Was sind Passkeys und wie funktionieren sie unter Windows?

Die Herkömmliche Passwörter bereiten schon seit Jahren Probleme.Sie sind schwer zu merken, sie werden an tausend Stellen wiederverwendet, und es kommt ständig zu massiven Lecks (siehe Warum kurze Passwörter geknackt werdenIn diesem Zusammenhang haben sich Microsoft, Google, Apple und andere Giganten ein ganz klares Ziel gesetzt: Passwörter abschaffen und ersetzen Sie diese durch ein wesentlich komfortableres und sichereres System, nämlich Passkeys oder Zugriffsschlüssel.

Unter Windows passen Passkeys dank der Windows Hello und der FIDO-StandardDiese ermöglichen es Ihnen, sich per Gesichtserkennung, Fingerabdruck oder PIN bei Websites und Anwendungen anzumelden, ohne ein einziges kompliziertes Passwort eingeben zu müssen. Sehen wir uns genauer an, was genau diese Authentifizierungsmethoden sind, wie sie unter Windows funktionieren, was Sie für ihre Verwendung benötigen und warum sie im Vergleich zu herkömmlichen Passwörtern einen enormen Sicherheitsvorsprung darstellen.

Was sind Passkeys und warum spricht jeder darüber?

Ein Passkey oder Zugriffsschlüssel ist, kurz gesagt, eine passwortlose AnmeldemethodeAnstatt sich eine Folge von Buchstaben, Zahlen und Symbolen zu merken, wird Ihre Identität mit einem kryptografischer Schlüssel die sicher auf Ihrem Gerät (PC, Mobiltelefon, Tablet usw.) gespeichert wird.

Diese Schlüssel werden gespeichert als Geheimnisse werden durch Verschlüsselung geschützt Sie werden mithilfe des geräteeigenen Sicherheitsmechanismus entsperrt: Biometrie (Fingerabdruck, Gesichtserkennung), eine PIN oder ein Entsperrmuster. Der Vorteil ist, dass der Nutzer nichts eingeben oder sich Daten merken muss: Er bestätigt seine Identität einfach auf ganz natürliche Weise, beispielsweise durch einen Blick in die Kamera oder durch Auflegen des Fingers auf den Leser.

Passkeys basieren auf asymmetrische KryptographieDas heißt, es wird mit einem Schlüsselpaar geschützt: einem öffentlichen und einem privaten Schlüssel. Der öffentliche Schlüssel wird beim Dienst (Web oder App) registriert, der private Schlüssel verbleibt auf Ihrem Gerät und verlässt es niemals. Dank dieses Designs können Angreifer Ihr „Passwort“ bei einem Datenbankeinbruch nicht stehlen, da der Server niemals Daten speichert, die zur Identitätsfälschung verwendet werden könnten (siehe Prüfen Sie, ob Ihre Zugangsdaten kompromittiert wurden.).

Firmen mögen Google, Apple und Microsoft Sie arbeiten bereits seit einiger Zeit im Rahmen der FIDO-Allianz und des W3C zusammen, um diesen Standard zu fördern. Ihr Ziel ist es, die weltweite Abhängigkeit von Passwörtern zu verringern und einen robusteren und gleichzeitig einfacheren Anmeldeprozess anzubieten – ein seltenes Unterfangen im Bereich der IT-Sicherheit.

Wie Passkeys auf technischer Ebene funktionieren

Die Passkeys basieren auf der FIDO-ProtokolleFIDO ist ein Satz von Industriestandards, der Public-Key-Kryptografie zur sicheren Authentifizierung von Benutzern verwendet. Microsoft ist Gründungsmitglied der FIDO Alliance und hat diese Technologien nativ in seine Produkte integriert. Windows Hello als Plattformauthentifikator.

Wenn Sie sich bei einem Dienst anmelden, der Passkeys unterstützt, generiert Ihr Windows-Gerät einen Passkey. ein neues Schlüsselpaar:

• Privat SchlüsselDie Daten werden sicher auf dem Gerät (PC, Laptop, Tablet usw.) gespeichert. Sie werden niemals über das Internet gesendet oder verlassen das Gerät.
• Öffentlicher SchlüsselSie wird an den Dienst (Web oder App) gesendet und Ihrem Konto zugeordnet.

Beim Einloggen sendet der Dienst eine kryptographische Herausforderung Um die Herausforderung zu bestehen, muss das Gerät nachweisen, dass es über den korrekten privaten Schlüssel verfügt, indem es die entsprechende Signatur angibt. Dieser private Schlüssel kann jedoch erst verwendet werden, nachdem der Benutzer das Gerät mit dem in Windows Hello konfigurierten Authentifizierungsfaktor entsperrt hat: Fingerabdruck, Gesicht oder PIN.

