By Ralf-Peter Kleinert
Passkeys sind sicher – das ist das Einzige, was der Nutzer überall zu lesen bekommt. Ich möchte heute aber einmal die andere Seite beleuchten. Die Seite, über die kaum jemand spricht. Ob CHIP, PC-WELT, Heise oder das BSI – überall ist die Botschaft im Kern dieselbe: „Nutzt Passkeys. Sie sind sicherer als Passwörter.“
Ich will jetzt ja gar nicht behaupten, dass diese Aussage falsch wäre. Im Gegenteil. Aus technischer Sicht ist sie sogar vollkommen richtig. Passkeys sind hervorragend gegen Phishing geschützt, sie lassen sich nicht erraten und auch nicht einfach aus einer gestohlenen Datenbank auslesen. Aus Sicht eines Kryptografen oder IT-Sicherheitsexperten sind sie ein großer Fortschritt. Dennoch. Kein Mensch begreift diese Teile vernünfitg, und dann beschleicht mich jedes Mal ein ungutes Gefühl, wenn ich wieder lese, Passkeys seien die Zukunft und würden Passwörter bald vollständig ersetzen. Kannste vergessen!
Nicht etwa, weil ich die Technik nicht verstehe. Sondern gerade weil ich sie an diesewr Stelle verstehe.
Ich beschäftige mich seit meiner Kindheit mit Computern. Ich habe Betriebssysteme kommen und gehen sehen, Netzwerke aufgebaut, Server administriert und unzählige Stunden damit verbracht, Computersysteme sicherer zu machen. Ich gehöre also sicherlich nicht zu den Menschen, die neuen Technologien grundsätzlich skeptisch gegenüberstehen. Im Gegenteil – meistens gehöre ich sogar zu den Ersten, die neue Verfahren ausprobieren.
Und genau deshalb macht mich die aktuelle Diskussion über Passkeys nachdenklich. Denn sie konzentriert sich fast ausschließlich auf die technische Seite der Sicherheit und blendet den Menschen völlig aus. Dabei entscheidet am Ende nicht die Kryptografie darüber, ob sich ein Verfahren durchsetzt. Entscheidend ist, ob normale Anwender damit zurechtkommen.
Passwortmanager sind die bessere Lösung
Denken wir einmal zurück.
Als Passwortmanager aufkamen, hatten viele Menschen zunächst ebenfalls Vorbehalte. Trotzdem konnten sie relativ schnell verstehen, wie das Prinzip funktioniert. Das eigentliche Passwort war zwar verschlüsselt gespeichert, aber sie wussten, dass sie es notfalls exportieren, sichern oder auf ein neues Gerät übertragen konnten. Vor allem aber hatten sie das Gefühl, jederzeit die Kontrolle über ihre Zugangsdaten zu besitzen. Bei Passkeys ist dieses Gefühl häufig nicht vorhanden. Häufig? Ach. Gar nicht!
Wenn sich Passwortmanager flächendeckend durchgesetzt haben, dann wird es schon schwerer für Hacker.
Der Nutzer klickt auf „Passkey erstellen“, bestätigt den Fingerabdruck oder die Gesichtserkennung und erhält wenige Sekunden später die Meldung, dass alles erfolgreich eingerichtet wurde. Genau an diesem Punkt endet jedoch meistens die Erklärung. Was danach passiert, bleibt für nahezu alle Menschen ein Rätsel.
Wo befindet sich dieser Passkey jetzt eigentlich? Liegt er ausschließlich auf meinem Smartphone? Wurde er mit meinem Google-Konto synchronisiert? Befindet er sich in der iCloud? Kann ich ihn exportieren? Kann ich eine Sicherung anlegen? Was passiert, wenn mein Handy gestohlen wird oder nach drei Jahren plötzlich den Geist aufgibt? Diese Fragen sind keineswegs theoretisch. Sie beschäftigen ganz normale Menschen. und die benannten Ereignisse treten tagtäglich ein – Handy weg! Wie funktionieren PassKeys?
Ich glaube sogar, dass hier die eigentliche Hürde für die Akzeptanz von Passkeys liegt.
Viele Sicherheitskonzepte werden ausschließlich aus Sicht des Angreifers betrachtet. Man überlegt, wie man Hacker aussperrt, wie man Phishing verhindert und wie man Identitäten besser schützt. Das alles ist wichtig. Doch erstaunlich selten wird dieselbe Energie darauf verwendet, den rechtmäßigen Besitzer sicher durch einen Notfall zu führen. Dabei ist genau das ein wesentlicher Bestandteil jeder Sicherheitsstrategie. Was nützt mir der Passkey auf meinem Windows Rechner, wenn ich mich mit dem Laptop irgendwo anmelden wil?
