Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Nutzung von Passkeys als sicherere Alternative zu herkömmlichen Passwörtern empfohlen. In einer aktuellen Einschätzung betont die Behörde, dass die passwortlosen Login-Verfahren auf modernen kryptografischen Methoden basieren und damit die allgemeine IT-Sicherheit für Endanwender deutlich erhöhen können.
Parallel zu dieser Empfehlung haben Sicherheitsforscher drei Schwachstellen in Apples Browser-Engine WebKit beschrieben, über die sich der Anonymisierungsdienst iCloud Private Relay aushebeln lässt – eine davon betrifft die Art und Weise, wie WebKit Passkey-Anfragen behandelt.
Funktionsweise und Sicherheitsvorteile der kryptografischen Authentifizierung
Bei Passkeys handelt es sich um ein Verfahren, das den Zugriff auf digitale Dienste ohne die Eingabe einer klassischen Zeichenfolge ermöglicht. Nach Angaben des BSI beruht die Technologie auf einem asymmetrischen Schlüsselpaar. Bei der Erstellung eines Passkeys wird ein öffentlicher Schlüssel beim jeweiligen Dienstanbieter hinterlegt, während der dazugehörige private Schlüssel lokal auf dem Gerät des Nutzers verbleibt.
Ein wesentlicher Sicherheitsaspekt ist laut der Behörde die Kopplung an einen zweiten Faktor. Für die Nutzung eines Passkeys ist in der Regel eine biometrische Verifikation, etwa ein Gesichtsscan oder ein Fingerabdruck, auf dem Endgerät erforderlich. Das BSI sieht die Hauptvorteile dieses Verfahrens in der Resistenz gegen Phishing-Angriffe und der wirksamen Verhinderung der Mehrfachverwendung von Passwörtern über verschiedene Dienste hinweg.
Angesichts der hohen Zahl gehackter Konten in Deutschland bietet die Umstellung auf passwortlose Logins einen entscheidenden Sicherheitsvorteil. Wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sofort einrichten, zeigt dieser kostenlose Ratgeber. Die sichere Alternative zu Passwörtern jetzt gratis nachlesen
Trotz der Sicherheitsgewinne weist das BSI auch auf potenzielle Risiken hin. Bei einem Verlust des Endgeräts droht demnach auch der Verlust des Zugangs zu den damit verknüpften Konten. Aus diesem Grund sei die Erstellung von Backups für Nutzer von Passkeys eine notwendige Vorsichtsmaßnahme, um die Wiederherstellung der Zugänge zu gewährleisten.
Drei Lücken in Apples Browser-Engine WebKit
Die Schwachstellen liegen nicht im Passkey-Verfahren selbst. WebAuthn ist ein offener Standard des W3C, den alle gängigen Browser umsetzen; betroffen ist Apples Umsetzung in WebKit. Die Forscher Talal Haj Bakry und Tommy Mysk beschreiben, dass WebKit sogenannte WebAuthn Related Origin Requests an den Anmeldedienst des Betriebssystems weiterreicht. Dieser stellt die zugehörige Abfrage anschließend direkt vom Gerät aus – und weiß nichts von einem Proxy, den der Browser oder ein Dienst eingerichtet hat.
Auf diesem Weg lässt sich iCloud Private Relay umgehen: Die echte IP-Adresse eines Nutzers wird preisgegeben, obwohl sie durch den Anonymisierungsdienst geschützt sein sollte. Herkömmliche VPN-Verbindungen sind von dieser Schwachstelle nicht betroffen.
Wer sich mit moderner Authentifizierung befasst, sollte die Technologie hinter den neuen Sicherheitsstandards genau kennen, um von maximalem Schutz zu profitieren. Ein neuer Gratis-Report erklärt, wie Sie Passkeys für eine bequeme Anmeldung per Fingerabdruck oder Gesichtsscan nutzen. Kostenlosen Report: Sicher und passwortlos anmelden herunterladen
Nach demselben Muster funktionieren zwei weitere von den Forschern beschriebene Lücken, die das DNS-Prefetching und WebTransport betreffen: Auch hier verlässt Datenverkehr das Gerät am Proxy vorbei. Die drei Lücken bestehen seit unterschiedlichen Systemversionen – die Passkey-bezogenen Anfragen laut den Forschern bereits seit iOS 18.0, das DNS-Prefetching seit iOS 26.0 und WebTransport seit iOS 26.4. Betroffen sind neben iOS auch iPadOS und macOS; konkrete macOS-Versionen nennen die Forscher nicht. Apple hat gegenüber US-Medien bestätigt, die Hinweise zu prüfen; einen Termin für eine Korrektur nannte das Unternehmen zunächst nicht.
Was Nutzer tun können
Der Browser Psylo hat mit Version 1.3.1 reagiert – allerdings nicht, indem er die Umgehung unterbindet: Die App blockiert dns-prefetch-Hinweise und schaltet WebTransport sowie WebAuthn standardmäßig ab. Passkeys stehen in Psylo damit zunächst nicht mehr zur Verfügung. Beide Funktionen lassen sich pro Website wieder einschalten, was das jeweilige Leck für diese Seite allerdings wieder öffnet. Hinzu kommt: Psylo stammt von Talal Haj Bakry und Tommy Mysk, also von denselben Forschern, die die Schwachstellen beschrieben haben, und wird ausschließlich für iPhone und iPad angeboten.
Auf dem Mac hilft die App deshalb nicht. Browser mit eigener Engine wie Chrome oder Firefox sind von der beschriebenen WebKit-Lücke zwar nicht betroffen, werden von iCloud Private Relay aber ohnehin nicht abgedeckt – der Dienst schützt im Wesentlichen Safari sowie DNS-Anfragen. Wer seine IP-Adresse zuverlässig verbergen will, ist bis zu einer Korrektur durch Apple auf ein klassisches VPN angewiesen.
Anmerkung der Redaktion (20.08.2026): Dieser Artikel wurde nach einem Leserhinweis korrigiert. Die ursprüngliche Fassung bezeichnete WebAuthn als „WebKit-Funktion“ und schrieb dem Standard die Schwachstelle zu – tatsächlich ist WebAuthn ein W3C-Standard, und der Fehler liegt in dessen Umsetzung in WebKit; die Überschrift wurde entsprechend geändert. Ferner nannte der Artikel pauschal „iOS 26.0 oder neuer“ als betroffen, während die Passkey-bezogene Lücke laut den Forschern bereits ab iOS 18.0 besteht. Schließlich war die Aussage falsch, mit Psylo bleibe die Privatsphäre gewahrt, „während die Sicherheitsvorteile der Passkeys erhalten bleiben“: Psylo deaktiviert WebAuthn standardmäßig, Passkeys funktionieren dort also gerade nicht. Ergänzt wurden der Hinweis auf die Urheberschaft von Psylo und dessen Beschränkung auf iOS/iPadOS. Wir danken dem Leser für den Hinweis.
