IT-Sicherheit
FIDO2 & Passkeys
FIDO2 ist der offene Standard für passwortlose, phishing-resistente Anmeldung per Public-Key-Kryptografie; Passkeys sind seine nutzerfreundliche Ausprägung.
- Phishing-resistent
- WebAuthn + CTAP2
- passwortlose Anmeldung
- Security Key oder Plattform
- synced oder gerätegebunden
FIDO2 ist der offene Standard der FIDO Alliance für passwortlose, phishing-resistente Anmeldung. Er besteht aus zwei Teilen: der Browser-API WebAuthn (W3C) und dem CTAP2-Protokoll zwischen Client und Authenticator. Passkeys sind der nutzerzentrierte Begriff für die damit erzeugten Anmeldeschlüssel.
Dieser Artikel erklärt das kryptografische Prinzip, die Phishing-Resistenz durch Origin-Bindung, die Authenticator-Typen, die zwei Passkey-Varianten (synchronisiert und gerätegebunden), das Verhältnis zu MFA sowie den Unternehmenseinsatz und die Grenzen wie Account-Recovery.
1. Kryptografisches Prinzip
Bei der Registrierung erzeugt der Authenticator ein Schlüsselpaar: Der öffentliche Schlüssel wird beim Dienst gespeichert, der private verlässt den Authenticator nie. Bei der Anmeldung signiert der Authenticator eine Challenge des Servers. Es gibt also kein geteiltes Geheimnis (wie ein Passwort), das abgegriffen, erraten oder bei einem Datenleck erbeutet werden könnte.
2. Phishing-Resistenz durch Origin-Bindung
Der entscheidende Vorteil: Der Browser bindet die Signatur an die echte Domain (Origin). Ist ein Nutzer auf einer Phishing-Seite, passt der gespeicherte Schlüssel nicht, und die Anmeldung scheitert, bevor er irgendetwas eingibt. Ein Angreifer kann eine Signatur nicht auf eine andere Domain umbiegen. Genau das macht FIDO2 strukturell phishing-resistent, anders als Passwörter oder per SMS/TOTP übermittelte Codes.
Passkeys lösen Phishing nicht durch Aufklärung, sondern durch Kryptografie: Was nicht auf der echten Domain läuft, bekommt keine gültige Signatur, ganz ohne dass der Nutzer einen Betrug erkennen muss.
3. Authenticator-Typen und Passkey-Varianten
Man unterscheidet Plattform-Authenticators (im Gerät, etwa Windows Hello, Touch ID, Android) und Roaming-Authenticators (eigenständige Security Keys wie YubiKey, per USB/NFC). Bei Passkeys gibt es zwei Varianten: synchronisierte Passkeys, die über die Plattform-Cloud (Apple, Google, Microsoft) auf mehreren Geräten verfügbar sind, und gerätegebundene Passkeys, deren Schlüssel den Authenticator nicht verlässt, etwa auf einem Hardware-Security-Key.
4. MFA und Unternehmenseinsatz
FIDO2 kann als zweiter Faktor neben dem Passwort dienen oder, mit PIN beziehungsweise Biometrie am Authenticator, als vollständige passwortlose Mehrfaktor-Anmeldung in einer Geste (Besitz plus Wissen/Inhärenz). Im Unternehmen wird es über den Identity-Provider ausgerollt (Keycloak und authentik unterstützen Passkeys nativ); per Attestation (AAGUID) lassen sich nur zugelassene Authenticator-Modelle erlauben.
5. Grenzen: Recovery, Sync und Compliance
Zentrale Planungsfrage ist das Account-Recovery: Geht ein Authenticator verloren, braucht es einen hinterlegten Ersatz oder einen dokumentierten Wiederherstellungsprozess. Synchronisierte Passkeys sind bequem, verlassen aber das Gerät (verschlüsselt in der Anbieter-Cloud) und gelten regulatorisch als etwas niedrigere Stufe (AAL2) als gerätegebundene Hardware-Schlüssel (für AAL3 geeignet). Legacy-Systeme ohne WebAuthn-Unterstützung benötigen vorgelagerte Identity-Provider.
Recovery vor dem Rollout klären
Ohne durchdachtes Account-Recovery wird ein verlorener Authenticator zum Aussperren. Mindestens einen Backup-Authenticator registrieren und einen auditierbaren Wiederherstellungsprozess (mit Identitätsprüfung) definieren, bevor Passkeys breit ausgerollt werden.
6. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Strukturell phishing-resistent durch Origin-Bindung | Account-Recovery muss sauber geplant werden |
| Kein geteiltes Geheimnis; kein Passwortdiebstahl per Datenleck | Synced Passkeys verlassen das Gerät (Cloud), für höchste Stufen Hardware nötig |
| Passwortlose MFA, breit von Plattformen und IdPs unterstützt | Legacy-Anwendungen ohne WebAuthn brauchen vorgelagerte IdPs |
Häufige Fragen zu FIDO2 & Passkeys
FIDO2 ist der technische Standard (WebAuthn plus CTAP2). Passkey ist der nutzerfreundliche Begriff für eine damit erzeugte Anmeldeberechtigung, die ohne Passwort funktioniert, wahlweise gerätegebunden oder über die Cloud synchronisiert.
Für viele Anwendungsfälle ja, sie sind phishing-resistent und komfortabel (regulatorisch AAL2). Für höchste Schutzanforderungen, etwa besonders kritische Systeme, sind gerätegebundene Hardware-Passkeys (Security Keys) die stärkere Wahl, da der Schlüssel das Gerät nicht verlässt.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
FIDO2 & Passkeys im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.