Dieser gesamte Authentifizierungsprozess wird durchgeführt auf dem eigenen Gerät des BenutzersNicht auf einem entfernten Server. Der Server sieht lediglich die Signatur und den öffentlichen Schlüssel, die er bereits registriert hat, und überprüft deren Übereinstimmung. Bei erfolgreicher Prüfung erhalten Sie ohne Passworteingabe Zutritt.

Darüber hinaus sind FIDO-Protokolle so konzipiert, dass sie Privatsphäre schützenSie verhindern, dass verschiedene Dienste Daten abgleichen, um Nutzer zu verfolgen, da jede Website oder Anwendung ihren eigenen, eindeutigen öffentlichen Schlüssel erhält. Alle biometrischen Daten, die zum Entsperren des Passkeys verwendet werden (wie Fingerabdruck oder Gesichtserkennung), Verlässt das Gerät nieEs verbleibt im Sicherheitschip oder Sicherheitsmodul des Geräts und wird nicht über das Netzwerk übertragen.

Passkeys vs. Passwörter: Die wichtigsten Unterschiede

Passwörter weisen mehrere bekannte Probleme auf: Sie sind Schwer zu merken, sie werden wiederholt Sie sind an zu vielen Orten vorhanden und stellen ein leichtes Ziel für Phishing, Keylogger und Datenlecks dar. Microsoft räumt ein, dass es diese blockiert. Tausende von Passwortangriffen pro Sekunde, eine enorme Zahl, die beweist, dass dieses Modell am Ende ist.

Passkeys sind genau dafür entwickelt worden, diese Schwächen zu beseitigen. Im Gegensatz zu Passwörtern:

• Sie müssen sie nicht auswendig lernen.Das System erstellt und verwaltet sie automatisch für Sie.
• Sie können weder geschrieben noch geteilt werdenEs gibt keinen Text, den man kopieren und einfügen kann, was Fehler und schlechte Angewohnheiten reduziert.
• Sie sind einzigartig in ihrem Service.Jede Website oder App erhält einen einzigartigen öffentlichen Schlüssel, der nicht anderweitig verwendet werden kann.
• Der Server speichert nur den öffentlichen Schlüssel.So wird durch eine Datenschutzverletzung nichts wiederverwendbares offengelegt, mit dem man sich in Ihrem Namen anmelden kann.

In puncto Sicherheit ist ein Passkey von Natur aus Phishing-resistentWenn ein Angreifer eine gefälschte Seite erstellt, die einen legitimen Dienst nachahmt, wird der Browser oder das Betriebssystem den Passkey nicht an diese gefälschte Domain übermitteln, da der Schlüssel kryptografisch an die reale Website gebunden ist, auf der er erstellt wurde.

Darüber hinaus bieten Passkeys Geräte- und plattformübergreifende AuthentifizierungDas bedeutet, dass Sie einen auf einem Gerät (z. B. Ihrem Mobiltelefon) erstellten Passkey verwenden können, um sich auf einem anderen Gerät (z. B. Ihrem Windows-PC) anzumelden, vorausgesetzt, das Ökosystem unterstützt dies und die technischen Voraussetzungen sind erfüllt, wie z. B. eine Bluetooth-Verbindung bei der Verwendung externer Authentifizierungsprogramme.

Wie Passkeys in Windows mit Windows Hello funktionieren

Im Microsoft-Ökosystem werden Passkeys hauptsächlich über folgende Kanäle integriert: Windows HalloWindows Hello, das in Windows 10 und Windows 11 als Plattform-Authentifikator fungiert, ermöglicht die Anmeldung mittels biometrischer Daten (Gesicht, Fingerabdruck) oder einer Geräte-PIN anstelle eines herkömmlichen Passworts.

Wenn Sie auf einer kompatiblen Website oder Anwendung von einem Windows-Computer aus einen Passkey erstellen, speichert das System diesen als Geheimnis, das mit Ihrem Windows Hello-Profil verknüpft istWenn Sie ab diesem Zeitpunkt wieder auf diesen Dienst zugreifen möchten, entsperren Sie das Gerät einfach mit den üblichen Methoden: Fingerabdruck, PIN oder Gesichtserkennung.

Es besteht auch die Möglichkeit von Verwenden Sie ein HilfsgerätSie können beispielsweise ein Smartphone oder Tablet verwenden, um sich unter Windows zu authentifizieren. In diesem Fall fungiert das Mobilgerät als FIDO2-Authenticator und signiert die Authentifizierungsanfrage über Bluetooth und das Internet, sobald Sie es autorisieren. Der private Schlüssel verlässt dabei nie das Gerät.

