Bei einem Passwort handelt es sich um eine feststehende Zeichenfolge, die man sich gemerkt oder in einem Passwortmanager gespeichert hat. Bei einer Anmeldung erwartet eine Web-Seite dann jedes Mal genau dieses Passwort, wenn der Benutzername eingegeben wurde.

Ein Passkey kann man dagegen als Passwort-Schlüssel betrachten. Es gibt auf der einen Seite den Benutzer, und auf der anderen Seite eine Web-Seite oder App, die diesen Benutzer kennen. Bei der ersten Anmeldung wurde von diesem Benutzer ein Schlüssel-Paar erzeugt, das nur für dieses Konto gültig ist. In der Web-Seite oder App wurde ein öffentlicher Schlüssel hinterlegt, während der private Schlüssel in einem Gerät wie einem Handy oder etwa einem FIDO2-USB-Stick hinterlegt ist. Bei jeder Anmeldung erzeugt das verbundene Gerät ein neues Einmal-Passwort, das von dem privaten Schlüssel verschlüsselt wurde und nur mit der Schlüsselhälfte in der Web-Seite oder App entschlüsselt werden kann.

Die Erzeugung dieses Anmeldepasswortes wird entweder durch biometrische Anmeldung (Fingerabdruck, Gesichtserkennung, Iris-Scanner) oder durch die Eingabe einer PIN beziehungsweise eines Wisch-Musters gestartet. Dann übergibt das Gerät das Einmal-Passwort an die empfangende Seite (App oder Webseite) wo es mit Hilfe des öffentlichen Schlüssels geprüft wird. Stimmt das Ergebnis, wird der Zugang gewährt.

Der Hauptunterschied zwischen einem Passwort und dem Passkey-Verfahren liegt also darin, dass ein Passwort unveränderlich ist, bis es auf beiden Seiten ausgetauscht wird, während Passkey mit immer neuen, verschlüsselten, einmaligen Codes arbeitet. Außerdem kann die Kombination aus Benutzernamen und Passwort jeder nutzen, während Passkey an eine Person gebunden ist.
Wenn Sie die Passkey-Technik verwenden wollen, wird dazu Ihr Handy mit Kamera und Fingerabdrucksensor benötigt. Alternativ können Sie einen FIDO2-USB-Stick nehmen, der einen Finderabdruckscanner enthält oder die nötige Sicherheitskennung via Bluetooth oder NFC überträgt.

• Der Hauptvorteil beim Passkey-Verfahren ist, dass sich der Anwender kein Passwort mehr merken muss und es deshalb auch nicht aufschreibt oder so simpel wählt, dass es einfach zu knacken ist.
• Es besteht auch nicht die Gefahr, dass ein User dasselbe Passwort für unterschiedliche Seiten oder Apps nutzt.
• Außerdem nutzt es einem Angreifer auch nichts, den Authentisierungscode bei der Verwendung abzufangen, weil beim nächsten Mal bereits ein neuer Code verwendet wird.
• Aus demselben Grund sind Passkeys gegen Phishing immun, da es kein feststehendes Passwort mehr gibt, was abgefangen werden kann.
• Es werden weiterhin keine Passwörter in Web-Seiten gespeichert, die ein Angreifer bei einem Hack erbeuten könnte. Und die Kombination der beiden
• Passkeys ist immer an die Web-Seite gebunden und funktioniert anderswo nicht.

