Passwörter waren viele Jahre lang der wichtigste Schlüssel zu digitalen Konten. Wegen ihrer Wiederverwendung, Datenlecks und gefälschter Anmeldeseiten stellen sie jedoch eine erhebliche Schwachstelle dar. Ein Passkey ist eine Anmeldemethode, bei der Sie Ihre Identität über die Bildschirmsperre Ihres Telefons oder Computers bestätigen, anstatt sich ein Passwort zu merken und es einzugeben. Fingerabdruck, Gesichtserkennung oder Geräte-PIN sind der sichtbare Teil der Benutzererfahrung; Ihre biometrischen Daten werden dabei nicht an den Dienst übermittelt.

## Wie funktioniert ein Passkey?

Beim Erstellen eines Passkeys entstehen zwei mathematisch miteinander verknüpfte kryptografische Schlüssel. Der öffentliche Schlüssel wird beim Dienstanbieter gespeichert, während der private Schlüssel auf Ihrem Gerät oder in dem von Ihnen verwendeten sicheren Synchronisierungssystem verbleibt. Bei der Anmeldung sendet die Website eine Prüfanforderung, die Ihr Gerät mit dem privaten Schlüssel signiert. Der private Schlüssel selbst wird nicht an die Gegenseite übertragen.

Diese Struktur erschwert es einer gefälschten Website, einen für den echten Dienst erstellten Passkey zu verwenden. Der Schlüssel ist an eine bestimmte Webdomain gebunden. Selbst wenn Nutzer zu einer ähnlich aussehenden gefälschten Adresse weitergeleitet werden, hinterlassen sie kein Geheimnis, das Angreifer stehlen könnten, weil sie kein Passwort eingeben. Die FIDO Alliance bezeichnet Passkeys deshalb als phishingresistente Methode. Ein Passkey macht den Wiederherstellungskanal eines Kontos oder die Gerätesicherheit jedoch nicht automatisch vollkommen sicher.

## Bereiten Sie sich vor der Einrichtung vor

Verwenden Sie zunächst auf Ihren Telefonen, Tablets und Computern ein aktuelles Betriebssystem und eine starke Bildschirmsperre. Wählen Sie statt einer vierstelligen, leicht zu erratenden PIN einen längeren Code. Prüfen Sie die Telefonnummer und E-Mail-Adresse zur Wiederherstellung Ihres Gerätekontos und entfernen Sie Adressen, die Sie nicht mehr verwenden. Informieren Sie sich außerdem, über welchen Passwortmanager oder welches Plattformkonto Ihre Passkeys synchronisiert werden.

Erstellen Sie Passkeys nur auf Geräten, die Ihnen gehören. Es ist nicht ratsam, einen dauerhaften Schlüssel auf einem gemeinsam genutzten Arbeitsplatzrechner, einem Hotelcomputer oder einem Familientablet zu speichern. Das türkischsprachige Supportdokument von Google weist ausdrücklich darauf hin, dass jede Person, die das Gerät entsperren kann, auf das betreffende Konto zugreifen kann. Die bequeme Anmeldung ist daher nur so sicher wie die Gerätesperre.

## Schrittweiser Plan für einen sicheren Umstieg

1. Führen Sie den ersten Versuch mit einem weniger kritischen Konto durch, das Passkeys offiziell unterstützt. Öffnen Sie die Sicherheitseinstellungen des Kontos direkt in der App oder indem Sie die Adresse selbst eingeben. 2. Wählen Sie „Passkey erstellen“ und bestätigen Sie den Vorgang mit der Gerätesperre. Prüfen Sie anschließend den im Konto angezeigten Geräte- oder Schlüsselnamen. 3. Melden Sie sich ab und versuchen Sie die erneute Anmeldung in einem privaten Fenster oder einem anderen Browser. So stellen Sie fest, ob der Schlüssel funktioniert und ob unerwartet ein Passwort oder Code verlangt wird. 4. Löschen Sie die Optionen zur Kontowiederherstellung nicht sofort. Prüfen Sie, wie der Dienst neben dem Passkey mit Passwörtern, Einmalcodes oder Wiederherstellungscodes umgeht. Bewahren Sie Wiederherstellungscodes offline an einem sicheren Ort auf. 5. Bereiten Sie ein zweites vertrauenswürdiges Gerät vor. Wenn Sie keine Synchronisierung verwenden, sollten Sie erwägen, auf dem zweiten Gerät einen separaten Passkey einzurichten oder einen FIDO2-kompatiblen physischen Sicherheitsschlüssel zu verwenden. 6. Benennen Sie die Geräte und Passkeys auf der Sicherheitsseite des Kontos. Entfernen Sie alte, verkaufte oder Ihnen unbekannte Einträge.

## Was ist zu tun, wenn das Telefon verloren geht?

Sperren Sie das Telefon zunächst über den Dienst des Herstellers für verlorene Geräte und veranlassen Sie bei Bedarf eine Fernlöschung. Öffnen Sie anschließend auf einem anderen vertrauenswürdigen Gerät den Sicherheitsbereich des wichtigen Kontos, entfernen Sie den Passkey des verlorenen Telefons und beenden Sie aktive Sitzungen. Wenden Sie sich wegen Ihrer SIM-Karte auch an Ihren Mobilfunkanbieter, um den Missbrauch von Nachrichten zur Kontowiederherstellung zu verhindern.

Setzen Sie das Telefon vor dem Verkauf nicht lediglich auf die Werkseinstellungen zurück. Melden Sie sich von Ihren Konten ab, entfernen Sie das Gerät aus Ihrem Herstellerkonto und vergewissern Sie sich, dass Verschlüsselung und Zurücksetzen vollständig abgeschlossen wurden. Befolgen Sie bei Unternehmensgeräten das Lösch- und Rückgabeverfahren der IT-Abteilung.

## Häufige Missverständnisse

Ein Passkey und Gesichtserkennung sind nicht dasselbe. Das Gesicht oder der Fingerabdruck erteilt meist nur die Erlaubnis, den privaten Schlüssel auf dem Gerät zu verwenden; die biometrische Vorlage muss nicht an die Website gesendet werden. Ein Passkey ist außerdem nicht in jedem Fall ein physischer Sicherheitsschlüssel. Es gibt unterschiedliche Varianten, die auf dem Telefon oder Computer gespeichert, über die Cloud synchronisiert oder auf einem externen FIDO2-Schlüssel verwahrt werden.

Gehen Sie schließlich nicht davon aus, dass alte Anmelde- und Wiederherstellungswege automatisch deaktiviert werden, nur weil ein Konto Passkeys anbietet. Ein schwaches Passwort oder ein leicht zu übernehmendes E-Mail-Konto zur Wiederherstellung könnte Angreifern weiterhin offenstehen. Der beste Ansatz besteht darin, den Passkey zu aktivieren, die Wiederherstellungsmethoden abzusichern, Kontowarnungen eingeschaltet zu lassen und registrierte Geräte regelmäßig zu überprüfen.