Passkeys vs. 2-Faktor-Authentifizierung Überall sicher mit Passkeys?

Anbieter zum Thema

FTAPI Software GmbH

Passkeys sind derzeit in aller Munde. Sie versprechen eine sichere Alternative zum klassischen Passwort. Doch gegen unsichere Logins mittels einfacher Passwörter gehen viele Webseitenanbieter bereits mit der 2-Faktor-Authentifizierung (2FA) vor. Warum jetzt also auf Passkeys umsteigen? Im Vergleich zeigen wir auf, warum Passkeys nicht nur sicherer als 2FA, sondern auch einfacher und schneller in der Anwendung sind.

In der Welt der IT-Sicherheit ist Phishing nach wie vor eine Bedrohung. So gab jeder der Befragten einer aktuellen 1Password-Studie an, bereits selbst mit Phishing in Kontakt gekommen zu sein oder jemanden zu kennen, der oder dem das passiert sei. Kein Wunder also, dass 77 Prozent sich eine sicherere Login-Methode für ihre Accounts wünschen. Passwörter sind nach wie vor die am weitesten verbreitete Authentifizierungsmethode, haben jedoch einige Schwächen. So nutzen viele Menschen unsichere Passwörter, die aus persönlichen Informationen wie dem Namen des Kindes oder dem Geburtsdatum der Mutter bestehen – Daten, die Cyberkriminelle schneller herausfinden, als man das Wort Passkey buchstabieren kann. Hinzu kommt, dass sie häufig das gleiche Passwort für verschiedene Accounts nutzen.

Es wird jedoch immer schwieriger, die immer größer werdende Menge an Online-Accounts samt Login-Daten zu überblicken. Passwortmanager können hier mittlerweile Abhilfe verschaffen. So müssen sich Nutzer und Nutzerinnen ihre Passwörter für die unzähligen Webseiten nicht mehr merken, sondern sie werden dank Browsererweiterung automatisch auf den Seiten ausgefüllt, wenn sie im Passwortmanager hinterlegt sind. Darüber hinaus schlagen Passwortmanager sichere Passwörter vor und speichern diese auch gleich mit ab.

Das Problem: Auch Hacker entwickeln sich weiter. Phishing- und andere Cyber-Attacken werden immer ausgefeilter und auch vermeintlich sichere Passwörter bieten keinen umfassenden Schutz mehr. Ist erst einmal das Passwort abgefangen, können Angreifer erheblichen Schaden anrichten. Zusätzlicher Schutz muss her.

Ein weiterer Schritt für mehr Sicherheit

Für ein sichereres Online-Erlebnis bieten viele Dienstleister mittlerweile Logins mit 2-Faktor-Authentifizierung an. Dabei gibt man im ersten Schritt regulär sein Passwort ein. Um Zugang zum Account zu bekommen, ist dann ein weiterer Schritt notwendig: Anwender erhalten über E-Mail oder SMS Codes, die sie zusätzlich eingeben müssen. Erst wenn sie auf beide Komponenten Zugriff haben, können sie ihren Account einsehen. Eine sehr verbreitete Variante der 2FA funktioniert über Authenticator-Apps für Smartphones, die Time-based One-time Passwords (TOTP), also einmalige, zeitlich limitierte Passwörter, kreieren. Damit sind sie nicht wiederholbar und später auch nicht mehr verwendbar für Dritte.

Das klingt erst einmal nach einer guten Lösung, welche die Sicherheit auch tatsächlich erhöht. Ein großer Nachteil der 2-Faktor-Authentifizierung ist jedoch, dass man sich ganz einfach selbst aussperren kann. Hat man gerade keinen Zugriff auf die Codes, ist ein Login nicht möglich. Das gilt insbesondere für die Variante mit Authenticator-Apps, welche meist auf einem separaten Gerät installiert sind. Des Weiteren gehören weiterhin Passwörter zur Sicherheitsinfrastruktur und bieten somit eine Angriffsfläche. Hacker haben zudem Methoden gefunden, um SMS abzufangen und so an den zweiten Faktor zu gelangen. Ideal wäre es also, wenn Zugangsdaten gar nicht erst ausspioniert werden könnten. Hier kommen Passkeys ins Spiel.

Überall sicher mit Passkeys?

Mit Passkeys ist seit einiger Zeit eine weitere Möglichkeit der Authentifizierung auf dem Markt. Wie es der Name bereits verrät, ist ein Passkey ein virtueller Schlüssel. Dieser ist auf einem Endgerät gespeichert und öffnet das Schloss, das vor dem Account liegt. Mit nur einem Klick können sich Nutzer in Sekundenschnelle einloggen.