Natürlich gibt es wie bei jedem Sicherheitsverfahren auch immer Bedenken und Nachteile:

• Experten warnen bereits jetzt davor, dass das aktuelle Verschlüsselungsverfahren schwach ist und in naher Zukunft von Quantencomputern geknackt werden könnte.
• Falls es bei der biometrischen Identifikation zu Problemen kommt, haben Sie keinen Zugriff mehr auf Ihre Apps und Webseiten.
• Es wird weiterhin Benutzer geben, die aus verschiedenen Gründen das Verfahren nicht nutzen möchten oder können. Das führt zu einem zweigleisigen Anmeldeverfahren, das wiederum ein Sicherheitsrisiko darstellt.
• Es wird auch weiterhin Webseiten geben, die mit der neuen Technik nicht Schritt halten können oder wollen, und bei denen weiterhin das alte Verfahren verwendet werden muss.
• Das Teilen von Konten wird nicht mehr möglich sein. Wenn beispielsweise ein Zugang zu Netflix oder Amazon mit dem Partner geteilt wird, kann nur einer von beiden sich mit dem Passkey anmelden.
• Was passiert, wenn das Identifikationsgerät (besser gesagt Smartphone) verloren geht oder gestohlen wird? In diesem Fall entstehen einige Probleme. Obwohl die Schlüsselpaare in der Cloud gesichert und wiederhergestellt werden können, benötigen Sie möglicherweise einen Sicherheitsschlüssel dafür. Diese müssen im Voraus generiert werden.
• Wenn Kriminelle oder Sicherheitsbehörden Sie zwingen wollen, Konten und Zugänge zu öffnen, reicht es bei Passkey bereits aus, das Gerät vor Ihr Gesicht zu halten, oder Ihren Finger zu nehmen.

Google bietet seit einiger Zeit die Möglichkeit an um den integrierten Sicherheitsschlüssel Ihres Smartphones zu verwenden.

Um den integrierten Sicherheitsschlüssel einzurichten, benötigen Sie ein Android-Smartphone mit Android 7.0 oder einer höheren Version.

Wenn Sie sich auf neuen Geräten anmelden und Ihr Smartphone kompatibel ist, wird Google automatisch versuchen, zusätzlichen Schutz durch den integrierten Sicherheitsschlüssel zu bieten. Wichtig: Jedes Konto kann nur einen integrierten Sicherheitsschlüssel haben. Wenn Sie mehrere kompatible Smartphones besitzen, müssen Sie eines auswählen. Sie können jedoch jederzeit zu einem anderen kompatiblen Smartphone wechseln.

Dazu gehen Sie wie folgt vor:

• Aktivieren Sie die Zwei-Faktor-Authentifizierung und wählen Sie einen zweiten Bestätigungsschritt aus. Falls Sie bereits die Zwei-Faktor-Authentifizierung verwenden, fahren Sie mit dem nächsten Schritt fort.
• Öffnen Sie die Webseite myaccount.google.com/security auf Ihrem Android-Smartphone.
• Wählen Sie unter „Bei Google anmelden“ die Option „Zwei-Faktor-Authentifizierung“ aus. Möglicherweise müssen Sie sich zuerst anmelden.
• Scrollen Sie zum Abschnitt „Sicherheitsschlüssel“ und tippen Sie auf den Rechtspfeil.
• Wählen Sie „Sicherheitsschlüssel hinzufügen„, das sich unten links befindet.
• Wählen Sie Ihr Android-Smartphone aus und tippen Sie auf „Hinzufügen„. Es sollte eine Bestätigung angezeigt werden, dass Ihr Smartphone erfolgreich als Sicherheitsschlüssel hinzugefügt wurde.

Wenn Sie Ihr Smartphone als Sicherheitsschlüssel einrichten möchten, benötigen Sie ein iPhone mit iOS 10 oder höher. Hier erfahren Sie, wie Sie Ihre iOS-Version aktualisieren. Wenn Sie sich auf neuen Geräten anmelden und Ihr Smartphone kompatibel ist, versucht Google automatisch, mithilfe des integrierten Sicherheitsschlüssels für zusätzlichen Schutz zu sorgen.
Wichtig: Pro Konto kann es nur einen integrierten Sicherheitsschlüssel geben. Wenn Sie mehr als ein kompatibles Smartphone haben, müssen Sie eines auswählen. Sie können jederzeit zu einem anderen kompatiblen Smartphone wechseln.