Die Ära des Passworts neigt sich dem Ende zu. Passkeys auf Basis von WebAuthn und FIDO2 etablieren sich als neuer Standard für sichere digitale Identitäten. Doch mit der wachsenden Verbreitung mehren sich auch die Sicherheitsbedenken.
So funktioniert die Technik im Hintergrund
Das Fundament bildet asymmetrische Kryptografie. Der private Schlüssel liegt sicher in einem Hardware-Sicherheitsmodul des Endgeräts, der öffentliche auf dem Server. Entscheidend ist das Origin Binding: Die Authentifizierung klappt nur gegenüber der ursprünglich registrierten Domäne – Phishing wird damit effektiv unterbunden.
Bei der Implementierung in Frameworks wie NestJS oder Next.js setzen Entwickler zunehmend auf Bibliotheken wie @simplewebauthn. Die technischen Anforderungen sind klar definiert: Challenges sollten nur fünf Minuten gültig sein, Identifikationsmerkmale werden als Binärdaten gespeichert, Zählerstände als BigInt-Werte. Moderne Systeme erlauben dabei die parallele Nutzung von Passkeys und klassischen Passwörtern über mehrere Geräte hinweg.
Tech-Giganten treiben die Entwicklung voran
Microsoft hat Passkeys zur Standard-Authentifizierung für neue Nutzer von Entra ID erklärt. Organisationen behalten dabei die Kontrolle über ihre spezifischen Richtlinien. Amazon integriert die Technologie ebenfalls: Der Dienst Amazon Cognito ist nun als Skill im Agent Toolkit für AWS verfügbar und unterstützt Passkey-Enrollment sowie erweiterten Bedrohungsschutz.
Wer sich mit der neuen Technologie vertraut machen möchte, erfährt in diesem kostenlosen Report, wie Passkeys die digitale Sicherheit revolutionieren. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Auch staatliche Infrastrukturen setzen auf die neue Technologie. Singpass, der digitale Identitätsdienst Singapurs, führt Passkeys ein, um Bürger besser vor Phishing zu schützen. Der Rollout startet zunächst für iPhone-Nutzer, Android und Desktop folgen später.
Forscher finden Angriffspunkte in der Praxis
Trotz der starken Kryptografie entdecken Sicherheitsexperten immer wieder Schwachstellen in der praktischen Anwendung. Die Unit-42-Forscher von Palo Alto Networks identifizierten mehrere Angriffsmethoden auf den Google Password Manager in Chrome. Die als Pass-Ta-Key, Silver Pass-Ta-Key und Golden Pass-Ta-Key bezeichneten Attacken ermöglichen im schlimmsten Fall das Extrahieren sensibler Daten aus dem Prozessspeicher. Google hat bereits reagiert und Geheimnisse aus den Protokolldateien entfernt.
Weitere Risiken zeigen Untersuchungen zu Windows Hello for Business. Ein Angreifer mit bestehendem Sitzungszugriff könnte Schlüssel nutzen, um Entra ID-Token zu erhalten oder Geräte zu registrieren – ohne biometrische Abfrage oder PIN-Eingabe. Eine klassische CVE-Kennung gibt es dafür nicht, denn es handelt sich um eine inhärente Eigenschaft des Systemdesigns.
Angesichts der steigenden Zahl gehackter Konten ist ein moderner Schutz wichtiger denn je – dieser Ratgeber zeigt, wie Sie Passkeys bei großen Diensten wie Amazon oder Microsoft sofort einrichten. Sicher, bequem und passwortlos: So funktionieren Passkeys jetzt
Zusätzlich sorgt ein Netzwerkfehler in der WebKit-Engine unter iOS 18 für Aufsehen. Bestimmte WebAuthn-Anfragen umgehen das iCloud Private Relay, wodurch die IP-Adresse des Nutzers sichtbar wird. Auch DNS-Prefetching und WebTransport könnten für Datenabflüsse genutzt werden.
Kein Grund zur Panik
Die Funde zeigen keine Schwächen der WebAuthn-Kryptografie selbst. Sie unterstreichen vielmehr die Komplexität, die Technologie sicher in bestehende Betriebssysteme und Browser zu integrieren. Die passwortlose Zukunft kommt – aber der Weg dorthin bleibt holprig.
