehmen Ziel von ausgeklügelten Phishing-Angriffen, die selbst fortgeschrittene Sicherheitsmechanismen unterlaufen. Passkeys sind eine wirksame Methode, um Phishing-resistente Authentifizierung zu ermöglichen und die Sicherheit von Benutzerkonten zu erhöhen – bei gleichzeitiger Steigerung der Benutzerfreundlichkeit, bedingt durch den Wegfall komplizierter Passwörter.

Passkeys sind eine sichere Alternative, um den Schutz vor Phishing-Angriffen zu erhöhen.(Bild: Dall-E / KI-generiert)
Passkeys sind eine sichere Alternative, um den Schutz vor Phishing-Angriffen zu erhöhen.
(Bild: Dall-E / KI-generiert)

Ein aktueller Phishing-Angriff aus dem April 2025 hat einmal mehr deutlich gemacht, wie anfällig die Nutzung von Passwörtern zur Authentifizierung sein kann. Millionen Gmail-Konten sind Ziel eines ausgeklügelten Angriffs gewesen. Dabei haben Nutzer und Nutzerinnen eine gefälschte E-Mail erhalten, in welcher sie auf eine nachgebaute Google-Support-Seite geleitet wurden. Dort sollten sie weitere Informationen zu einer angeblichen behördlichen Aufforderung zur Herausgabe ihrer Daten bekommen. Das perfide dabei: Die E-Mail wurde von einer validen Google-Adresse versendet, da die Angreifer die DKIM (DomainKeys Identified Mail) als Schutzmaßnahme gegen den Missbrauch der Adresse umgehen konnten. Lediglich an der Domain im Link zum gefälschten Support-Portal ließ sich ableiten, dass es sich um einen Phishing-Versuch handelte, da das Portal ansonsten perfekt gefälscht war. Der Link führte auf „sites.google.com“, also die Seite, auf der Privatpersonen selbst Webseiten hosten können. Aber selbst für erfahrene Nutzer und Nutzerinnen ist dieser Betrug nur sehr schwer zu erkennen. Wer auf der Seite sein Passwort eingibt, riskiert die Kontrolle über sein E-Mail-Postfach und somit womöglich über alle weiteren damit verbundenen Accounts im Internet zu verlieren.

Funktionsweise und Sicherheitsvorteile von Passkeys

Passkeys sind die sicherere Alternative zum bisherigen Einsatz von Passwörtern. Bei der Nutzung des klassischen Passworts müssen Nutzer und Nutzerinnen und der Dienst, zu dem der Account mit dem Passwort gehört, dieses kennen - und dementsprechend auch speichern. Das führt zu mehreren Herausforderungen:

  • Nutzer und Nutzerinnen müssen sich das Passwort merken, was je nach Komplexität des Passworts schwierig ist, wenn beispielsweise kein Passwortmanager verwendet wird.
  • Deshalb werden häufig einfach zu merkende Passwörter verwendet und diese auf mehreren Webseiten gleichzeitig genutzt.
  • Es muss dem Dienst vertraut werden, dass das Passwort dort sicher und verschlüsselt hinterlegt wird, ansonsten besteht die Gefahr der unbefugten Nutzung im Falle eines Leaks.

Passkeys schaffen hier Abhilfe, da diese auf einem kryptografischen Schlüsselpaar basieren.

Dieses Verfahren der kryptografischen Schlüsselerzeugung erfolgt bei der erstmaligen Registrierung des Accounts. Der private Schlüssel verbleibt auf dem lokalen Gerät und wird dort in speziell gesicherten Hardwarekomponenten (Vault) hinterlegt. Der öffentliche Schlüssel wird auf den Servern des Dienstes gespeichert. Dadurch erhält der Dienst keinerlei vertraulichen Informationen, die die Authentifizierung betreffen. Sollte der Dienst einmal kompromittiert sein und die gespeicherten Schlüssel gelangen an unbefugte Dritte, so ist dies nicht so kritisch, da kein Zugriff auf den privaten vertraulichen Schlüssel erlangt werden kann.

Neben der erhöhten Sicherheit im Falle eines Datenlecks, haben Passkeys weitere Vorteile. Da bei der Registrierung automatisch das kryptografische Verfahren zur Erzeugung des privaten und öffentlichen Schlüssels erfolgt und diese fortan zur weiteren Anmeldung genutzt werden, muss sich kein komplexes Passwort mehr gemerkt werden.

