Passkey

Was ist ein Passkey?

Ein Passkey ist eine passwortlose Authentifizierungsanmeldeinformation, die auf der Public-Key-Kryptographie basiert. Anstatt ein gemeinsames Geheimnis wie ein Passwort zu speichern, besteht ein Passkey aus einem privaten Schlüssel, der sicher auf dem Gerät des Benutzers gespeichert ist, und einem entsprechenden öffentlichen Schlüssel, der vom Dienst gespeichert wird.

Wenn sich ein Benutzer authentifiziert, weist das Gerät den Besitz des privaten Schlüssels mittels einer kryptografischen Herausforderung nach. Dieser Prozess macht das Übermitteln oder Speichern von Passwörtern überflüssig und verringert so die Anfälligkeit für Phishing und Diebstahl von Zugangsdaten.

Wie funktioniert die Passkey-Authentifizierung?

Die Passkey-Authentifizierung basiert auf asymmetrischer Kryptographie und gerätegebundenen Anmeldeinformationen:

1. Ein Benutzer registriert sich bei einem Dienst und erzeugt ein öffentliches/privates Schlüsselpaar.
2. Der öffentliche Schlüssel wird vom Dienst gespeichert; der private Schlüssel verbleibt auf dem Gerät des Benutzers.
3. Während der Anmeldung sendet der Dienst eine Herausforderung.
4. Das Gerät signiert die Herausforderung mit dem privaten Schlüssel.
5. Der Dienst überprüft die Signatur mit dem öffentlichen Schlüssel.

Die Authentifizierung wird typischerweise mit Biometrie oder einer Geräte-PIN entsperrt und kombiniert starke Kryptografie mit benutzerfreundlicher Zugriffskontrolle.

Passkey vs Passwort: Was ist der Unterschied?

Passkeys und Passwörter repräsentieren grundsätzlich unterschiedliche Authentifizierungsmodelle:

• Passwörter: Gemeinsame Geheimnisse, die wiederverwendet, erraten oder gestohlen werden können
• Passkeys: Einzigartige kryptografische Anmeldeinformationen, die das Gerät niemals verlassen

Hauptunterschiede:

• Passkeys sind gegen Phishing resistent; Passwörter sind es nicht
• Passkeys verhindern die Wiederverwendung von Anmeldeinformationen über Systeme hinweg
• Passkeys basieren auf Gerätesicherheit und Benutzerpräsenz
• Passwörter hängen vom Benutzerverhalten und der Durchsetzung der Richtlinien ab

Diese Veränderung beseitigt den primären Angriffsvektor, auf den Angreifer angewiesen sind: kompromittierte Anmeldeinformationen.

Sind Passkeys sicher?

Passkeys verbessern die Sicherheit erheblich, indem sie geteilte Geheimnisse entfernen und sich für die Authentifizierung auf asymmetrische Kryptographie stützen. Anstatt Anmeldeinformationen über das Netzwerk zu übertragen, erfolgt die Authentifizierung über einen Challenge-Response-Mechanismus, bei dem der private Schlüssel das Gerät des Benutzers niemals verlässt. Dieses Design eliminiert ganze Klassen von Angriffen, die auf das Abfangen oder Wiederverwenden von Anmeldeinformationen angewiesen sind.

Da jede Passkey an eine bestimmte Domain und ein kryptografisches Schlüsselpaar gebunden ist, sind Phishing-Angriffe wirkungslos. Selbst wenn ein Benutzer dazu verleitet wird, eine bösartige Seite zu besuchen, erzeugt der Authentifikator keine gültige Signatur für eine andere Herkunft. Ebenso credential stuffing und password spraying Angriffe scheitern, da kein wiederverwendbares Geheimnis für die Wiedergabe über Dienste oder Konten vorhanden ist. Replay-Angriffe werden ebenfalls gemindert, da jede Authentifizierungsanfrage eine einzigartige, zeitlich begrenzte Herausforderung enthält, die nicht wiederverwendet werden kann.

Die Sicherheit von Passkeys ist jedoch nicht absolut und hängt von mehreren zugrunde liegenden Kontrollen ab. Die Integrität des Endpunkts ist entscheidend, da Malware oder ein kompromittiertes Gerät potenziell über die Authentifikator-Schnittstelle auf den privaten Schlüssel zugreifen oder diesen missbrauchen könnte. Sichere Schlüsselspeicherung, die typischerweise durch hardwaregestützte Module wie TPMs oder sichere Enklaven durchgesetzt wird, ist unerlässlich, um die Schlüsselextraktion zu verhindern. Darüber hinaus bleibt das Identitätslebenszyklusmanagement eine Kernanforderung, einschließlich Bereitstellung, Wiederherstellung, Widerruf und Gerätesynchronisation, insbesondere in Unternehmensumgebungen, in denen Benutzer auf mehreren Geräten und Identitätsanbietern arbeiten.

Anwendungsfälle

• Passwortlose Authentifizierung für den Zugriff der Belegschaft
• Sicheres Login für SaaS- und Cloud-Anwendungen
• Verbraucherauthentifizierung für Web- und Mobile-Apps
• Reduzierung der Helpdesk-Arbeitsbelastung durch Passwortzurücksetzungen
• Stärkung von zero trust und identitätsorientierten Sicherheitsstrategien

Wie Netwrix helfen kann

Passkeys gewinnen an Verbreitung, aber Passwörter werden in den meisten Umgebungen weiterhin häufig verwendet.

Organisationen verlassen sich weiterhin auf Passwörter für service accounts, Legacy-Anwendungen, hybride Identitätskonfigurationen und Offline-Systeme. Diese Bereiche stellen oft das höchste Risiko dar, da sie schwerer zu modernisieren und für Angreifer leichter auszunutzen sind.

Deshalb bleibt die konsequente Durchsetzung der Passwort-Richtlinie unerlässlich.

Netwrix Password Policy Enforcer ergänzt die Einführung von Passkeys, indem es die Bereiche Ihrer Umgebung sichert, in denen weiterhin Passwörter erforderlich sind.

Mit Netwrix können Sie:

• Blockieren Sie schwache und kompromittierte Passwörter, bevor sie verwendet werden
• Durchsetzung granularer Richtlinien in hybriden Active Directory- und Entra ID-Umgebungen
• Reduzieren Sie die Anfälligkeit für Password-Spraying- und kennwortbasierte Angriffe
• Geben Sie Echtzeit-Feedback, damit Benutzer beim ersten Versuch konforme Passwörter erstellen
• Richten Sie sich nach Standards wie NIST 800-63B und PCI DSS

Sicherheit bedeutet nicht, Passwörter überall zu eliminieren.

Es geht darum, sie überall dort zu kontrollieren, wo sie noch existieren.