Rückblick: Warum Passkeys anders funktionieren als Passwörter

Ein klassisches Passwort ist ein gemeinsames Geheimnis. Der Benutzer kennt es und der jeweilige Dienst speichert eine daraus abgeleitete Prüfinformation. Bei jeder Anmeldung gibt der Benutzer das Passwort erneut ein.

Genau daraus entstehen zahlreiche Risiken. Das Passwort kann auf einer gefälschten Website eingegeben, durch Schadsoftware ausgelesen, mehrfach verwendet oder aus einer kompromittierten Datenbank gewonnen werden.

Ein Passkey arbeitet dagegen mit einem kryptografischen Schlüsselpaar:

• Der öffentliche Schlüssel wird beim jeweiligen Dienst gespeichert.
• Der private Schlüssel verbleibt geschützt auf dem Gerät oder im Passkey-Speicher.
• Der private Schlüssel wird bei der Anmeldung nicht übertragen.
• Jeder Passkey ist an den vorgesehenen Dienst gebunden.
• Jede Anmeldung verwendet eine neue einmalige Anfrage.

Der Benutzer bestätigt die Verwendung des Passkeys lokal, beispielsweise mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Diese grundlegende Konstruktion beseitigt viele Schwächen, die bei passwortbasierten Anmeldungen kaum vollständig vermieden werden können.

Die technischen Grundlagen haben wir ausführlich im vorherigen Beitrag „Welche Technologie steckt hinter Passkeys?“ erklärt.

Warum Passkeys als phishingresistent gelten

Phishingresistent bedeutet nicht, dass ein Benutzer niemals mehr getäuscht werden kann. Es bedeutet, dass die Anmeldedaten nicht einfach auf einer gefälschten Website eingegeben und anschließend vom Angreifer übernommen werden können.

Ein Passwort kann der Benutzer auf jeder beliebigen Internetseite eintippen. Ein Passkey wird dagegen nur für den Dienst verwendet, für den er registriert wurde.

Der Browser und der Authenticator prüfen, ob die aufgerufene Internetadresse zur hinterlegten Dienstkennung passt. Bei einer fremden oder nur ähnlich aussehenden Domain wird der passende Passkey nicht freigegeben.

Eine gefälschte Microsoft-Anmeldeseite kann daher nicht einfach den für Microsoft registrierten Passkey abfragen und anschließend selbst verwenden.

Ein Benutzer kann ein Passwort auf der falschen Seite eingeben. Ein korrekt implementierter Passkey entscheidet technisch, für welche Seite er verwendet werden darf.

Welche Angriffe verhindern Passkeys besonders wirksam?

Passkeys reduzieren mehrere verbreitete Angriffswege erheblich. Ihre größte Stärke liegt im Schutz vor Angriffen, bei denen Zugangsdaten abgefangen, erraten, wiederverwendet oder weitergegeben werden.

Klassisches Phishing

Bei einer gefälschten Anmeldeseite gibt der Benutzer keine übertragbare Zeichenfolge ein. Der Passkey ist an den echten Dienst gebunden und kann nicht einfach auf der Angreiferseite verwendet werden.

Credential Stuffing

Beim Credential Stuffing testen Angreifer bereits gestohlene Kombinationen aus Benutzernamen und Passwörtern automatisiert bei weiteren Diensten.

Da für jeden Dienst ein eigener Passkey erzeugt wird, existiert kein wiederverwendbares Passwort, das bei mehreren Anbietern ausprobiert werden kann.

Automatisiertes Erraten von Passwörtern

Wörterbuchangriffe und automatisierte Anmeldeversuche verlieren ihre Grundlage, wenn das Benutzerkonto keine klassische Passwortanmeldung mehr zulässt.

Ein Angreifer kann den privaten Schlüssel nicht durch das Ausprobieren bekannter Begriffe oder Zahlenfolgen erraten.

Diebstahl einer Passwortdatenbank

Ein Anbieter speichert bei einer Passkey-Anmeldung lediglich den öffentlichen Schlüssel. Dieser reicht nicht aus, um eine gültige Anmeldung zu erzeugen.

Selbst wenn die entsprechende Datenbank entwendet wird, erhält der Angreifer daraus nicht automatisch einen verwendbaren privaten Schlüssel.

Abfangen von SMS- und E-Mail-Codes

Bei einer reinen Passkey-Anmeldung muss kein Einmalcode per SMS oder E-Mail übertragen und anschließend in ein Formular eingegeben werden.

