Was man abtippen kann, lässt sich weiterreichen, auch an die falsche Seite
Der Unterschied zwischen den zweiten Faktoren liegt nicht in der Technik, sondern im Abtippen. Ein Zahlencode aus einer App ist eine Zeichenfolge wie ein Passwort, nur mit kurzer Haltbarkeit. Wer ihn eintippt, gibt ihn weiter, an die echte Seite oder eben an eine nachgebaute. Dass die Seite nachgebaut ist, merkt kaum jemand, dafür ist sie gemacht.
Der Ablauf: Die falsche Seite fragt Benutzername, Passwort und Code ab, hintereinander, so wie es die echte auch tut. Nachbauten, die den Code gleich mit abfragen, sehen wir regelmäßig. Im selben Moment meldet sich der Angreifer damit beim echten Dienst an. Der Code ist zwar nur kurz gültig, für diesen einen Griff reicht es aber. Zugegeben, ein zweiter Faktor ist damit immer noch deutlich besser als keiner. Nur schließt er die Lücke nicht ganz.
Bei einem Passkey gibt es diese Zeichenfolge nicht. Der Schlüssel liegt am Gerät und antwortet nur der Adresse, für die er angelegt wurde. Steht im Browser eine andere Adresse, bekommt die Seite keine Antwort. Und eintippen kann der Mitarbeiter auch nichts, weil es nichts zum Eintippen gibt.
Ergebnis: Der Mensch muss die Fälschung nicht mehr erkennen. Bei der App entscheidet ein Blick auf die Adresszeile an einem vollen Tag, beim Passkey entscheidet das Gerät.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Das Passwort kostet Minuten, Papier und Aufmerksamkeit
Das Zurücksetzen. Jemand ist ausgesperrt, bekommt ein neues Passwort, notiert es, und beim nächsten Mal beginnt es von vorne. Ein einzelner Vorgang dauert ein paar Minuten. Gezählt wird er nirgends.
Der Zettel unter der Tastatur. Er klebt dort nicht aus Nachlässigkeit, sondern weil sich niemand für jeden Dienst eine eigene Zeichenfolge merkt. Wo Mitarbeiter das Passwort regelmäßig wechseln müssen, wandert es besonders zuverlässig auf Papier.
Und die Mail, bei der es kurz gepasst hat. Angeblich ist die Anmeldung abgelaufen, ein Klick, die gewohnte Maske. Ob jemand die Adresszeile liest, hängt daran, wie voll der Tag gerade ist. Die Erkennungsleistung eines Menschen ist keine Konstante, und sie ist an dieser Stelle trotzdem die einzige Prüfung.
Für Technik-Interessierte FIDO2 und WebAuthn
Hinter Passkeys stehen offene Standards. Vier Eigenschaften erklären die Wirkung.
Ein physischer Sicherheitsschlüssel hat dabei einen eigenen Vorzug: Er ist ein Gegenstand. Man kann ihn ausgeben, einsammeln und ersetzen wie einen Büroschlüssel.
- Das Schlüsselpaar. Bei der Einrichtung erzeugt das Gerät zwei Schlüssel. Der private verlässt das Gerät nie im Klartext, der Dienst erhält nur den öffentlichen Gegenpart. Es gibt also nichts, was ein Angreifer bei einem Dienst stehlen kann. Bei einem gerätegebundenen Passkey und beim Hardware-Token verlässt der private Schlüssel den Sicherheitschip überhaupt nicht.
- Die einmalige Antwort. Bei jeder Anmeldung schickt der Dienst eine zufällige Aufgabe, die das Gerät signiert. Die Signatur fällt jedes Mal anders aus und ist für Mitlauscher wertlos.
- Die Herkunftsbindung. Der Schlüssel ist kryptografisch an die Adresse des echten Dienstes gebunden. Das ist der Punkt, an dem Phishing endet, und er funktioniert ohne Zutun des Anwenders.
