Passkeys und Zwei-Faktor: Wie Konten wirklich sicher werden
Die meisten Kontoübernahmen beginnen mit einem erbeuteten Passwort. Ein zweiter Faktor verhindert das — aber nicht jeder Faktor ist gleich gut.
Microsoft Katja (Neural, deutsch)
Passwörter allein schützen schlecht: Sie werden wiederverwendet, in Datenlecks veröffentlicht und per Phishing abgefragt. Ein zweiter Faktor sorgt dafür, dass ein gestohlenes Passwort für sich genommen wertlos ist.
Die Rangfolge der Verfahren
Am schwächsten ist der Code per SMS. Er ist besser als nichts, lässt sich aber über SIM-Swapping und Weiterleitungen abgreifen. Deutlich besser sind Einmalcodes aus einer Authenticator-App, die auf dem Gerät erzeugt werden und ohne Netz funktionieren. Am stärksten sind Verfahren, die kryptografisch an die Adresse der Website gebunden sind: Sicherheitsschlüssel nach dem FIDO2-Standard und Passkeys.
Der Unterschied ist praktisch entscheidend: Ein Einmalcode kann auf einer gefälschten Seite eingegeben und sofort weiterverwendet werden. Ein Passkey funktioniert auf der gefälschten Domain schlicht nicht.
Was ein Passkey ist
Bei der Einrichtung erzeugt das Gerät ein Schlüsselpaar. Der öffentliche Teil liegt beim Dienst, der private verlässt das Gerät nicht und wird per Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigegeben. Es gibt kein Geheimnis, das beim Anbieter gestohlen oder von Nutzern verraten werden könnte.
Passkeys lassen sich über die Schlüsselbunde der Betriebssysteme oder über Passwortmanager auf mehreren Geräten synchronisieren. Wer das nicht möchte, kann gerätegebundene Sicherheitsschlüssel verwenden.
Wiederherstellung mitdenken
Die häufigste Ursache für Aussperrungen ist ein verlorenes Gerät ohne Ersatzweg. Deshalb gehören zu jeder Einrichtung: ein zweiter Faktor auf einem weiteren Gerät sowie ausgedruckte Wiederherstellungscodes an einem sicheren Ort. Anbieterunterstützung bei verlorenen Zugängen ist erfahrungsgemäß langwierig.
Passwortmanager
Für alles, was noch Passwörter verlangt, bleibt ein Manager die wirksamste Einzelmaßnahme: lange, für jeden Dienst unterschiedliche Passwörter, ergänzt um ein starkes Hauptpasswort. Die alte Empfehlung, Passwörter regelmäßig zu wechseln, gilt als überholt — sie führt zu vorhersehbaren Varianten. Gewechselt wird, wenn ein Leck bekannt wird.