Stellen wir uns einmal eine Haustür vor. Niemand käme auf die Idee, seinem Partner zu erklären, wie stabil das Schloss ist, ohne gleichzeitig zu erwähnen, wo der Zweitschlüssel aufbewahrt werden sollte. Jeder versteht intuitiv, dass Sicherheit immer auch bedeutet, den eigenen Zugang im Notfall wiederherstellen zu können. Wir besitzen Ersatzschlüssel, wir vertrauen Familienmitgliedern einen Schlüssel an oder wir nutzen einen Schlüsseltresor. All diese Maßnahmen dienen nicht dazu, Einbrecher auszusperren. Sie sorgen lediglich dafür, dass wir uns nicht selbst aussperren. Genau dieses Prinzip vermisse ich bei vielen Erklärungen rund um Passkeys.
Natürlich existieren Wiederherstellungsmechanismen. Apple, Google und Microsoft haben Lösungen entwickelt, damit Nutzer ihre Passkeys nicht schon beim ersten Geräteverlust verlieren. Das Problem ist jedoch, dass diese Mechanismen häufig im Hintergrund arbeiten. Viele Anwender wissen gar nicht, dass sie existieren. Noch weniger wissen sie, wie sie funktionieren oder welche Voraussetzungen erfüllt sein müssen, damit eine Wiederherstellung tatsächlich gelingt.
Und genau hier entsteht Unsicherheit. Nicht, weil die Technik unsicher wäre. Sondern weil der Mensch nicht mehr nachvollziehen kann, was im Hintergrund geschieht. Die Funktion muss absolut klar und nachvollziehbar sein. Deshalb verwenden die Menschen diese Lösung nicht adäquat – weil es nicht nachvollziehbar ist.
Die meisten verstehen Passkeys nicht – das ist das Problem
Vertrauen entsteht nicht durch technische Perfektion allein. Vertrauen entsteht durch Verständnis. Ein Mensch möchte wissen, wo sich seine wichtigen Daten befinden. Er möchte nachvollziehen können, wie er sie sichern kann. Und er möchte das beruhigende Gefühl haben, dass er auch nach einem Handyverlust, einem Defekt oder einem Gerätewechsel wieder problemlos an seine Konten gelangt.
Vielleicht liegt genau hier der Grund, warum Passkeys trotz ihrer unbestreitbaren technischen Vorteile bisher längst nicht die Akzeptanz erreicht haben, die viele Experten erwartet hatten. Das eigentliche Hindernis ist möglicherweise nicht die Kryptografie, sondern die Kommunikation.
Anstatt den Menschen ausschließlich zu sagen: „Passkeys sind sicher“, sollten wir ihnen erklären, wie sie im Alltag damit leben. Wo ihre digitalen Schlüssel gespeichert werden. Wie sie diese auf neue Geräte übertragen. Welche Wiederherstellungsmöglichkeiten existieren und welche Vorsichtsmaßnahmen sinnvoll sind.
Denn am Ende verfolgt jeder Anwender dasselbe Ziel. Er möchte seine Konten vor Hackern schützen. Aber er möchte ebenso sicher sein, dass er sich dabei nicht selbst aussperrt. Und genau diese zweite Hälfte der Geschichte wird aus meiner Sicht noch viel zu selten erzählt.
Selbst ich, mit meiner Erfahrung müsste Himmel und Hölle in Bewegung setzen, um bei einem Laptopverlust meine Passkeys wiederzuerlangen. Wenn ich kein Cloudbackuo habe, dann ist der Passkey weg! Und wenn ich dann NUR auf den Passkey gesetzt habe – habe ich ein Problem!
Verwendet einen Passwortmanager – und – egal wer fragt: niemals wird ein Zugang weitergegeben.
Passt das überhaupt zur Idee hinter Passkeys? Backup in der Cloud?
Es gibt allerdings noch einen weiteren Punkt, der mich nachdenklich macht – und ehrlich gesagt verstehe ich die aktuelle Entwicklung an dieser Stelle nicht so ganz.
Seit Jahren predigen wir in der IT-Welt, dass wir unabhängiger werden sollen. Wir empfehlen Passwortmanager statt der Passwortspeicherung im Browser. Wir raten dazu, Daten selbst zu verwalten, regelmäßige Backups anzulegen und sich möglichst nicht von einem einzigen Anbieter abhängig zu machen. Begriffe wie digitale Souveränität oder Datensouveränität sind längst fester Bestandteil jeder Diskussion über Datenschutz und IT-Sicherheit.
Und nun kommt ausgerechnet bei den Passkeys plötzlich eine völlig andere Botschaft.
