Das World Wide Web Consortium (W3C) hat die Erhebung der Spezifikation für Web Authentication (WebAuthn) Level 3 in den sogenannten Recommendation-Status vorgeschlagen. Ziel dieser Maßnahme ist es, die Sicherheit und Funktionalität von Passkeys maßgeblich zu verbessern und den Standard für die passwortlose Authentifizierung weiter zu festigen.
Die Weiterentwicklung auf Level 3 bringt eine Reihe technischer Neuerungen mit sich, die über die bisherigen Möglichkeiten hinausgehen. Zu den zentralen Funktionen gehört die Einführung einer PRF-Erweiterung (Pseudo-Random Function), die zur Generierung von Verschlüsselungsschlüsseln dient.
Zudem umfasst die Spezifikation die Unterstützung von „Related Origin Requests“, die es ermöglichen, Anmeldedaten über verschiedene, aber zusammengehörige Domains hinweg zu nutzen. Weitere Bestandteile sind eine Signal-API, verbesserte Abfragemöglichkeiten für Gerätekapazitäten (Capabilities) sowie optimierte JSON-Hilfsfunktionen für Entwickler.
Marktakzeptanz und globale Verbreitung
Die Relevanz dieser Standardisierung wird durch aktuelle Marktdaten unterstrichen. Laut Erhebungen der FIDO Alliance werden weltweit inzwischen schätzungsweise 5 Milliarden Passkeys genutzt. Rund 75 % der Verbraucher haben die Technologie bereits für mindestens eines ihrer Online-Konten aktiviert.
Auch im Unternehmensumfeld gewinnt das Verfahren an Boden: 68 % der Organisationen haben Passkeys für ihre Mitarbeiter bereits bereitgestellt, befinden sich in Pilotprojekten oder rollen diese aktuell aus.
Wer seine Online-Konten effektiv absichern möchte, findet in der neuen Technologie eine sichere Alternative zu klassischen Passwörtern. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten. Was hinter der neuen Technologie steckt, hier gratis lesen
Branchenexperten betonen die Notwendigkeit, phishbare Anmeldedaten konsequent aus IT-Infrastrukturen zu entfernen. Microsoft wies in diesem Zusammenhang darauf hin, dass neben der Einführung von Passkeys auch die Stärkung von Wiederherstellungspfaden entscheidend sei, um die Sicherheit nachhaltig zu erhöhen.
Ein Redakteur der Spezifikation warnte bereits Anfang des Jahres vor potenziellen Datenverlust-Risiken bei der Nutzung der PRF-Erweiterung, sofern keine robusten Wiederherstellungsmechanismen implementiert werden.
Sicherheitsanbieter erweitern Unterstützung
Parallel zur Weiterentwicklung des Standards bauen Softwarehäuser ihre Unterstützung für Passkeys aus. Keeper Security gab bekannt, biometrische Logins auf Basis von FIDO2 und WebAuthn nun auch in Browser-Erweiterungen für Chrome und Edge sowie in der Kommandozeilenlösung Keeper Commander zu unterstützen. Damit ist die Nutzung von Windows Hello oder Touch ID für den Zugriff auf den Passwort-Manager möglich. Laut einem Bericht des Unternehmens nutzen bereits 80 % der Organisationen Passkeys oder planen deren Einführung.
Angesichts von Millionen gehackter Konten pro Quartal in Deutschland suchen immer mehr Anwender nach einer Methode für stressfreies und sicheres Einloggen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie sich per Fingerabdruck oder Gesichtserkennung anmelden und Hackern keine Chance mehr lassen. Kostenlosen PDF-Ratgeber zu Passkeys jetzt herunterladen
Die Vorteile der Technologie gegenüber klassischen Passwörtern liegen vor allem in der Resilienz gegen Phishing-Angriffe. Während Passkeys unter macOS und iOS meist in der Apple-Cloud und unter Android im Google Password Manager gespeichert werden, erfolgt die Ablage unter Windows 11 lokal auf dem Gerät.
Für eine geräteübergreifende Nutzung wird der Einsatz spezialisierter Passwort-Manager empfohlen, da Betriebssysteme wie Linux derzeit noch keine native Unterstützung bieten.
Schutz gegen finanzielle Schäden durch Phishing
Wie effektiv Passkeys die Cyberkriminalität eindämmen können, zeigt das Beispiel des Stadtstaates Singapur. Die dortige Identitätsplattform Singpass führte kürzlich Passkeys ein, die fest an die jeweilige Login-Domain gebunden sind. Damit soll verhindert werden, dass Nutzer ihre Daten auf gefälschten Webseiten eingeben.
Hintergrund sind massive Schäden durch Phishing-Betrug, die sich im Jahr 2025 in Singapur auf fast 40 Millionen US-Dollar beliefen. Die Implementierung bei Singpass folgt den Standards der FIDO Alliance und wurde zunächst für Nutzer von Apple-Geräten freigeschaltet, während die Unterstützung für Android-Systeme für einen späteren Zeitpunkt vorgesehen ist.