- Synchronisiert oder gerätegebunden. Passkeys können über das Apple-, Google- oder Microsoft-Konto auf mehrere Geräte wandern. Der private Schlüssel reist dabei verschlüsselt über den Schlüsselbund des Anbieters, und die Sicherheit des Passkeys hängt dann auch an diesem Konto. Oder die Passkeys bleiben auf einem Hardware-Token und wandern gar nicht. Letzteres deckt strengere Anforderungen ab und ist für Betriebe mit besonders sensiblen Daten das Mittel der Wahl.
„Das sicherste Passwort ist eines, das es gar nicht gibt. Fast jeder Vorfall, den ich untersuche, beginnt mit einem erratenen oder abgephishten Passwort. Ein Passkey nimmt Angreifern genau diesen Weg.“
Wie sich das Anmelden dann anfühlt
Im Alltag. Notebook aufklappen, Fingerabdruck, fertig. Kein „Passwort vergessen?“, kein Zettel unter der Tastatur, kein Anruf beim Support nach dem dritten Tippfehler. Die Anmeldung wird nicht komplizierter, sondern kürzer.
Bei der Einrichtung. Einen Passkey anzulegen dauert ungefähr so lange wie ein Passwort zu ändern, und danach fällt genau dieses Ändern für immer weg.
Bei Verlust. Sie sperren den Schlüssel und tauschen ihn, die Konten selbst bleiben zu. Legen Sie diesen Ablauf vorher fest und spielen Sie ihn einmal durch, sonst wird aus einem verlorenen Schlüssel ein ausgesperrter Mitarbeiter.
In der Übergangszeit. Viele Systeme, gerade ältere Branchensoftware, können mit Passkeys noch nichts anfangen. Das Nebeneinander von alter und neuer Anmeldung ordnen Sie bewusst, und bis dahin bleibt der zweite Faktor überall verpflichtend.
Die Richtung ist eindeutig: Microsoft, Apple und Google tragen Passkeys seit Jahren in die Breite. Wer heuer, also 2026, ein System einführt oder die Anmeldung ohnehin anfasst, muss prüfen, ob das Neue sie beherrscht.
Bei den alten Anmeldewegen. Ein Passkey ist nur so stark wie die schwächste Methode, die daneben erlaubt bleibt. Bleibt Passwort plus Einmalcode aktiv, weicht ein Angreifer genau dorthin aus, und der Schlüssel war umsonst. Der Fachbegriff dafür ist das Downgrade. Für jedes System, das Passkeys beherrscht, gehören die alten Methoden abgeschaltet, und dieser Schritt gehört von Anfang an in den Plan.
Sich orientieren und privat ausprobieren kann jeder selbst. Die geordnete Einführung im Betrieb ist ein Projekt für Leute, die das schon gemacht haben. Dazu gehören saubere Wiederherstellungswege, Regeln für verlorene Schlüssel und ein geplantes Nebeneinander.
„Bei uns hat noch nie jemand angebissen“
Der Einwand kommt fast immer: Unsere Leute erkennen so eine E-Mail, wir hatten noch nie einen Fall. Kann sein, und das spricht für die Mannschaft.
Nur setzt dieses Argument darauf, dass die Aufmerksamkeit jeden Tag gleich hoch bleibt. Der Schlüssel zur Bürotür sperrt ja auch nur dieses eine Schloss auf, egal wie überzeugend jemand behauptet, es sei das richtige.
Vier Fragen, und was Sie selbst tun können.
Wer hier nur mit den Schultern zuckt, verwaltet Ihre Anmeldung von gestern, statt sie weiterzuentwickeln.
Nach der Reihenfolge gefragt.Und „das brauchen wir nicht“ gehört?
Dann hängt Ihre Anmeldung weiter an etwas, das man herauslocken kann. Reden wir eine halbe Stunde darüber. Wir sagen Ihnen, wo Ihre Anmeldungen heute stehen und an welcher Stelle sich ein Umstieg zuerst auszahlt. Umgestellt wird dabei noch nichts.