Das Benutzererlebnis ist so gestaltet, dass es sehr natürlich ist: Wenn eine Website oder App Passwörter unterstützt, wird Ihnen der Browser oder das System diese Option anbieten. Automatisches Erstellen eines Passkeys Wenn Sie sich zum ersten Mal registrieren oder anmelden. Danach erscheint beim erneuten Aufruf der Seite Windows Hello, sodass Sie Ihre Identität bestätigen können, ohne Passwörter eingeben zu müssen.

Windows-Lizenzen und -Editionen, die Passkeys unterstützen

Nicht alle Windows-Versionen handhaben Passkeys auf die gleiche Weise, daher ist es wichtig, sich darüber im Klaren zu sein. wo sie offiziell zugelassen werdenMicrosoft gibt an, dass Zugriffsschlüssel in diesen Editionen unterstützt werden:

• Windows Pro
• Windows Enterprise
• Windows Pro Education / SE
• Windows-Bildung

Wie für spezifische Lizenzrechte für PasskeysDiese Lizenzen werden im Rahmen der folgenden kommerziellen und Bildungslizenzen von Microsoft gewährt:

• Windows Pro / Pro Education / SE
• Windows Enterprise E3
• Windows Enterprise E5
• Windows Education A3
• Windows Education A5

Wenn Sie in einem Unternehmen arbeiten, verfügt die IT-Abteilung in der Regel bereits über diese Ausstattung. detaillierte Lizenzinformationen Gemäß den mit Microsoft geschlossenen Vereinbarungen. Für den großflächigen Einsatz im professionellen oder Bildungsbereich ist es wichtig, die offizielle Windows-Lizenzdokumentation zu prüfen, um sicherzustellen, dass Sie über alle erforderlichen Rechte zur unternehmensweiten Bereitstellung von Passkeys verfügen.

Datenschutz und Passwortzustimmung in Windows 11

Ab Windows 11 Version 24H2 hat Microsoft Folgendes eingeführt: Mechanismus zur Einwilligung in den Datenschutz Dies gilt insbesondere für Passkeys. Bevor eine Anwendung auf Ihre Passkeys zugreifen kann, zeigt das System ein Dialogfeld an, in dem Sie um Ihre Zustimmung gebeten werden.

Wenn der Benutzer lehnt diese Zustimmung abDie Anwendung kann keine neuen Passkeys registrieren oder zur Authentifizierung verwenden. Das heißt, sowohl die Registrierung als auch die Anmeldung mit Zugriffsschlüsseln sind für diese App bis auf Weiteres gesperrt.

Sie können diese Berechtigungen jederzeit über den Pfad verwalten. Einstellungen > Datenschutz & Sicherheit > Sicherheitspasswortzugriff / Passwörter (Die Bezeichnung kann je nach Build leicht variieren.) Auf dieser Seite können Sie einzelnen Anwendungen den Zugriff auf Passkeys erlauben oder verweigern.

Falls Sie versehentlich den Zugriff auf die Passkeys einer App gesperrt haben und dies anschließend rückgängig machen möchten, gehen Sie einfach wie folgt vor:

1. Öffnen Sie Einstellungen > Datenschutz & Sicherheit > Zugriff auf Sicherheitspasswörter.
2. Suchen Sie die Anwendung in der Liste und Schalten Sie den Schalter wieder ein um die Verwendung von Zugriffsschlüsseln zu ermöglichen.

In Geschäftsumgebungen können Administratoren die folgenden Funktionen steuern: Sichtbarkeit dieser Einstellungsseite und andere datenschutzrelevante Passkey-Optionen über Geräterichtlinien (z. B. mithilfe der PageVisibilityList CSP). Dadurch wird sichergestellt, dass Benutzer Zugriff auf die notwendigen Einstellungen haben, ohne andere sensible Informationen zu verändern.

Passkeys in Bluetooth-beschränkten Umgebungen

Bei der Verwendung von Passkeys in geräteübergreifende Authentifizierungsszenarien – zum Beispiel bei der Verwendung eines Mobiltelefons als Authentifizierungsgerät zur Anmeldung an einem PC – ist es unerlässlich, dass sowohl das Windows-Gerät als auch das Mobilgerät über … verfügen. Bluetooth-fähig und InternetverbindungBluetooth wird nicht zum Kopieren des Zugriffsschlüssels verwendet, sondern zur sicheren Autorisierung der Verwendung des auf dem anderen Gerät befindlichen Passkeys.

