Passkeys sind kein Freifahrtschein: Was die Pass-ta-key-Lücke für Ihre MFA-Strategie bedeutet

Was sind Passkeys überhaupt?

Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar: Ein privater Schlüssel bleibt auf Ihrem Gerät, ein öffentlicher liegt beim Dienst. Beim Anmelden beweist Ihr Gerät den Besitz des privaten Schlüssels — freigegeben per Fingerabdruck, Gesicht oder Geräte-PIN. Es wird also kein Geheimnis übertragen, das jemand abfangen könnte.

Der große Vorteil: Passkeys sind phishing-resistent. Eine gefälschte Anmeldeseite bekommt nichts Verwertbares, weil der Schlüssel an die echte Adresse des Dienstes gebunden ist. Genau deshalb gelten sie als der wichtigste Fortschritt bei der Anmeldesicherheit seit Jahren — und als Nachfolger klassischer Verfahren, die wir in Brauchen wir wirklich MFA? beschrieben haben.

Was haben die Forscher gefunden?

Ein Team von Palo Alto Networks (Unit 42) hat unter dem Namen „Pass-ta-key" drei Angriffswege gezeigt, mit denen sich synchronisierte Passkeys aus dem Google Password Manager entwenden lassen — ohne dass Passwort oder Fingerabdruck abgefragt werden.

Die entscheidende Voraussetzung, und die relativiert die Schlagzeile erheblich: Der Angreifer muss bereits Schadsoftware auf dem Rechner ausführen. Es handelt sich also nicht um einen Fernangriff auf Passkeys als Verfahren, sondern um den Diebstahl bei einem bereits kompromittierten Gerät.

Trotzdem ist der Befund wichtig: Er widerlegt die verbreitete Annahme, ein synchronisierter Passkey sei unter allen Umständen unerreichbar. Der Komfort der geräteübergreifenden Synchronisierung hat einen Preis — der Schlüssel liegt eben nicht mehr nur in einem einzigen, gut abgeschotteten Chip.

Sind Passkeys damit unsicher?

Nein — und diese Einordnung ist wichtig. Passkeys bleiben deutlich sicherer als Passwörter, auch nach diesem Befund. Sie können nicht erraten, nicht wiederverwendet und nicht durch eine gefälschte Website abgephisht werden. Der beschriebene Angriff setzt eine Hürde voraus, die beim Passwort gar nicht nötig ist: die vollständige Kompromittierung des Endgeräts.

Anders gesagt: Wer bereits Schadsoftware mit ausreichenden Rechten auf dem Rechner hat, hat ohnehin viele Möglichkeiten — er kann Sitzungen übernehmen, Eingaben mitschneiden oder Daten direkt abgreifen. Der Passkey-Diebstahl ist dann eine zusätzliche Option, nicht die eigentliche Ursache.

Die falsche Reaktion wäre, aus Verunsicherung beim Passwort zu bleiben. Die richtige: Passkeys nutzen und das Endgerät ernst nehmen.

Ein nützlicher Vergleich: Ein Passkey ist wie ein sehr guter Schlüssel. Der Befund der Forscher besagt nicht, dass der Schlüssel schlecht wäre — sondern dass jemand, der bereits in Ihrer Wohnung steht, auch an den Schlüssel kommt. Die Konsequenz daraus ist nicht, den Schlüssel wegzuwerfen, sondern die Tür ernst zu nehmen.

Was bedeutet das für Ihre Anmeldestrategie?

Die praktische Lehre lautet: Anmeldesicherheit ist nur so gut wie das Gerät, auf dem sie stattfindet. Für Ihr Unternehmen heißt das:

• Passkeys einführen, wo möglich — sie sind der beste verfügbare Schutz gegen Phishing.
• Endgeräte absichern: EDR statt reinem Virenschutz, damit Schadsoftware auffällt, bevor sie Schlüssel abgreift.
• Für kritische Konten stärker binden: Administrator- und Finanzzugänge profitieren von gerätegebundenen Passkeys oder Hardware-Sicherheitsschlüsseln, die sich nicht synchronisieren.
• Geräteverwaltung nutzen: Verwaltete, aktuelle Geräte mit klaren Richtlinien sind die Grundlage — ein ungepatchter Privatrechner ist keine.

Wie fangen Sie sinnvoll an?

Pragmatisch und ohne Big Bang. Erstens: Passkeys dort aktivieren, wo Ihre wichtigsten Dienste sie anbieten — allen voran Microsoft 365. Zweitens: Administratorkonten gesondert behandeln und mit einem Hardware-Schlüssel absichern. Drittens: Den Endgeräteschutz prüfen, denn er trägt die ganze Konstruktion.

Realistisch ist dabei ein Nebeneinander auf Jahre: Nicht jeder Dienst unterstützt Passkeys, und in gemischten Geräteparks funktioniert die Synchronisierung nicht überall gleich. Planen Sie deshalb keinen Stichtag, sondern eine schrittweise Ablösung — beginnend bei den Konten, deren Verlust am meisten wehtäte.

Und wie immer gilt: Schlüssel sind nur ein Teil. Ein sauber verwalteter Passwortbestand für alles, was noch kein Passkey kann, bleibt nötig — siehe Lohnt sich ein Passwort-Manager im Unternehmen?. Wenn Sie unsicher sind, welche Kombination zu Ihrem Betrieb passt, sortieren wir das gemeinsam — verständlich und ohne Technik-Vortrag.