Dadurch entfallen unter anderem Risiken durch abgefangene Nachrichten, manipulierte Weiterleitungen und die unmittelbare Weitergabe eines Codes an eine Phishing-Seite.

Replay-Angriffe

Bei jeder Anmeldung erzeugt der Dienst eine neue kryptografische Anfrage. Die Antwort gilt nur für diesen konkreten Vorgang.

Eine zuvor aufgezeichnete Antwort kann deshalb nicht einfach zu einem späteren Zeitpunkt erneut verwendet werden.

Wie sicher ist der private Schlüssel?

Der private Schlüssel ist die entscheidende Komponente eines Passkeys. Er wird normalerweise nicht als frei zugängliche Datei abgelegt.

Moderne Geräte verwenden dafür geschützte Hardware- oder Softwarebereiche. Dazu können beispielsweise gehören:

• Trusted Platform Module, kurz TPM
• Secure Enclave
• Trusted Execution Environment
• geschützte Schlüsselspeicher des Betriebssystems
• Sicherheitschips externer FIDO2-Schlüssel

Diese Komponenten sollen verhindern, dass der private Schlüssel einfach ausgelesen oder kopiert wird.

Statt den Schlüssel an das Betriebssystem oder die Anwendung herauszugeben, führen sie die kryptografische Berechnung innerhalb des geschützten Bereichs aus. Nach außen wird nur das Ergebnis der Berechnung übermittelt.

Die konkrete Schutzwirkung hängt jedoch vom verwendeten Gerät, der Plattform, der Konfiguration und der Art des Passkeys ab.

Sind Fingerabdruck und Gesichtserkennung ein Sicherheitsrisiko?

Fingerabdruck und Gesichtserkennung werden häufig mit dem Passkey selbst verwechselt. Die biometrischen Merkmale sind jedoch normalerweise nicht der eigentliche Anmeldeschlüssel.

Sie dienen lediglich dazu, den auf dem Gerät gespeicherten Passkey lokal freizugeben.

Der Onlinedienst erhält dabei üblicherweise weder das Gesichtsbild noch den Fingerabdruck. Das Gerät meldet lediglich, dass die lokale Benutzerprüfung erfolgreich durchgeführt wurde.

Alternativ kann die Freigabe über eine Geräte-PIN erfolgen. Diese PIN wird ebenfalls lokal geprüft und nicht wie ein klassisches Kontopasswort an den Onlinedienst übertragen.

Trotzdem müssen Geräte-PIN und biometrische Entsperrung angemessen geschützt sein. Eine leicht zu erratende PIN oder ein ungeschütztes Gerät kann die praktische Sicherheit reduzieren.

Was passiert bei einem gestohlenen Smartphone oder Notebook?

Der Verlust eines Geräts bedeutet nicht automatisch, dass der Finder sofort auf alle damit verbundenen Benutzerkonten zugreifen kann.

Der Passkey ist normalerweise durch die Gerätesperre geschützt. Ohne PIN, Fingerabdruck oder Gesichtserkennung kann er nicht ohne Weiteres verwendet werden.

Trotzdem entsteht ein Sicherheitsvorfall, der umgehend behandelt werden muss. Besonders kritisch wird die Situation, wenn:

• das Gerät zum Zeitpunkt des Verlusts entsperrt war
• eine schwache oder bekannte Geräte-PIN verwendet wird
• der Benutzer bereits bei wichtigen Diensten angemeldet ist
• das Gerät nicht zentral gesperrt oder gelöscht werden kann
• keine Festplatten- oder Gerätespeicherverschlüsselung aktiv ist
• lokale Sicherheitsupdates fehlen

Unternehmen benötigen deshalb weiterhin ein geregeltes Gerätemanagement. Dazu gehören Gerätesperre, Verschlüsselung, aktuelle Sicherheitsupdates, zentrale Verwaltung und ein dokumentierter Ablauf bei Verlust.

Synchronisierte oder gerätegebundene Passkeys: Was ist sicherer?

Bei der Sicherheitsbewertung muss zwischen synchronisierten und gerätegebundenen Passkeys unterschieden werden.

Synchronisierte Passkeys

Synchronisierte Passkeys können über einen geschützten Plattform- oder Passwortmanagerdienst auf mehreren Geräten desselben Benutzers verfügbar gemacht werden.