Aber wie funktioniert das konkret? Bei der Erstellung eines Online-Accounts werden zwei Schlüssel generiert, die miteinander mathematisch verknüpft sind. Ein öffentlicher Schlüssel wird mit dem Dienst, beispielsweise einer Webseite oder einer App, geteilt. Ein privater Schlüssel bleibt ausschließlich auf dem Gerät des Anwenders gespeichert. Die öffentliche Variante dient dazu, Informationen zu verschlüsseln, die nur der private Schlüssel entschlüsseln kann.

Um dies besser zu verstehen, können wir eine Analogie heranziehen: Der öffentliche Schlüssel ist vergleichbar mit einem unsichtbaren Tintenstift, der nur unter Verwendung einer speziellen UV-Lampe sichtbar wird. Der private Schlüssel entspricht dem UV-Licht, das die geheime Nachricht enthüllt. Jede:r kann den Tintenstift verwenden, um eine Nachricht zu verfassen, aber nur die Person mit dem UV-Licht kann die Nachricht lesen. Beim Login-Versuch schickt der Dienst über den öffentlichen Schlüssel eine sogenannte Challenge in Form einer geheimen Nachricht an das Gerät des/der Benutzenden. Wenn es die Nachricht lesen kann, ist die Challenge bestanden. Anders ausgedrückt: Der Dienst erkennt, dass der private Schlüssel auf dem Gerät vorliegt und meldet seine:n Besitzer:in sicher an.

Schnell und einfach einloggen mit Passkeys

Nutzerinnen und Nutzer spüren die Vorteile von Passkeys gegenüber der 2-Faktor-Authentifizierung unmittelbar: Schnelligkeit und Einfachheit. Statt zwei Komponenten eingeben zu müssen, braucht es nur noch den entsprechenden Passkey auf dem Gerät. Man muss sich kein Passwort mehr merken, es eintippen oder einfügen. Es verwundert daher nicht, dass jüngst eine Google-Studie aufzeigte, dass sich User mit Passkeys im Vergleich zu Passwörtern viermal erfolgreicher einloggen und dabei auch noch knapp doppelt so schnell sind. Das schnelle Einloggen mit Passkeys trägt aber auch zum wichtigsten Aspekt des Authentifizierens bei: Sicherheit. Denn mit jeder Eingabe eines Passwortes steigt die Gefahr, dass Dritte es abgreifen. Dieser Schritt entfällt bei Passkeys komplett.

Da Passkeys sicher auf den Endgeräten gespeichert werden, bleibt nur noch die Frage zu klären, wie sich diese effektiv vor Fremdübernahme schützen lassen. Auch hier gibt es eine Lösung. Denn die neueren Modelle von Endgeräten – ob Smart TV, Laptop oder Smartphone – bieten Geräte- und auch App-Entsperrung über biometrische Scans an. Die bekanntesten Beispiele sind Fingerabdruck und Face ID. Durch Entsperren des Gerätes haben Anwender Zugriff auf die Passkeys, die ihnen dann Zugriff auf ihre Online-Accounts gewähren. Diese biometrischen Daten können Hacker selbst dann nicht abfangen oder imitieren, wenn sie beim Einloggen direkt auf den Bildschirm starren. Außerdem können Anwenderinnen und Anwender ihren Zugang nie vergessen, es gibt keine TOTPs, die ablaufen können, und auch keine anderen Faktoren, die ein einfacheres und sicheres Einloggen verhindern.

Auf in eine passwortlose Zukunft?

Die 2-Faktor-Authentifizierung ist ein Schritt in die richtige Richtung und wird auch weiterhin eine Rolle in der IT-Sicherheit spielen. So könnte es in Zukunft möglicherweise Nischenszenarien geben, in denen es sich lohnt, Passkeys mit 2FA zu kombinieren. Allgemein gesprochen, sollte man sich aber bewusst sein, dass bei der bisher stark verbreiteten 2FA keine der Komponenten gänzlich sicher vor Diebstahl ist. Hacker haben längst die Schwachstellen erkannt und ausgenutzt – von SIM-Karten-Austausch bis hin zu Person-in-the-Middle-Angriffen und Phishing-Techniken. Es ist deshalb an der Zeit, dass Passkeys als Authentifizierungsmethode weite Verbreitung finden. Nur so lässt sich der Risikofaktor Mensch gänzlich ausschließen.

Über den Autor: Alex Hoffmann ist Senior Solutions Engineer bei 1Password und seit 2013 in verschiedenen Rollen und Funktionen Teil des Unternehmens. Zuvor leitete er den Kundensupport für die Windows-App und war maßgeblich an der Entwicklung des Business-Sales-Teams von 1Password beteiligt.

(ID:49787800)