Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Nutzung von Passkeys als sicherere Alternative zu herkömmlichen Passwörtern empfohlen. In einer aktuellen Einschätzung betont die Behörde, dass die passwortlosen Login-Verfahren auf modernen kryptografischen Methoden basieren und damit die allgemeine IT-Sicherheit für Endanwender deutlich erhöhen können.
Parallel zu dieser Empfehlung weisen Sicherheitsforscher jedoch auf spezifische Implementierungsschwächen in Web-Umgebungen hin, die den Datenschutz beeinträchtigen können.
Funktionsweise und Sicherheitsvorteile der kryptografischen Authentifizierung
Bei Passkeys handelt es sich um ein Verfahren, das den Zugriff auf digitale Dienste ohne die Eingabe einer klassischen Zeichenfolge ermöglicht. Nach Angaben des BSI beruht die Technologie auf einem asymmetrischen Schlüsselpaar. Bei der Erstellung eines Passkeys wird ein öffentlicher Schlüssel beim jeweiligen Dienstanbieter hinterlegt, während der dazugehörige private Schlüssel lokal auf dem Gerät des Nutzers verbleibt.
Ein wesentlicher Sicherheitsaspekt ist laut der Behörde die Kopplung an einen zweiten Faktor. Für die Nutzung eines Passkeys ist in der Regel eine biometrische Verifikation, etwa ein Gesichtsscan oder ein Fingerabdruck, auf dem Endgerät erforderlich. Das BSI sieht die Hauptvorteile dieses Verfahrens in der Resistenz gegen Phishing-Angriffe und der wirksamen Verhinderung der Mehrfachverwendung von Passwörtern über verschiedene Dienste hinweg.
Angesichts der hohen Zahl gehackter Konten in Deutschland bietet die Umstellung auf passwortlose Logins einen entscheidenden Sicherheitsvorteil. Wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sofort einrichten, zeigt dieser kostenlose Ratgeber. Die sichere Alternative zu Passwörtern jetzt gratis nachlesen
Trotz der Sicherheitsgewinne weist das BSI auch auf potenzielle Risiken hin. Bei einem Verlust des Endgeräts droht demnach auch der Verlust des Zugangs zu den damit verknüpften Konten. Aus diesem Grund sei die Erstellung von Backups für Nutzer von Passkeys eine notwendige Vorsichtsmaßnahme, um die Wiederherstellung der Zugänge zu gewährleisten.
Identifizierte Schwachstellen bei der Implementierung in Web-Browsern
Während das grundlegende Konzept der Passkeys als sicher gilt, haben Sicherheitsforscher Schwachstellen in spezifischen Implementierungen aufgezeigt. Die Forscher Talal Haj Bakry und Tommy Mysk stellten fest, dass die WebKit-Funktion WebAuthn, welche die technische Basis für Passkeys in Apples Browser-Engine bildet, unter bestimmten Umständen Datenschutzfunktionen umgehen kann.
Den Untersuchungen zufolge kann diese Funktion den Dienst iCloud Private Relay aushebeln. Dadurch sei es möglich, die echte IP-Adresse oder DNS-Informationen eines Nutzers preiszugeben, obwohl diese durch den Anonymisierungsdienst geschützt sein sollten. Von dieser Problematik sind den Angaben nach Geräte mit iOS 26.0 oder neuer sowie macOS betroffen. Herkömmliche VPN-Verbindungen seien von dieser Schwachstelle hingegen nicht betroffen.
Wer sich mit moderner Authentifizierung befasst, sollte die Technologie hinter den neuen Sicherheitsstandards genau kennen, um von maximalem Schutz zu profitieren. Ein neuer Gratis-Report erklärt, wie Sie Passkeys für eine bequeme Anmeldung per Fingerabdruck oder Gesichtsscan nutzen. Kostenlosen Report: Sicher und passwortlos anmelden herunterladen
Darüber hinaus identifizierten die Sicherheitsforscher zwei weitere Schwachstellen innerhalb von WebKit, die das DNS-Prefetching und WebTransport betreffen. Auch diese könnten genutzt werden, um iCloud Private Relay zu umgehen und Nutzerdaten offenzulegen. Eine offizielle Stellungnahme des Herstellers Apple zu diesen Befunden liegt derzeit noch nicht vor.
Software-Lösungen zur Schließung der Sicherheitslücken
Erste Software-Anbieter haben bereits auf die Erkenntnisse der Sicherheitsforscher reagiert. So wird berichtet, dass die Anwendung Psylo in der Version 1.3.1 bereits in der Lage ist, die Umgehung von iCloud Private Relay über die drei genannten WebKit-Schwachstellen zu blockieren. Damit steht für betroffene Nutzer eine technische Lösung bereit, um die Privatsphäre bei der Nutzung der entsprechenden Browser-Funktionen wiederherzustellen, während die Sicherheitsvorteile der Passkeys erhalten bleiben.
