WebAuthn und Passkeys: Warum verschiedene gute Passwörter nicht reichen

Die meisten Deutschen handeln, was ihre Passwörter angeht, vermutlich nach wie vor gegen ihr Wissen. Obwohl vielen bewusst ist, dass „hallo3“ kein sicheres Passwort ist, oder man niemals dasselbe Passwort für alles nutzen sollte, halten sich diese Verhaltensweisen hartnäckig. Doch es gibt einige Stimmen, die behaupten, dass auch diese Regeln nicht mehr reichen würden – wieso das?

Das fundamentale Problem klassischer Passwörter

Es ist schon ein bisschen paradox. Wenn man sein Umfeld fragt, worauf man bei Passwörtern achten sollte, bekommt man oftmals ähnliche Antworten: Nichts mit persönlichem Bezug, Sonderzeichen einbauen, Groß- und Kleinbuchstaben variieren. Und vor allem NIEMALS ein einheitliches Passwort für alle möglichen Seiten verwenden. Wenn man allerdings daraufhin fragt, ob sich eben diese Personen auch daran halten, kommt oft ein betretenes „Ja, also irgendwie.. ich hab mir schon auch vorgenommen, die mal anzupassen.. aber für wichtige Sachen hab ich ja…“.

Der Knackpunkt ist, dass selbst wenn man sich an all diese Best Practises hält und einen Passwortmanager nutzt und so weiter, das nicht ausreicht. Passwörter sind im Endeffekt einfache Schlüssel, die zwischen Nutzer und Server ausgetauscht werden. Und damit können eben diese auch abgefangen werden. Egal wie stark ein Passwort ist – wenn ein Hacker es abfängt oder ein Server kompromittiert wird, ist das Passwort wirkungslos.

KI-gestützte Angriffe: Die neue Dimension der Bedrohung

Auch wenn vielen das Thema KI bereits etwas leidig ist – es wird in Zukunft nur noch häufiger aufkommen. Mit dem Fortschreiten der Technik und der KI-Modelle werden auch die Angriffe immer komplexer. Bereits heute ist der Markt für Deep Fake-Phishing riesig. Über Social Media Analysen können täuschend echte Profile, Mails oder sogar Anrufe kreiert werden.

Es benötigt auch kaum noch Ressourcen oder Programmierskills, falsche Webseiten, kleinere Viren-Programme und ähnliches zu erstellen, die viele Nutzer heute bereits täuschen können. Automatisierte Credential-Stuffing-Angriffe können innerhalb von Sekunden Milliarden von gestohlenen Passwörtern testen – mit riesigem Erfolg, weil die meisten Nutzer heute noch ihre Passwörter mehrfach wiederverwenden.

WebAuthn und FIDO2: Ein technischer Umbruch

Anstatt auf geteilte Geheimnisse setzt WebAuthn auf asymmetrische Kryptographie: Ein Schlüsselpaar wird während der Registrierung erzeugt. Ihr privater Schlüssel bleibt immer auf Ihrem Gerät; der öffentliche Schlüssel wird an den Server gesendet. Ihr Gerät signiert während des Anmeldevorgangs eine Challenge – jedoch wird der private Schlüssel dabei nicht übertragen. Es gibt nichts zu stehlen, selbst wenn man Zugang zu einem kompromittierten Server hat.

FIDO2 baut WebAuthn aus, indem es externe Hardware-Sicherheitsschlüssel über Bluetooth, NFC oder USB integriert, und schafft so ein flexibles Ökosystem, das höchste Sicherheit mit Benutzerfreundlichkeit verbindet.

Passkeys: Die Revolution für Endanwender

Die nutzerfreundliche Evolution von WebAuthn wird durch Apple, Google und Microsoft in Form von Passkeys realisiert. Die privaten Schlüssel werden in der Cloud gespeichert, jedoch Ende-zu-Ende-verschlüsselt – selbst die großen Tech-Unternehmen haben keinen Zugriff darauf. Das Prinzip: Einmal einrichten, überall verfügbar. Die Anmeldung erfolgt über Biometrie oder eine Geräte-PIN, ganz ohne das Eingeben von Passwörtern.

Die großen Unternehmen der Branche stecken viel Geld in die Entwicklung, weil schnelle Anmeldungen die Nutzerinteraktion verbessern und Millionen an Support-Kosten einsparen können. Regulierungen wie NIS2 und DORA machen robuste Authentifizierungsmethoden zur Pflicht – Passkeys erfüllen diese Anforderungen bereits von Haus aus.

Branchen mit Vorreiterrolle bei Instant-Technologien

Es zeichnet sich ab, dass gerade hochregulierte Branchen, die hohe Sicherheitsstandards erfüllen müssen, früher auf Instant-Technologien umstellen, als andere. Online Banking Anbieter wie N26 oder Revolut haben in der Vergangenheit die durchschnittliche Anmeldedauer auf lediglich ein paar Sekunden verkürzt. Auch viele E-Commerce Plattformen wie Amazon und Shopify setzen zunehmend auf Passkey-Integrationen für schnelleres Bezahlen.

Einer der größten Vorreiter ist allerdings vermutlich die Online Gaming Branche. Seit langem schon werben spezialisierte Anbieter mit Instant Logins. Wichtig ist allerdings, dass es sich dabei um lizenzierte Anbieter handelt, die sich ebenfalls an strenge Compliance-Vorgaben halten müssen. Wir haben die Top Instant Casinos im direkten Test analysiert, um zu sehen, wie viel Sicherheit ohne Passwörter gewährleistet werden kann und weshalb. Die Antwort sind WebAuthn-basierte Systeme. So ermöglichen moderne Plattformen mittlerweile Zugriffe innerhalb von Sekunden, ohne klassische Registrierungsprozesse, während gleichzeitig höchste Sicherheitsstandards gewahrt bleiben.

Der Paradigmenwechsel ist unvermeidlich

Die Frage ist nicht mehr ob, sondern wann passwortlose Authentifizierung zum Standard wird. Selbst die besten Passwörter können gegen KI-gestützte Angriffe und Deep Fakes nicht bestehen. WebAuthn, FIDO2 und Passkeys bieten eine technisch überlegene Alternative, die Sicherheit und Benutzerfreundlichkeit vereint. Analysten prognostizieren, dass bis 2027 über 60 Prozent aller Online-Dienste passwortlose Authentifizierung als primäre Login-Methode anbieten werden. Unternehmen und Privatpersonen, die diesen Wandel frühzeitig annehmen, profitieren von erhöhter Sicherheit, besserer Nutzererfahrung und zukunftssicherer Infrastruktur.