Die britische Cybersicherheitsbehörde National Cyber Security Centre (NCSC) hat eine dringende Empfehlung zur breiten Einführung von Passkeys ausgesprochen. In einer aktuellen Mitteilung bezeichnen die Experten des NCSC diese Technologie als die derzeit sicherste Option für die digitale Authentifizierung. Die Initiative ist Teil einer umfassenden Bestrebung, die Abhängigkeit von herkömmlichen Passwörtern zu verringern und die Abwehrkräfte gegen Cyberangriffe zu stärken.
Technologische Überlegenheit und Plattformunterstützung
Nach Einschätzung des NCSC bieten Passkeys entscheidende Sicherheitsvorteile gegenüber klassischen Anmeldeverfahren. Die Technologie basiert auf Public-Key-Kryptografie und generiert für jede Webseite eine einzigartige Kennung. Dieser Ansatz macht Passkeys weitgehend resistent gegen Phishing-Angriffe, da keine geheimen Zugangsdaten übertragen werden, die von Angreifern abgefangen werden könnten. Führende Technologieplattformen wie Apple, Google und X unterstützen das Verfahren bereits.
Das NCSC beschreibt Passkeys zudem als eine benutzerfreundliche Alternative zu Passwörtern. Dennoch weisen Fachleute darauf hin, dass die Technologie kein universelles Heilmittel sei. Insbesondere das Risiko durch den Verlust von Endgeräten müsse bei der Implementierung berücksichtigt werden, da der Zugriff auf die Passkeys physisch an die Hardware oder biometrische Merkmale gebunden ist.
Implementierung im öffentlichen Sektor und in Unternehmen
Parallel zur Empfehlung der Sicherheitsbehörde treibt die britische Regierung die praktische Anwendung voran. GOV.UK hat Leitlinien für die Nutzung von Passkeys für den Dienst „GOV.UK One Login“ veröffentlicht. Nutzer können sich dort mittels Gesichtserkennung, Fingerabdruck oder Geräte-PIN anmelden. Das Verfahren wird auf den Betriebssystemen iOS 16+, Android 10+, Windows 10+ sowie macOS Ventura 13+ unterstützt. Für die Anmeldung an verschiedenen Geräten können QR-Codes in Verbindung mit Bluetooth genutzt werden, während Passwörter und Sicherheitscodes weiterhin als Backup-Methoden dienen.
Angesichts von rund 4,7 Millionen gehackten Online-Konten pro Quartal in Deutschland wird der Umstieg auf sicherere Login-Verfahren immer dringlicher. Erfahren Sie in diesem kostenlosen Report, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten und sich effektiv schützen. Passkey-Ratgeber jetzt kostenlos herunterladen
Auch im Unternehmenssektor schreitet die Integration voran. Google integriert derzeit FIDO2-Sicherheitsschlüssel und Passkeys für Mobiltelefone in die Windows-Anmeldung über den Google Credential Provider for Windows (GCPW). Dies ermöglicht es Administratoren von Google Workspace, eine Zwei-Faktor-Verifizierung (2SV) zu erzwingen und Bluetooth für die Erkennung von Mobilgeräten in der Nähe zu nutzen. Microsoft hat unterdessen Dokumentationen zur Durchsetzung von Multi-Faktor-Authentifizierung (MFA) für Azure Virtual Desktop veröffentlicht. Hierfür ist eine Microsoft Entra ID P1- oder P2-Lizenz erforderlich, wobei spezifische Richtlinien für den bedingten Zugriff auf die App-IDs 9cdead84… und 270efc09… erstellt werden können.
Open-Source-Entwicklungen und herstellerneutrale Ressourcen
Im Bereich der Softwareentwicklung gibt es neue Ansätze, um die Integration moderner Authentifizierungsverfahren zu erleichtern. Das Projekt SSOJet hat sein Ökosystem um Open-Source-Software-Development-Kits (SDKs) für JavaScript, Node.js und Edge-Runtimes erweitert. Diese SDKs basieren auf Web-Standard-APIs und unterstützen Funktionen wie Enterprise SSO über SAML oder OIDC, Verzeichnis-Synchronisation via SCIM sowie Session-Management.
Zusätzlich wurde mit „Start with Identity“ eine neue, kostenlose und herstellerneutrale Referenz für das Identity and Access Management (IAM) ins Leben gerufen. Das vom ehemaligen LoginRadius-Manager Deepak Gupta gegründete Projekt umfasst Bewertungen von 293 Anbietern und 86 nationalen E-ID-Systemen. Die Methodik zur Bewertung der Anbieter wurde offengelegt, wobei die Initiatoren betonen, dass das Projekt ohne Sponsoring arbeitet, um die Neutralität zu wahren.
Die technologische Ablösung klassischer Passwörter verspricht nicht nur mehr Sicherheit, sondern beendet auch den alltäglichen Passwort-Stress durch biometrische Anmeldung. Was genau hinter der Passkey-Technologie steckt und wie Sie diese auf all Ihren Geräten nutzen, zeigt dieser kompakte Gratis-Leitfaden. Kostenlosen Report zur passwortlosen Anmeldung sichern
Vorbereitungen auf die Post-Quanten-Ära
Über die aktuellen Sicherheitsstandards hinaus befassen sich das NCSC und Partner wie Vodafone bereits mit zukünftigen Bedrohungen. In einem ersten gemeinsamen Workshop zur Migration auf Post-Quanten-Kryptografie (PQC) betonten die Beteiligten die Notwendigkeit, Verschlüsselungsverfahren frühzeitig anzupassen. Da künftige Quantencomputer in der Lage sein könnten, heutige Public-Key-Kryptografie zu brechen, raten Experten dazu, die Lieferkettenbereitschaft zu prüfen und die Führungsebene in Unternehmen frühzeitig in den Migrationsprozess einzubinden.
Auf europäischer Ebene wurde zudem die Version 3.0 des EU Digital Identity Wallet Architecture and Reference Framework (ARF) veröffentlicht. Dieses Framework führt ein Verfahren zur Konformitätsbewertung für die Zertifizierung von EUDI-Wallets ein und setzt eine operative Frist bis Dezember 2026.