Lokale Schlüssel und eindeutige Verifizierung im Zusammenspiel

Bei der nächsten Anmeldung wird durch eine biometrische Verifizierung in Form eines Fingerabdrucks oder Gesichtserkennung die Identität des Kontoinhabers oder der Kontoinhaberin sichergestellt. Alternativ ist auch die Eingabe einer PIN möglich. Dadurch wird sichergestellt, dass keine unbefugte dritte Person, die Zugang zur Hardware erlangt hat, auch automatisch auf Konten der legitimierten Person zugreifen kann. Passkeys bestehen somit immer auch aus zwei Faktoren – der Hardware bzw. dem privaten Schlüssel, sowie dem Identitätsnachweis. Während des gesamten Anmeldeprozesses verbleibt der private Schlüssel auch weiterhin auf dem lokalen Gerät. Der Dienst sendet eine sogenannte Aufgabe an das Gerät. Das Gerät schickt diese mit dem privaten Schlüssel signiert zurück an den Dienst. Anhand der Signatur kann der Dienst nun mit dem öffentlichen Schlüssel zweifelsfrei feststellen, dass es sich um den rechtmäßigen Kontoinhaber oder Kontoinhaberin handelt, da nur dieser den privaten Schlüssel besitzen kann. Da bei jeder Registrierung eines Accounts auch immer ein neuer privater und öffentlicher Schlüssel erzeugt wird, kann es auch nicht mehr passieren, dass für mehrere Konten die gleichen Zugangsdaten verwendet werden. Sollte also tatsächlich mal ein privater Schlüssel entwendet werden, so könnte damit im schlimmsten Fall nur auf ein einzelnes Konto zugegriffen werden.

Benutzerfreundliche Phishing-Resistenz

Das sind alles sehr gute sicherheitstechnische Verbesserungen und Vorteile im Vergleich zur bisherigen simplen Verwendung von Passwörtern. Allerdings wurde der beste Sicherheitsvorteil noch nicht beleuchtet: Phishing-Resistenz. Es wird zwar für jeden Account ein neuer privater Schlüssel erzeugt, zusätzlich ist dieser aber automatisch auch noch an die Domain des Dienstes gebunden (Origin Binding). Dadurch ist sichergestellt, dass der Passkey nur für die hinterlegte Domain genutzt werden kann. Sollte es ein Angreifer also wie im Eingangsbeispiel schaffen, Nutzer und Nutzerinnen auf eine perfekt gefälschte Seite zu leiten, so wird der Authentifizierungsvorgang fehlschlagen. Da es auch nicht möglich ist, Zugangsdaten selbst einzugeben, können diese auch nicht aus Versehen doch beispielsweise in ein Passwortfeld eingetragen werden. Durch den privaten und öffentlichen Schlüssel und die damit verbundene Challenge/Signatur müssen auch niemals vertrauliche Daten übertragen werden, die durch Man-in-the-Middle-Angriffe abgegriffen und dann in Replay-Angriffen verwendet werden könnten.

Ein solches Domain-Binding kann zwar auch mit Hilfe eines klassischen Passwortmanagers erreicht werden, allerdings stößt man hier sehr häufig an die Grenzen der Benutzerfreundlichkeit, was die normale Privatperson angeht. Die wenigsten benutzen einen Passwortmanager. Passkeys sind hier eine benutzerfreundliche Alternative, da der Anwender oder die Anwenderin diesen sicherheitsrelevanten Vorteil direkt ohne weiteres Zutun bekommt. Die Phishing-Resistenz wurde auch durch das NIST (National Institute of Standards and Technology) attestiert.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Ausblick

Haben Passwortmanager und Passwörter damit ausgedient? Nein! Es gibt zwar bereits eine sehr breite Akzeptanz und Nutzbarkeit von Passkeys, allerdings sind bei weitem noch nicht alle Dienste damit nutzbar. Somit werden Nutzer auch weiterhin zum Teil auf Passwörter setzen und diese mit der Zeit ablösen. Dass die großen Player allerdings schon lange Passkeys unterstützen, zeigt, dass diese eine zukunftsträchtige Alternative sind. Seit Ende 2024 empfiehlt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Nutzung von Passkeys als Login-Verfahren.

Die FIDO Alliance arbeitet zudem an Entwicklungen, die die Benutzerfreundlichkeit weiter steigern. So wird aktuell an einem Standard gearbeitet, der das Exportieren und Importieren von einem zum anderen Anbieter ermöglicht. Ein einfacher Transfer der gespeicherten Passkeys von Google zu beispielsweise Apple ist Stand jetzt nämlich noch nicht möglich. Um hier vollständig unabhängig zu sein, wird man aber auch in Zukunft weiterhin auf Passwortmanager setzen müssen. Mit Lösungen wie KeePassXC hat man den Backup-Mechanismus vollständig selbst in der Hand und umgeht damit auch gleichzeitig die zwangsweise notwendige Cloud-Synchronisierung der großen Anbieter. Damit verliert man bei bei Verlust des Gerätes nicht den Zugriff auf seine privaten Schlüssel und auf seine Konten.

Über den Autor: Alexander Böhm arbeitet als Software Architect in der Business Line Sports bei der adesso SE und hat bereits in diversen Projekten Identity Access Management Integrationen betreut und durchgeführt. Daneben begeistert und engagiert er sich nicht nur beruflich im Bereich der Softwarearchitektur.

(ID:50524570)

Weiterführende Inhalte