Bundesregierung plant Umstieg von Passwörtern auf Passkeys

Die Bundesregierung will Passwörter als Authentifizierungsmethode durch Passkeys ersetzen, da diese als deutlich sicherer gelten.

Passkeys sind eine Authentifizierungsmethode, die auf WebAuthn basiert (Web Authentication). Diese Technologie ermöglicht es Anbietern von Social-Media-Plattformen und anderen Websites, sichere Authentifizierung in ihre Dienste zu integrieren, indem sie registrierte Kundengeräte wie Smartphones oder Laptops nutzen.

Passkeys basieren auf den Prinzipien asymmetrischer Kryptographie, es gibt also zwei Schlüssel. Der öffentliche Schlüssel wird auf der Website des Dienstanbieters gespeichert, der private Schlüssel bleibt auf dem persönlichen Gerät. Stimmen beide Schlüssel überein, wird die Identität verifiziert und der Zugang zum Account gewährt.

Anders ausgedrückt: Passkeys basieren nicht auf der Übertragung statischer Werte wie einem Passwort, sondern auf einem Challenge-Response-Verfahren. Dabei signieren Nutzer kryptographisch eine Nachricht mit einem komplexen, zufällig generierten Einmalwert, der von der Gegenseite übermittelt wird. Das macht Passkeys sicherer als Passwörter.

Ein weiterer großer Vorteil von Passkeys: Sie sind resistent gegen Phishing und Man-in-the-Middle-Attacken. Merken muss man sie sich auch nicht, denn Passkeys werden automatisch generiert. Im Gegensatz zu Passwörtern können Passkeys nicht vergessen werden, da sie auf dem Gerät gespeichert sind. Außerdem hat jedes Online-Konto einen einzigartigen Passkey. Passwörter hingegen werden oft für mehrere Seiten verwendet, was ein deutlich höheres Risiko darstellt.

„Wir müssen Cybersicherheit so einfach wie möglich und gleichzeitig robust gestalten. Passkeys sind ein perfektes Beispiel dafür, wie man mit technischen Lösungen, technischen Herausforderungen begegnen kann.", sagt Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), in einer Stellungnahme und wirbt für die flächendeckende Einführung von Passkeys in Deutschland.

Doch auch Passkeys bergen gewisse Risiken. Sicherheitsforscher der Cybersecurity-Firma Proofpoint warnten, dass Betrüger diese Authentifizierungsmethode umgehen können, indem sie Nutzerkonten auf weniger sichere Anmeldemethoden herunterstufen.

Im Januar warnte das britische National Cyber Security Centre (NCSC), dass verschiedene Hürden eine flächendeckende Einführung von Passkeys derzeit verhindern, darunter uneinheitlicher technischer Support, nutzerseitige Probleme wie Geräteverlust, Migrationsprobleme, Plattformunterschiede und Lösungen zur Kontowiederherstellung.