In manchen Organisationen ist die Bluetooth-Nutzung aus Sicherheits- oder Compliance-Gründen eingeschränkt. Eine zu strenge Anwendung dieser Regelung könnte auch die Verwendung von Passkeys verhindern. Um diesen Konflikt zu lösen, können Unternehmen … Bluetooth-Verbindungen ausschließlich mit FIDO2-Authentifikatoren zulassen Für Passkeys aktiviert, andere Verwendungszwecke sind eingeschränkt.

Um diese optimale Konfiguration zu erreichen, können verschiedene Elemente kombiniert werden. MDM-Richtlinien (Mobile Device Management) Unter Windows geschieht dies mithilfe der Bluetooth- und Geräteinstallations-Konfigurationsdiensteanbieter (CSPs). Dadurch lässt der Computer nur die Kopplung mit Geräten zu, die als Sicherheitsauthentifizierungsgeräte fungieren, und blockiert andere, unerwünschte Bluetooth-Profile.

Beispielsweise können Sie mit PowerShell und dem WMI-Bridge-Provider eine Richtlinieninstanz erstellen, die den Auffindbarkeitsmodus, Bluetooth-Werbung und andere Verbindungsarten deaktiviert, diese aber aktiviert lässt. Die Whitelist spezifiziert FIDO2-Dienste. für Passkeys erforderlich. Gleichzeitig kann durch Geräteinstallationsrichtlinien die Installation bestimmter Bluetooth-Hardware-Kennungen verhindert werden, sodass nur diejenigen beibehalten werden, die mit sicheren Authentifikatoren zusammenhängen (Die besten Sicherheitstools zur Stärkung von Windows 11).

Diese fortgeschritteneren Konfigurationen werden üblicherweise angewendet in Hochsicherheits-UnternehmensumgebungenZiel ist es, den zusätzlichen Schutz durch Passkeys zu nutzen, ohne dabei die Tür für andere, als riskant oder unnötig erachtete Bluetooth-Anwendungen zu öffnen.

Passkeys, 2FA und MFA: Wie sie zusammenpassen

Seit Jahren wird empfohlen, Zwei-Faktor-Authentifizierung (2FA) oder Multi-Faktor-Authentifizierung (MFA) zur Stärkung von Passwörtern: SMS-Codes, Authentifizierungs-Apps, Sicherheitsschlüssel usw. Passkeys stehen möglicherweise zunächst im Widerspruch zu diesen Konventionen, da man scheinbar nur eine "Geste" zum Anmelden verwendet.

In Wirklichkeit beinhaltet ein Passkey integrierte mehrere AuthentifizierungsfaktorenAuf der einen Seite haben Sie etwas (das Gerät mit dem privaten Schlüssel): Ihren PC, Ihr Mobiltelefon oder Ihren Sicherheitsschlüssel. Auf der anderen Seite gibt es etwas, das Sie sind oder das Sie wissen: Ihren Fingerabdruck, Ihr Gesicht oder die PIN zum Entsperren des Geräts. All dies geschieht sehr schnell, für den Nutzer nahezu unmerklich.

Dies bedeutet, dass Passkeys das gleiche Schutzniveau bieten wie ein gut implementierte MFA (sehen Vergleich von Multi-Faktor-Authentifizierungsmethoden), jedoch ohne dass Sie Einmalcodes manuell eingeben oder auf SMS warten müssen. Das Ergebnis ist ein System, das paradoxerweise sowohl benutzerfreundlicher als auch benutzerfreundlicher ist. benutzerfreundlicher und sicherer als die üblichen Kombinationen aus Passwort und zusätzlichem Code.

Ein weiterer wichtiger Punkt ist, dass Passkeys viel schwieriger zu stehlen oder abzufangen Verifizierungscodes sind komplexer. SMS-Nachrichten können beispielsweise abgefangen und Authentifizierungs-Apps kompromittiert werden, wenn das Telefon infiziert ist. Bei Passwörtern benötigt ein Angreifer physischen Zugriff auf das Gerät und muss zudem biometrische Daten oder die PIN umgehen, was die Hürden für jeden Einbruchsversuch drastisch erhöht.

Deshalb betrachten viele Experten und Organisationen, einschließlich der FIDO Alliance selbst, Passkeys als natürliche Evolution Im Vergleich zu Passwörtern in Kombination mit klassischer Zwei-Faktor-Authentifizierung geht es nicht nur darum, eine Komponente zu ersetzen, sondern das Authentifizierungsmodell so umzugestalten, dass Sicherheit und Komfort Hand in Hand gehen.