Das erhöht die Benutzerfreundlichkeit und erleichtert den Wechsel auf ein neues Smartphone oder einen neuen Computer.

Gleichzeitig wird die Sicherheit des Plattformkontos wichtiger. Der Zugriff auf den Passkey-Speicher, die Gerätekopplung und die Wiederherstellung des Plattformkontos müssen deshalb angemessen geschützt sein.

Gerätegebundene Passkeys

Gerätegebundene Passkeys verbleiben auf dem Gerät oder Sicherheitsschlüssel, auf dem sie erzeugt wurden.

Sie lassen sich nicht ohne Weiteres auf ein anderes Gerät synchronisieren. Das kann den Komfort reduzieren, ermöglicht aber eine stärkere Kontrolle über die verwendete Hardware.

Für besonders schützenswerte Konten, Administratoren oder streng kontrollierte Unternehmensumgebungen können gerätegebundene FIDO2-Sicherheitsschlüssel eine geeignete Lösung sein.

Es gibt deshalb keine pauschal beste Variante. Die Entscheidung hängt von Schutzbedarf, Benutzergruppe, Geräteverwaltung und Wiederherstellungsanforderungen ab.

Passkeys schützen nicht automatisch vor Schadsoftware

Ein Passkey kann verhindern, dass ein Angreifer das eigentliche Anmeldegeheimnis über eine Phishing-Seite stiehlt.

Ist das Endgerät selbst kompromittiert, entstehen jedoch andere Risiken. Schadsoftware kann beispielsweise:

• Bildschirminhalte und Eingaben beobachten
• bereits geöffnete Anwendungen manipulieren
• aktive Browser-Sitzungen missbrauchen
• Dateien und E-Mails auslesen
• Aktionen im Namen des angemeldeten Benutzers ausführen
• weitere Schadprogramme nachladen

Der private Schlüssel muss dafür nicht zwingend ausgelesen werden. Befindet sich der Benutzer bereits in einer gültigen Sitzung, kann ein Angreifer versuchen, genau diese Sitzung oder das bereits angemeldete Gerät zu missbrauchen.

Passkeys ersetzen deshalb weder Endpoint-Security noch Patchmanagement, Gerätekontrolle und die Überwachung sicherheitsrelevanter Aktivitäten.

Diebstahl aktiver Sitzungen bleibt ein Risiko

Nach einer erfolgreichen Anmeldung erstellt ein Onlinedienst normalerweise eine Sitzung. Dadurch muss der Benutzer nicht bei jedem Klick erneut seinen Passkey bestätigen.

Diese Sitzung wird häufig über geschützte Browserinformationen oder Sitzungstoken verwaltet.

Gelingt es einem Angreifer, eine gültige Sitzung auf einem kompromittierten Gerät zu übernehmen, muss er den Passkey möglicherweise nicht erneut verwenden.

Der Angriff richtet sich dann nicht gegen den Passkey, sondern gegen den Zustand nach der erfolgreichen Anmeldung.

Schutzmaßnahmen umfassen unter anderem:

• aktuelle Browser und Betriebssysteme
• Endpoint-Schutz und Angriffserkennung
• kurze oder risikobasierte Sitzungsdauer bei sensiblen Anwendungen
• erneute Authentifizierung vor besonders kritischen Aktionen
• Überwachung ungewöhnlicher Anmeldungen und Sitzungen
• Widerruf aktiver Sitzungen bei einem Verdachtsfall
• gerätebasierte Zugriffsrichtlinien

Die größte Schwachstelle kann die Kontowiederherstellung sein

Ein stark geschützter Passkey hilft nur begrenzt, wenn das Benutzerkonto über einen deutlich schwächeren Weg wiederhergestellt werden kann.

Mögliche Rückfall- und Wiederherstellungsverfahren sind:

• SMS-Codes
• E-Mail-Codes
• telefonische Identitätsprüfung
• Zurücksetzung durch den Helpdesk
• Wiederherstellung über ein Plattformkonto
• Ausnahmeverfahren für verlorene Geräte
• vorläufige Zugangskennungen

Ist einer dieser Wege schwächer als die eigentliche Passkey-Anmeldung, konzentrieren sich Angreifer genau auf diesen Prozess.

Die Sicherheit eines Benutzerkontos wird nicht nur durch die stärkste Anmeldemethode bestimmt, sondern auch durch den schwächsten zulässigen Wiederherstellungsweg.

