Der Passwort-Nachfolger Passkey findet immer weitere Verbreitung und soll Onlinedienste besser gegen unbefugten Zugriff absichern. Unter realistischen Bedingungen kann er aber gefährlicher sein als ein klassisches Passwort. Das legt zumindest eine US-Studie nahe, die den Umgang mit Passkeys im Kontext von partnerschaftlicher Gewalt untersucht hat. Die Ergebnisse zeichnen laut den Forschenden ein düsteres Bild davon, wie gut Menschen den missbräuchlichen Einsatz von Passkeys erkennen und abwehren können.
Technisch sicherer, aber schwer verständlich
Passkeys lösen eine grundlegende Schwachstelle des Passwort-Modells: Statt eines geteilten Geheimnisses zwischen Server und Nutzenden, das abgefangen, erraten oder durch Datenlecks kompromittiert werden kann, kommt ein kryptografisches Schlüsselpaar zum Einsatz. Der private Schlüssel verlässt dabei niemals das Gerät, auf dem Server liegt nur der öffentliche Schlüssel. Authentifiziert wird lokal, per Biometrie oder PIN, und Phishing wird dadurch nicht nur erschwert, sondern technisch unmöglich, weil ein Passkey nur für eine bestimmte Website gilt.
Für die Studie rekrutierte das Forschungsteam 31 Personen mit unterschiedlichem Hintergrund und technischer Expertise, etwa die Hälfte bezeichnete sich selbst als technisch hoch qualifiziert. Sie sollten simulierte Kontenübernahmen beheben, bei denen jemand mit Zugriff auf die Zugangsdaten einem weiteren Gerät Passkeys für Google, LinkedIn und PayPal hinzugefügt hatte, was einen unkontrollierten Zugriff auf die Konten ermöglichte, bis der betreffende Passkey im jeweiligen Dienst entfernt wurde. Die Teilnehmenden hatten dabei erhebliche Probleme: Sie scheiterten entweder ganz daran, oder sie übertrieben es und entfernten gleich alle Passkeys. Oft brauchten sie Hilfe aus dem Forschungsteam.
Warnhinweise, die nicht helfen
Viele der Beteiligten waren irritiert über die Warn-E-Mails, die Dienste beim Anlegen eines weiteren Passkeys verschickten. Aus Sorge vor Phishing klickten sie enthaltene Links mehrfach explizit nicht an. Bei Google führte der Hinweis zu einer Hilfeseite, über die sich das eigentliche Problem des bösartigen Passkeys gar nicht beheben ließ. Bei PayPal und LinkedIn war unklar, welche Schritte als Nächstes nötig waren, und auch die jeweiligen Sicherheitseinstellungen halfen wenig, etwa weil sich Passkeys darin schwer eindeutig benennen und unterscheiden lassen.
Die Mehrheit der Teilnehmenden konnte nicht erkennen, wenn ein Angreifer mit Zugriff auf ein Passwort einen eigenen Passkey angelegt hatte, und scheiterte auch ohne Hilfe daran, ihn wieder zu entfernen. In einem Fall verwechselte jemand die Anzeige zweier unterschiedlicher Passkeys mit der Anzeige eines einzigen Passkeys für zwei Geräte. Erstautorin Alaa Daffalla von der Cornell University bezeichnet den Mangel an Verständnis für das Konzept, gerade bei technisch versierten Personen, als überraschend. Insgesamt sei es etwas besorgniserregend, dass immer mehr Menschen Passkeys nutzen, ohne ihre Funktionsweise wirklich zu verstehen. Die Studie wurde beim USENIX Security Symposium in Baltimore vorgestellt.
Was das für Anbieter bedeutet
Für Onlinedienste ergibt sich daraus ein klarer Handlungsbedarf: Warnhinweise sollten direkt zur Lösung des Problems führen, statt Nutzer auf allgemeine Hilfeseiten zu verweisen, und Sicherheitseinstellungen sollten Passkeys eindeutig benennen und unterscheidbar machen. Bis dahin gilt: Wenn du Passkeys einsetzt, solltest du regelmäßig prüfen, welche Geräte und Passkeys für deine wichtigsten Konten hinterlegt sind, und unbekannte Einträge sofort entfernen.