Authentifizierung: Warum wir das Passwort töten müssen

Seit 50 Jahren nutzen wir Passwörter. Und wir hassen sie. User wählen "123456" oder nutzen überall dasselbe Passwort. Hacker lieben das (Credential Stuffing). Wir versuchen es zu flicken: "Passwort muss 12 Zeichen, Sonderzeichen und Großbuchstaben haben." Ergebnis: User schreiben es auf Post-its.

Die Lösung ist nicht "bessere Passwörter". Die Lösung ist: Keine Passwörter. Willkommen in der Ära der Passkeys.

Featured Snippet: Passkeys sind eine auf dem FIDO2 / WebAuthn Standard basierende Authentifizierungsmethode. Statt eines Passworts (Wissen), das gestohlen werden kann, nutzt der User ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt sicher auf dem Gerät (z.B. im TPM-Chip oder iPhone Secure Enclave) und wird per Biometrie (FaceID / TouchID) freigeschaltet. Passkeys sind Phishing-resistent, da der private Schlüssel niemals übertragen wird.

---

The Cost of Inaction: Phishing ist unbesiegbar (fast)

Warum funktioniert Phishing immer noch? Weil Hacker eine gefälschte Seite (g00gle.com) bauen, die aussieht wie das Original. Der User gibt sein Passwort ein. Hacker hat es. Sogar SMS-TANs (MFA) werden so abgefangen ("Geben Sie den Code hier ein"). Passkeys lösen das: Das Smartphone "weiß", dass g00gle.com nicht google.com ist. Es weigert sich, den Passkey herauszugeben. Passkeys machen Phishing technisch unmöglich.

---

Wie Passkeys funktionieren (für Normalos)

• Registrierung: User sagt "Passkey erstellen".
  • Handy fragt nach Fingerabdruck.
  • Handy erzeugt Key-Pair. Public Key geht an den Server. Private Key bleibt auf dem Handy.
• Login: User kommt wieder.
  • Server schickt "Challenge" (Mathe-Rätsel).
  • Handy fragt nach Fingerabdruck.
  • Handy löst Rätsel mit Private Key.
  • Server prüft Lösung mit Public Key. Login erfolgreich.

Der User muss sich nichts merken. Er muss nur seinen Finger haben.

---

Die Sync-Revolution: iCloud & Google Password Manager

Früher (FIDO U2F) war der Key an ein Gerät gebunden (YubiKey). Verlor man den Stick, war man ausgesperrt. Heute synchronisieren Apple (iCloud Keychain) und Google den Passkey über alle Geräte des Users.

• Ich erstelle ihn auf dem iPhone.
• Er ist sofort auf dem Mac verfügbar.
• Wenn ich das iPhone verliere, stelle ich das Backup auf dem neuen iPhone her, und der Passkey ist wieder da (End-to-End verschlüsselt). Das macht die Technologie massentauglich.

---

MFA-Hierarchie: Von Müll zu Gold

Nicht alle MFAs sind gleich.

1. SMS / E-Mail OTP: (Unsicher). Anfällig für SIM-Swapping und Phishing. Besser als nichts, aber schwach.
2. Authenticator Apps (TOTP): (Mittel). Sicherer als SMS, aber immer noch phishbar (User gibt Code auf falscher Seite ein).
3. Push Auth (Okta Verify): (Gut). "Hier versucht sich jemand einzuloggen. Ja/Nein?" User drückt oft versehentlich "Ja" (MFA Fatigue).
4. FIDO2 / U2F (Gold): YubiKeys oder Passkeys. Phishing-resistent. Das einzige, was wirklich hilft.

---

Myth-Busting: "Was, wenn mein Finger abgeschnitten wird?"

Erstes: Autsch. Zweites: Biometrie ist nur die lokale Freigabe. Hinter der Biometrie steckt immer noch der Geräte-PIN (lokal). Wenn FaceID nicht geht, fragt das iPhone "Code eingeben". Der Passkey verlässt trotzdem nicht das Gerät. Ein abgeschnittener Finger nützt dem Hacker nichts, wenn er nicht auch Ihr iPhone und Ihren PIN hat.

---

Unasked Question: "Wie implementiere ich das?"

Warten Sie nicht. Alle großen Identity Provider (Auth0, Clerk, Firebase, AWS Cognito) unterstützen Passkeys jetzt. Schalten Sie es als Option an. "Möchten Sie für den nächsten Login FaceID nutzen?" Die User werden es lieben (weil es schneller ist als Tippen).

---

FAQ: Passkeys