Schwache alternative Anmeldemethoden begrenzen den Nutzen

Viele Unternehmen aktivieren Passkeys zusätzlich zu bestehenden Verfahren. Das ist für eine schrittweise Einführung häufig sinnvoll.

Bleiben jedoch dauerhaft schwächere Methoden uneingeschränkt nutzbar, kann ein Angreifer versuchen, den Passkey vollständig zu umgehen.

Zu diesen schwächeren Methoden können gehören:

• nur mit Passwort geschützte Anmeldung
• SMS als alleiniger zusätzlicher Faktor
• Sprachanrufe zur Bestätigung
• E-Mail-Codes
• alte Anwendungskennwörter
• unkontrollierte Ausnahmeprozesse

Die Einführung eines Passkeys sollte deshalb immer mit einer Prüfung der weiterhin zugelassenen Anmeldemethoden verbunden werden.

Bei besonders schützenswerten Ressourcen können Richtlinien festlegen, dass nur phishingresistente Anmeldemethoden akzeptiert werden.

Die Registrierung eines neuen Passkeys ist ein kritischer Vorgang

Bei der Registrierung wird ein neuer öffentlicher Schlüssel mit dem Benutzerkonto verbunden.

Der Besitzer des dazugehörigen privaten Schlüssels kann sich anschließend gegenüber dem Dienst ausweisen.

Gelingt es einem Angreifer, seinen eigenen Passkey mit einem fremden Konto zu verknüpfen, muss er die Kryptografie danach nicht mehr überwinden.

Sein Schlüssel wurde vom System bereits als zulässige Anmeldemethode hinterlegt.

Unternehmen sollten daher kontrollieren:

• wer neue Passkeys registrieren darf
• wie der Benutzer vor der Registrierung identifiziert wird
• welche Geräte und Passkey-Arten zugelassen sind
• ob Registrierungen protokolliert werden
• ob ungewöhnliche Änderungen eine Warnmeldung auslösen
• wie unbekannte Passkeys entfernt werden
• wie Administrator- und Notfallkonten behandelt werden

Genau dieser Bereich bildet die Verbindung zum vierten Teil unserer Serie. Dort betrachten wir, wie Angreifer sichere Anmeldemethoden durch Social Engineering, manipulierte Registrierung und schwache Supportprozesse umgehen.

Können Hacker einen Passkey technisch knacken?

Der direkte Angriff auf die zugrunde liegende Kryptografie ist für gewöhnliche Cyberkriminelle nicht der wirtschaftlich sinnvollste Weg.

Statt einen privaten Schlüssel mathematisch zurückzuberechnen, suchen Angreifer nach leichter zugänglichen Möglichkeiten:

• Manipulation eines Benutzers
• Übernahme eines Endgeräts
• Diebstahl einer aktiven Sitzung
• Missbrauch eines Wiederherstellungsverfahrens
• Registrierung einer eigenen Anmeldemethode
• Ausnutzung fehlerhafter Anwendungen
• Angriff auf das Plattform- oder Synchronisationskonto
• Ausnutzung schwächerer alternativer Anmeldewege

Die Aussage „Passkeys können nicht gehackt werden“ wäre deshalb zu pauschal. Richtig ist:

Die zugrunde liegende Anmeldung ist gegen viele verbreitete Remote-Angriffe erheblich widerstandsfähiger als Passwörter und einfache Einmalcodes.

Welche Rolle spielen Implementierungsfehler?

Passkeys basieren auf etablierten Standards. Die konkrete Anwendung wird jedoch durch Hersteller, Plattformen und Dienste umgesetzt.

Fehler können beispielsweise entstehen durch:

• unvollständige Prüfung der Dienst- oder Domainbindung
• unsichere Verknüpfung mit einem Benutzerkonto
• fehlerhafte Registrierung neuer Anmeldedaten
• unzureichende Prüfung kryptografischer Antworten
• unsichere Sitzungsverwaltung nach der Anmeldung
• mangelhafte Kontowiederherstellung
• fehlerhafte Berechtigungs- und Rollenmodelle

Anwenderunternehmen können die interne Programmierung großer Cloud-Dienste nicht selbst kontrollieren. Sie sollten jedoch etablierte Plattformen nutzen, Sicherheitsupdates zeitnah installieren und die eigenen Richtlinien sorgfältig konfigurieren.

Wie sicher sind Passkeys bei Microsoft 365?

