Passkey

Ein Passkey ist eine Anmeldeberechtigung auf Basis eines Schlüsselpaars statt eines geteilten Geheimnisses: Der private Schlüssel bleibt auf dem Gerät oder im synchronisierten Schlüsselbund, die Seite hält nur die öffentliche Hälfte — auf dem Server liegt also nichts, was ein Angreifer stehlen und wiederverwenden könnte. Anmelden heißt, dass das Gerät nach einer lokalen Prüfung wie Fingerabdruck oder PIN den Besitz des privaten Schlüssels nachweist. Zwei Eigenschaften zählen für die Kontosicherheit. Die Berechtigung ist an die Domain gebunden, sodass eine nachgebaute Seite keine brauchbare Antwort erhält — das macht Passkeys phishingresistent, wie getippte Codes es nicht sind. Und es gibt nichts zu tippen, also nichts von Bildschirm, Nachricht oder Tastatur abzugreifen. Was ein Passkey nicht leistet: Er schützt keine Schlüssel zu Guthaben, sondern ein Konto bei einem Anbieter — liegt das Guthaben bei einer Börse, liegt es weiterhin dort.