Studie zum Umgang mit Passkeys: Teilweise gefährlicher als Passwörter

close notice This article is also available in English. It was translated with technical assistance and editorially reviewed before publication. . Der Passwort-Nachfolger Passkey findet immer weitere Verbreitung und soll einen besseren Zugangsschutz für Onlinedienste ermöglichen. Unter realistischen Umständen kann er aber gefährlicher sein. Das meint zumindest ein US-Forschungsteam, das den Umgang mit Passkeys im Kontext von partnerschaftlicher Gewalt untersucht hat. Die Ergebnisse „zeichnen ein düsteres Bild“ der Fähigkeit von Menschen, die Bedrohung durch den missbräuchlichen Einsatz von Passkeys zu erkennen und abzuwehren, heißt es in der Studie. Onlinedienste müssten noch viel unternehmen, damit ihre Nutzerinnen und Nutzer ihre Konten mit Passkeys effektiv absichern und einen Missbrauch erkennen können, schreiben sie. Weiterlesen nach der Anzeige Technisch sicherer als Passwörter Passkeys lösen eine große Schwachstelle des bisher üblichen Modells auf Basis von Passwörtern. Passwörter beruhen auf einem geteilten Geheimnis zwischen Server und Nutzenden, das abgefangen, erraten oder durch Datenlecks kompromittiert werden kann. Bei Passkeys wird das technisch gelöst: Bei dem kryptografischen Schlüsselpaar verlässt der private Schlüssel niemals das Gerät – auf dem Server liegt ausschließlich der öffentliche Schlüssel. Die Authentifizierung erfolgt lokal, durch Biometrie oder PIN. Gleichzeitig wird Phishing nicht nur erschwert, sondern technisch unmöglich gemacht, weil ein Passkey für eine bestimmte Website nur dort gilt. Für die Analyse hat das Forschungsteam nun 31 Personen mit unterschiedlichen Hintergründen und technischer Expertise rekrutiert, etwa die Hälfte hat sich demnach als „technisch hoch qualifiziert“ bezeichnet. Sie sollten dann simulierte Kontenübernahmen beheben, bei denen jemand mit Zugriff auf Zugangsdaten einem weiteren Gerät Passkeys für Google (Gmail), LinkedIn und PayPal erstellt hat. Damit war dann ein unkontrollierter Zugriff auf die Accounts möglich, bis man den jeweils in dem entsprechenden Dienst entfernt hat. Dabei hatten die Teilnehmenden aber offenbar erhebliche Probleme. Entweder sind sie ganz daran gescheitert oder sie haben es übertrieben – und gleich alle Passkeys entfernt. Oft brauchten sie Hilfe aus dem Forschungsteam. Laut der Zusammenfassung waren viele der Beteiligten irritiert über die Warnhinweise, die von den jeweiligen Diensten per Mail geschickt wurden, wenn ein weiterer Passkey erstellt wurde. Mehrfach sei explizit die Sorge vor Phishing genannt worden, weshalb nicht auf enthaltene Links geklickt wurde. Im Fall von Google habe dieser Hinweis zu einer Hilfsseite geführt, über die das Problem des bösartigen Passkeys gar nicht behoben werden konnte. Bei PayPal und LinkedIn wiederum sei unklar gewesen, welche Schritte als Nächstes nötig waren. Auch die jeweiligen Sicherheitseinstellungen waren demnach wenig hilfreich, etwa wenn es um die Bezeichnung der Passkeys ging. Zahlreiche weitere Fallstricke werden in der Arbeit beschrieben, die beim USENIX Security Symposium in Baltimore vorgestellt wurde. „Etwas besorgniserregend“ Die Mehrzahl der Teilnehmenden war nicht in der Lage, zu erkennen, wenn sich ein Angreifer mit einem Zugriff etwa per Passwort einen eigenen Passkey angelegt hat, bilanziert das Forschungsteam. Auch an der Entfernung des Passkeys aus dem jeweiligen Konto seien sie ohne Hilfe gescheitert. Die Sicherheitseinstellungen hätten teils verwirrt, in einem Fall habe jemand die Anzeige zweier unterschiedlicher Passkeys als die eines für zwei Geräte verstanden. Erstautorin Alaa Daffalla von der Cornell University bezeichnet den Mangel an Verständnis für das Konzept von Passkeys „überraschend“, vor allem für Menschen mit technischer Expertise. Insgesamt sei es „etwas besorgniserregend“, dass Menschen vermehrt Passkeys nutzen, ohne deren Funktionsweise zu verstehen. Weiterlesen nach der Anzeige