Praktische Vorteile der Verwendung von Passkeys in Windows

Abgesehen von der Theorie ist für den Nutzer vor allem der Nutzen im Alltag entscheidend. Und hier bieten Passkeys gegenüber herkömmlichen Passwörtern mehrere Vorteile, insbesondere in Kombination mit Windows Hallo.

Zuerst wird die EinfachheitSie müssen sich keine Gedanken mehr über das Erstellen, Merken oder Verwalten langer und komplexer Passwörter (oder über den Vergleich mit anderen) machen. Sicherere Passwortmanager für WindowsDas System generiert einen sicheren Passkey für Sie und verknüpft ihn mit der entsprechenden Website. Ihre Aufgabe beschränkt sich darauf, das Gerät mit einer Geste zu entsperren, die Sie immer wieder ausführen: Ihren Finger auf den Leser legen oder in die Kamera schauen.

Zweitens die Schutz vor Phishing- und Wörterbuchangriffen Es ist weitaus besser. Ihr Passwort funktioniert nicht auf einer gefälschten Website, da es kryptografisch mit der legitimen Domain verknüpft ist. Angreifer können Sie nicht dazu verleiten, Ihren Schlüssel einzugeben, da es nichts einzugeben oder preiszugeben gibt.

Drittens, die DatenschutzerklärungWenn biometrische Daten (z. B. ein Fingerabdruck) verwendet werden, bleiben diese Informationen auf dem Gerät gespeichert und werden weder an den Dienst noch an Dritte weitergegeben. Weder die Website noch die App erhalten jemals Ihren Fingerabdruck oder Ihr Bild: Sie erhalten lediglich eine kryptografische Bestätigung, dass der Authentifikator Ihre Identität verifiziert hat.

Schließlich können Passkeys Synchronisierung in einigen Ökosystemen über die Cloud (beispielsweise Google oder Apple), wobei der private Schlüssel auf jedem Gerät geschützt wird und nur die für den Systembetrieb notwendigen Informationen auf allen Computern repliziert werden. Unter Windows wird dies mit dem Anmeldeinformationsgenerator und -manager kompatibler Browser (wie Chrome oder Edge) sowie mit Windows Hello kombiniert.

All dies führt zu einer Erfahrung, die dem sehr nahe kommt von „Klicken und eintreten“, mit einem Sicherheitsniveau, das weitaus höher ist als das, was durch das Auswendiglernen von Passwörtern oder die Verwendung desselben Passworts für ein halbes Dutzend verschiedener Dienste erreicht werden kann.

Aktuelle Situation und institutionelle Unterstützung für Passkeys

Seit die großen Technologieunternehmen begonnen haben, Passwörter in großem Umfang einzusetzen, Nutzerbewusstsein Es hat sich rasant entwickelt. Die FIDO Alliance hat hervorgehoben, dass das Wissen über Passkeys von etwa 39 % der Bevölkerung im Jahr 2022 auf 57 % im Jahr 2024 gestiegen ist – ein bemerkenswerter Anstieg in sehr kurzer Zeit.

Diese erhöhte Sichtbarkeit steht im Einklang mit Microsofts starker Botschaft, dass „Das Zeitalter der Passwörter geht zu Ende.“ und mit Daten der Cloud-Dienste selbst, die Tausende von Angriffsversuchen pro Sekunde blockieren, die auf gestohlenen oder schwachen Passwörtern basieren.

Neben der Unterstützung durch die Industrie gibt es auch institutionelle Unterstützung. NIST (Nationales Institut für Standards und Technologie) Die USA haben die Verwendung synchronisierter Passkeys in ihrem Nachtrag zum SP 800-63B-Leitfaden, der die technischen Anforderungen für digitale Identitätsmanagementsysteme definiert, genehmigt. Diese Anerkennung trägt dazu bei, dass öffentliche und private Organisationen diese Technologien mit größerem Vertrauen einsetzen.

Alles deutet darauf hin, dass Passkeys die nächste Stufe in der Entwicklung der digitalen IdentitätSie verringern nicht nur die Abhängigkeit von Passwörtern, sondern vereinfachen auch komplexe Prozesse und verbessern die Benutzerfreundlichkeit erheblich, was entscheidend dafür ist, dass gute Sicherheitspraktiken nicht nur auf dem Papier bleiben.

Im Großen und Ganzen betrachtet, kombinieren Passkeys in Windows ein offener Standard wie FIDOEin hohes Maß an Datenschutz, administrative Kontrollmöglichkeiten sowohl für Benutzer als auch für Unternehmen und eine extrem einfache Authentifizierung über Windows Hello und kompatible Geräte machen sie zu einem zentralen Bestandteil des Übergangs in eine Zukunft, in der das Merken komplizierter Passwörter endlich der Vergangenheit angehört.