Microsoft Entra ID unterstützt FIDO2-basierte Passkeys als phishingresistente Anmeldemethode.

Je nach Umgebung können beispielsweise folgende Verfahren eingesetzt werden:

• Passkeys in Microsoft Authenticator
• Windows Hello for Business
• FIDO2-Sicherheitsschlüssel
• unterstützte synchronisierte Passkeys
• gerätegebundene Passkeys

Die tatsächliche Schutzwirkung hängt jedoch von den Entra-ID-Richtlinien ab. Es muss festgelegt werden, welche Benutzer welche Methoden verwenden dürfen und für welche Anwendungen eine phishingresistente Anmeldung erforderlich ist.

Besonders relevant sind:

• Richtlinien für Authentifizierungsmethoden
• Conditional Access
• Authentication Strengths
• Schutz privilegierter Rollen
• Gerätezustand und Geräteverwaltung
• Protokollierung von Anmeldungen und Änderungen
• Kontowiederherstellung
• Widerruf aktiver Sitzungen

Ein Passkey ist deshalb nicht lediglich eine neue Anmeldeschaltfläche. Er muss in das gesamte Identitäts- und Zugriffskonzept eingebunden werden.

Administratorkonten benötigen ein höheres Schutzniveau

Für privilegierte Benutzerkonten reicht es nicht, lediglich dieselben Einstellungen wie für normale Beschäftigte zu übernehmen.

Administratoren können Benutzer, Anwendungen, Sicherheitsrichtlinien, Berechtigungen und weitere Authentifizierungsmethoden verwalten.

Sinnvolle Maßnahmen sind:

• getrennte Benutzer- und Administratorkonten
• phishingresistente Authentifizierung für privilegierte Zugriffe
• gerätegebundene Sicherheitsschlüssel für besonders kritische Rollen
• keine tägliche E-Mail-Nutzung mit Administratorkonten
• begrenzte Anzahl globaler Administratoren
• erneute Authentifizierung bei Rollenaktivierung
• Überwachung aller Änderungen an Authentifizierungsmethoden
• geschützte und dokumentierte Notfallkonten

Die passende Umsetzung hängt vom Schutzbedarf, den Microsoft-Lizenzen und der vorhandenen Verwaltungsstruktur ab.

Wie Unternehmen Passkeys sicher einführen

Eine sichere Einführung benötigt mehr als die technische Aktivierung einer neuen Anmeldemethode.

Unternehmen sollten vorab klären:

• Welche Benutzergruppen erhalten Passkeys?
• Welche Geräte und Plattformen sind zugelassen?
• Dürfen private Smartphones verwendet werden?
• Werden synchronisierte oder gerätegebundene Passkeys eingesetzt?
• Wie wird die erste Registrierung abgesichert?
• Welche alternativen Anmeldemethoden bleiben erlaubt?
• Wie wird ein verlorenes Gerät behandelt?
• Wie funktioniert die Kontowiederherstellung?
• Wie werden neue Passkeys protokolliert und kontrolliert?
• Wie werden Benutzer beim Ausscheiden entfernt?

Empfehlenswert ist eine schrittweise Einführung mit einer klar definierten Pilotgruppe. Dabei können technische Probleme, Benutzerfragen und Wiederherstellungsabläufe zunächst in einem begrenzten Rahmen geprüft werden.

Praktische Sicherheitsmaßnahmen rund um Passkeys

Passkeys entfalten ihre größte Wirkung, wenn sie mit weiteren Sicherheitsmaßnahmen kombiniert werden.

• Endgeräte aktuell halten und zentral verwalten
• Festplatten- und Gerätespeicherverschlüsselung aktivieren
• Endpoint-Schutz und Monitoring einsetzen
• schwache alternative Anmeldemethoden reduzieren
• Registrierungen und Änderungen protokollieren
• ungewöhnliche Anmeldungen überwachen
• aktive Sitzungen bei Verdachtsfällen widerrufen
• Helpdesk-Prozesse eindeutig dokumentieren
• Mitarbeiter über Social Engineering informieren
• Wiederherstellungsverfahren regelmäßig prüfen

Der Passkey schützt dabei die eigentliche Anmeldung. Die ergänzenden Maßnahmen schützen das Gerät, die Identität und den weiteren Zugriff nach der Anmeldung.

Wie sicher sind Passkeys im Vergleich zu anderen Verfahren?

