Passkeys

Der überwiegende Teil erfolgreicher Angriffe beginnt damit, dass jemand ein Passwort preisgibt – auf einer nachgebauten Anmeldeseite, am Telefon oder in einer gut gemachten E-Mail. Passkeys setzen an genau dieser Stelle an: Sie schaffen das Geheimnis ab, das man preisgeben könnte.

Wie sie funktionieren

Beim Einrichten erzeugt Ihr Gerät ein Schlüsselpaar. Der öffentliche Schlüssel geht an den Dienst und wird dort hinterlegt. Der private Schlüssel bleibt auf dem Gerät und verlässt es nicht.

Bei der Anmeldung schickt der Dienst eine Aufgabe, die nur mit dem privaten Schlüssel gelöst werden kann. Das Gerät löst sie – nach einer lokalen Bestätigung durch Fingerabdruck, Gesichtserkennung oder Geräte-PIN – und sendet die Antwort zurück.

Zwei Eigenschaften folgen daraus, und beide sind entscheidend:

Es gibt kein Geheimnis zum Weitergeben. Der Dienst speichert nur den öffentlichen Schlüssel. Wird seine Datenbank gestohlen, ist damit nichts anzufangen – anders als bei Passwortdatenbanken, die selbst in gehashter Form ein Risiko sind.

Der Schlüssel ist an die Adresse gebunden. Ein Passkey für Ihre Bank funktioniert nur auf der echten Adresse Ihrer Bank. Eine nachgebaute Seite unter ähnlicher Adresse bekommt schlicht keine Antwort – auch dann nicht, wenn der Nutzer den Unterschied nicht bemerkt. Das ist der Grund, warum Passkeys als phishing-resistent gelten, während ein per SMS oder App zugestellter Code es nicht ist.

Die biometrischen Daten bleiben dabei auf dem Gerät. Sie werden nicht übertragen und nicht beim Dienst gespeichert; sie entsperren nur den lokalen Schlüssel.

Was bei der Einführung zu klären ist

Die Wiederherstellung. Der wichtigste Punkt – und der, an dem Projekte scheitern. Was geschieht, wenn das Gerät verloren geht oder kaputt ist? Ohne einen geplanten Weg sperren Sie Beschäftigte aus.

Praktikabel sind: mindestens zwei registrierte Schlüssel je Person, ein Verfahren zur Neuausgabe über die IT mit sauberer Identitätsprüfung, und – für kritische Konten – ein physischer Sicherheitsschlüssel als Rückfallebene. Ein Wiederherstellungsweg über E-Mail hebt den Gewinn wieder auf: Dann ist das Postfach das schwächste Glied.

Geräteschlüssel oder synchronisierte Schlüssel. Passkeys können auf ein Gerät beschränkt sein oder über den Schlüsselbund des Anbieters zwischen den Geräten einer Person synchronisiert werden. Synchronisierte Schlüssel sind bequemer und für die Belegschaft praktikabler; gerätegebundene sind strenger und für besonders geschützte Zugänge angebracht. Beachten Sie bei der synchronisierten Variante, wo synchronisiert wird und unter welchem Konto.

Private Konten. Wenn der Passkey im privaten Schlüsselbund eines Beschäftigten liegt, hat das Unternehmen darauf keinen Zugriff – auch nicht beim Ausscheiden. Regeln Sie, ob betriebliche Zugänge in privaten Schlüsselbünden liegen dürfen; siehe BYOD und personelle Sicherheit.

Der Übergang. Solange die Passwortanmeldung als Alternative bestehen bleibt, bleibt auch der Angriffsweg offen. Der Sicherheitsgewinn entsteht erst, wenn das Passwort abgeschaltet wird – das ist ein Projekt, kein Schalter.

Wo sie datenschutzrechtlich einzuordnen sind

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Eine phishing-resistente Anmeldung ist eine der wirksamsten Maßnahmen überhaupt und gehört entsprechend in die Dokumentation der technischen und organisatorischen Maßnahmen.

Beachten Sie außerdem: Die lokale Entsperrung per Fingerabdruck ist keine Verarbeitung biometrischer Daten durch Sie – die Daten bleiben auf dem Gerät der Person. Anders wäre es bei einem System, das biometrische Merkmale zentral speichert; das wäre eine Verarbeitung besonderer Kategorien nach Art. 9 mit ganz anderen Anforderungen.

Was sie nicht lösen

Passkeys schützen die Anmeldung. Sie schützen nicht davor, dass jemand nach erfolgreicher Anmeldung zu einer Überweisung überredet wird, dass eine Sitzung übernommen wird oder dass Daten über eine ungeschützte Schnittstelle abfließen.

Der Mensch bleibt deshalb Teil der Betrachtung – siehe Phishing-Simulation und Richtlinie für Mitarbeitende.

Kontakt

Sie erwägen die Umstellung und wissen nicht, wo Sie anfangen? Meist bei den Konten mit den weitesten Rechten.