heise+ | Warum Passkeys keine Falle sind: Passkey-Attestation kurz erklärt

Andrew Shikiar, CEO der FIDO-Alliance, sagte im c't-Interview, Dienstebetreiber sollten idealerweise ganz auf Passwörter verzichten. Am liebsten will der Branchenverband das Passwort als Login-Methode im Netz ganz abgeschafft sehen. Die Allianz, der große Tech-Unternehmen wie Apple, Microsoft oder Google, Hersteller von Passwortmanagern und Regierungsinstitutionen, unter anderem auch das BSI, angehören, trommelt für Passkeys, seit Apple das Kunstwort mitsamt der Funktionsweise der passwortlosen Logins auf der Entwicklerkonferenz WWDC 2022 offiziell vorstellte.

Offenbar mit Erfolg: 90 Prozent der Befragten einer von der FIDO-Alliance in Auftrag gegebenen Umfrage unter 11.000 Internetnutzern aus zehn Ländern kennen Passkeys, 75 Prozent haben sie zumindest bei einigen Benutzerkonten aktiviert. 49 Prozent gaben sogar an, sie regelmäßig zu nutzen. Mit gutem Grund: Passkeys sind komfortabel und – sofern der Webdienst sie richtig implementiert hat – auch sicherer als Passwörter.

Gefährliche Falschinformation trendet

Doch es gibt auch Kritik: Mitte Oktober trendete auf dem Technik-Diskussionsforum Hacker News ein Blogpost mit dem Titel „Passkeys are a trap. Do not use them.“ (zu Deutsch: Passkeys sind eine Falle. Benutzt sie nicht.). Binnen Stunden gab es mehr als 500 Kommentare unter dem Hacker-News-Foreneintrag. Sicherheits- und Authentifizierungsexperten, darunter Ricky Mondello oder Scott Helme, haben bereits analysiert, dass fast alles an dem Blogpost falsch ist.