Plötzlich scheint es selbstverständlich zu sein, seine wichtigsten digitalen Schlüssel einem der großen Cloud-Anbieter anzuvertrauen. Egal ob Google, Apple oder Microsoft – überall wird erklärt, wie komfortabel die Synchronisation über das jeweilige Benutzerkonto funktioniert. Das mag technisch hervorragend gelöst sein, dennoch hinterlässt es bei mir ein ungutes Gefühl.
Denn was ist mit all den Menschen, die sich bewusst gegen eine enge Bindung an diese Ökosysteme entschieden haben? Was ist mit Linux-Nutzern, die ihre Daten lieber selbst verwalten? Was ist mit Anwendern, die ein NAS im Keller stehen haben, eine eigene Nextcloud betreiben oder ihre sensiblen Daten grundsätzlich nur verschlüsselt auf ihren eigenen Speichermedien ablegen möchten?
Ausgerechnet bei den wichtigsten digitalen Schlüsseln unseres Lebens sollen wir plötzlich wieder darauf vertrauen, dass sich ein großer Cloud-Anbieter schon darum kümmern wird?
Für mich passt das nicht so richtig zusammen.
Ich möchte an dieser Stelle ausdrücklich betonen, dass ich Google, Apple oder Microsoft damit nicht kritisieren möchte. Alle drei Unternehmen haben enorme Entwicklungsarbeit in das Thema Passkeys investiert und ihre Synchronisationslösungen funktionieren in vielen Fällen hervorragend. Mein Problem ist nicht die Technik, sondern die fehlende Wahlfreiheit, die in vielen Berichten zumindest den Eindruck vermittelt, als sei genau dieser Weg der einzig sinnvolle.
Dabei gibt es durchaus Alternativen.
Ich selbst verwende seit vielen Jahren KeePassXC als Passwortmanager. Wer meinen YouTube-Kanal kennt, weiß, dass ich darüber bereits mehrere Videos veröffentlicht habe. KeePassXC unterstützt seit Version 2.7.7 offiziell auch Passkeys (KeePass-Video am Ende des Beitrags). Das bedeutet, dass sich Passkeys – zusammen mit den bisherigen Passwörtern – in derselben verschlüsselten Datenbank speichern lassen. Genau dort, wo ich sie haben möchte.
Und genau das fühlt sich für mich deutlich stimmiger an.
Meine Passwortdatenbank liegt auf meinem Rechner. Sie wird regelmäßig verschlüsselt gesichert. Ich kann sie zusätzlich auf meinem NAS speichern, auf einen USB-Stick kopieren oder an einem zweiten Ort archivieren. Ich entscheide selbst, wann eine Sicherung erstellt wird und wohin sie kopiert wird. Niemand hindert mich daran, zusätzlich eine verschlüsselte Kopie in meiner Nextcloud abzulegen oder mehrere Generationen meiner Datenbank aufzubewahren.
Kurz gesagt: Ich behalte die Kontrolle über meine digitalen Schlüssel.
Genau dieses Gefühl fehlt mir bei vielen Erklärungen zu Passkeys. Dort entsteht häufig der Eindruck, als müsse man sich zwangsläufig einem bestimmten Ökosystem anschließen, um die Vorteile der neuen Technik nutzen zu können. Das ist zwar technisch nicht richtig, weil es mittlerweile Alternativen wie KeePassXC gibt, doch darüber wird erstaunlich selten gesprochen.
Vielleicht liegt genau hier eines der größten Missverständnisse rund um Passkeys. Viele Menschen lehnen die Technik gar nicht ab. Sie möchten lediglich selbst entscheiden können, wo ihre digitalen Schlüssel gespeichert werden und wer die Kontrolle darüber besitzt.
Für mich ist das keine Nebensächlichkeit, sondern ein Grundprinzip der IT-Sicherheit. Denn Sicherheit bedeutet nicht nur, Angreifer auszusperren. Sicherheit bedeutet auch, die Hoheit über die eigenen Daten und Zugangsschlüssel nicht leichtfertig aus der Hand zu geben.
Und genau deshalb wünsche ich mir, dass in Zukunft nicht nur über die Vorteile von Passkeys gesprochen wird, sondern ebenso selbstverständlich über unabhängige Lösungen wie KeePassXC. Denn echte Sicherheit bedeutet für mich immer auch Wahlfreiheit. Wer seine Passkeys lieber über Apple, Google oder Microsoft synchronisieren möchte, soll das tun können. Wer seine Daten jedoch lieber vollständig selbst verwaltet, sollte genauso selbstverständlich diesen Weg gehen können – ohne lange danach suchen zu müssen.