Passkeys: Bequemlichkeit birgt Risiken bei der Wiederherstellung und Abhängigkeiten

Die Tücken der Bequemlichkeit und Wiederherstellung

Ein zentrales Versprechen von Passkeys ist die immense Verbesserung der Benutzerfreundlichkeit. Kein langes Tippen von Passwörtern mehr, keine Notwendigkeit, sich komplexe Zeichenketten zu merken. Einmal eingerichtet, soll die Anmeldung nahtlos funktionieren. Doch gerade hier lauert eine der größten Herausforderungen: die Wiederherstellung. Was passiert, wenn Sie Ihr einziges Gerät verlieren, auf dem Ihre Passkeys gespeichert sind? Traditionelle Methoden zur Passwortwiederherstellung – wie das Zurücksetzen über E-Mail – greifen hier nicht, da die Passkeys selbst und nicht ein abrufbares Passwort die Authentifizierung ermöglichen. Zwar gibt es Ansätze zur Synchronisation von Passkeys über Cloud-Dienste, was die Wiederherstellung erleichtern soll. Diese Synchronisation birgt jedoch eigene Sicherheitsrisiken, wie neu entdeckte Schwachstellen gezeigt haben [1]. Die Abhängigkeit von einem funktionierenden Cloud-Backup-System oder der Notwendigkeit, Passkeys manuell auf neue Geräte zu übertragen, kann schnell zu einem Albtraum werden, wenn man nicht sorgfältig plant. Eine hardwarebasierte Speicherung, wie sie beispielsweise mit dem “DLHStick” (ab Version 1.6.0 der Bedienungsanleitung) mit seinem Sicherheitskonzept umgesetzt wird, könnte diese Cloud-Abhängigkeit umgehen, bringt aber wiederum eigene Komplexitäten und Überlegungen mit sich.

Ein fragiles Ökosystem und neue Abhängigkeiten

Die breite Akzeptanz von Passkeys hängt stark von der Unterstützung durch Browser, Betriebssysteme und die Dienste, die wir täglich nutzen, ab. Dies führt zwangsläufig zu einer gewissen Ökosystem-Abhängigkeit. Wenn ein bestimmter Anbieter – sei es Apple, Google oder Microsoft – seine Implementierung von Passkeys ändert oder einstellt, könnten Nutzer gezwungen sein, ihre gesamten Zugangsdaten zu migrieren. Dies birgt das Risiko eines Vendor-Lock-ins, bei dem man an die Technologien und Plattformen eines einzelnen Anbieters gebunden ist. Die Idee, dass Passkeys Phishing-Probleme lösen, die für Banken erhebliche finanzielle Risiken bedeuten [4], ist verlockend. Aber was passiert, wenn die zugrundeliegende Infrastruktur, die die Synchronisation und Verwaltung von Passkeys ermöglicht, kompromittiert wird? Die Abhängigkeit von Cloud-Anbietern, die eigene Sicherheitslösungen mit Produkten wie Kaspersky Premium oder Kaspersky Password Manager [5] anbieten, könnte in Zukunft noch komplexer werden, wenn diese Anbieter auch die Passkey-Synchronisation übernehmen. Die Sicherheit und Integrität dieser zentralen Synchronisationsdienste sind daher von entscheidender Bedeutung und stellen einen neuen potenziellen Angriffsvektor dar.

Implementierungsrisiken und die Überwachung der Zukunft

Für Entwickler und Unternehmen, die Passkeys einführen möchten, ergeben sich neue Herausforderungen. Die Implementierung erfordert ein tiefes Verständnis der zugrundeliegenden kryptografischen Prinzipien und der WebAuthn-API. Fehler in der Implementierung können neue Schwachstellen schaffen, die von Angreifern ausgenutzt werden könnten. Während Passkeys das Risiko von Phishing auf Basis von Passwortdiebstahl reduzieren, könnten neue Angriffsvektoren entstehen, die sich auf die Handhabung der kryptografischen Schlüssel oder die Synchronisationsmechanismen konzentrieren. Darüber hinaus werfen Passkeys Fragen hinsichtlich der langfristigen Überwachung und Governance auf. Da die Schlüssel auf Geräten gespeichert und oft über Clouds synchronisiert werden, besteht theoretisch die Möglichkeit einer zentralisierten oder dezentralen Überwachung der Anmeldeaktivitäten. Wer hat Zugriff auf diese Daten? Wie werden sie geschützt? Die Notwendigkeit einer kontinuierlichen Beobachtung und Anpassung der Sicherheitsstrategien wird hierbei als wichtig erachtet [4]. Die Entwicklung von Standards und Best Practices für die sichere Implementierung und Verwaltung von Passkeys ist noch im Gange, und es bleibt abzuwarten, wie diese Herausforderungen gemeistert werden. Die Einführung von Passkeys ist ein bedeutender Schritt in Richtung einer passwortlosen Zukunft, aber es ist kein Allheilmittel. Die vermeintliche Revolution birgt neue Risiken, die von Benutzerfreundlichkeit und Wiederherstellung bis hin zu Ökosystem-Abhängigkeiten und neuen Angriffsvektoren reichen. Eine sorgfältige Abwägung dieser Fallstricke ist unerlässlich, um sicherzustellen, dass die Zukunft der Authentifizierung tatsächlich sicherer und nicht nur anders ist.