Für eine grobe Einordnung lassen sich verbreitete Anmeldeverfahren folgendermaßen bewerten:

• Nur Passwort: anfällig für Phishing, Wiederverwendung, Erraten und gestohlene Datenbanken.
• Passwort und SMS-Code: besser als ein Passwort allein, aber weiterhin durch Phishing, Weitergabe des Codes und Angriffe auf Mobilfunkprozesse gefährdet.
• Passwort und App-Bestätigung: stärker, kann jedoch bei unkritisch bestätigten Anfragen oder Echtzeit-Phishing angegriffen werden.
• Passkey: dienstgebunden, ohne übertragbares Passwort und gegen viele klassische Phishing-Angriffe geschützt.
• Gerätegebundener FIDO2-Sicherheitsschlüssel: sehr hohes Schutzniveau bei kontrollierter Registrierung, sicherem Gerät und geregelter Wiederherstellung.

Die konkrete Sicherheit wird jedoch nicht allein durch den Namen des Verfahrens bestimmt. Entscheidend sind Konfiguration, Geräteschutz, Benutzerprüfung, Wiederherstellung und zulässige Ausweichmethoden.

Passkey-Sicherheit für Unternehmen im Ruhrgebiet

Passkeys und phishingresistente Anmeldeverfahren werden auch für kleine und mittlere Unternehmen im Ruhrgebiet zunehmend relevant.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Microsoft 365, mobile Geräte und Cloud-Anwendungen gehören inzwischen in vielen Betrieben zum Arbeitsalltag.

Gerade kleinere Unternehmen verfügen jedoch selten über eine eigene Abteilung für Identitäts- und Zugriffsmanagement.

Passkeys, Benutzerkonten, Smartphones, Administrationsrechte, Wiederherstellungsverfahren und Sicherheitsprotokolle müssen deshalb häufig innerhalb des allgemeinen IT-Betriebs verwaltet werden.

Die InoBit Datensysteme GmbH unterstützt Unternehmen und Praxen im Ruhrgebiet dabei, moderne Anmeldeverfahren technisch und organisatorisch sicher einzuführen.

Fazit: Passkeys sind sehr sicher, aber keine vollständige Sicherheitslösung

Passkeys gehören zu den stärksten allgemein verfügbaren Verfahren für die sichere Anmeldung an Onlinediensten und Unternehmensanwendungen.

Sie schützen besonders wirksam vor gefälschten Anmeldeseiten, gestohlenen Passwörtern, Credential Stuffing, automatisierten Passwortangriffen und der Wiederverwendung von Zugangsdaten.

Der private Schlüssel verbleibt beim Benutzer und wird nicht an den Onlinedienst übertragen. Die technische Bindung an den richtigen Dienst verhindert zudem, dass der Passkey einfach auf einer fremden Website verwendet wird.

Trotzdem können Benutzerkonten weiterhin angegriffen werden. Risiken bestehen insbesondere durch kompromittierte Endgeräte, aktive Sitzungen, unsichere Wiederherstellung, schwächere Ausweichmethoden und manipulierte Registrierungsprozesse.

Passkeys lösen das Passwortproblem sehr wirksam. Sie lösen jedoch nicht automatisch jedes Problem rund um Geräte, Benutzerkonten, Sitzungen und betriebliche Sicherheitsprozesse.

Im vierten Teil unserer Passkey-Serie zeigen wir, wie Angreifer versuchen, diese verbleibenden Schwachstellen auszunutzen – beispielsweise durch Social Engineering, angebliche Supportanrufe, manipulierte Registrierung, unsichere Wiederherstellung und den Missbrauch aktiver Sitzungen.

Wichtiger Hinweis

Dieser Beitrag erläutert allgemeine Sicherheitsmerkmale, Risiken und Grenzen von Passkeys und FIDO2-basierten Anmeldeverfahren. Er ersetzt keine individuelle technische Prüfung oder Sicherheitsberatung.

Das tatsächlich erreichte Sicherheitsniveau hängt unter anderem von der eingesetzten Plattform, der Passkey-Art, dem Schutz der Endgeräte, den Authentifizierungsrichtlinien, den alternativen Anmeldemethoden und den Wiederherstellungsprozessen ab.

Vor einer betrieblichen Einführung sollten insbesondere Geräteverwaltung, Benutzergruppen, administrative Rollen, Registrierungsverfahren, Kontowiederherstellung, Monitoring und Reaktion auf Sicherheitsvorfälle gemeinsam betrachtet werden.