Warum drängen mich alle zur Erstellung eines Passkeys?

[Rexaris]

Ich habe das mit CB auch mal ausprobiert und scheitere.
Ich habe wie empfohlen die App KeePassDX verwendet um ein Passkey für CB mit meinem Android zu erstellen.
Wenn ich nun am Laptop mich einloggen möchte bekomme ich einen QR-Code.
Den kann ich Scannen worauf sich der Laptop via Bluetooth irgendwie mit dem Handy verbindet.
Dann muss ich die Datenbank von KeePassDX entsperren und die Verarbeitung läuft...

Die Fehlermeldung die ich dann erhalte ist leider sehr unspezifisch:

Liegt das daran, dass ich den Passkey mit einem anderen Gerät erstellt habe?

 

[puri]

Das Problem ist halt, dass Passkey nicht intuitiv ist und auch nicht wirklich konsistent verwendet wird. Wenn ich auf dem iPhone bei mancher App gefragt werde, ob ich Passkey verwenden will und er dann einfach auf Face-ID umschaltet, finde ich das strange. Im Endeffekt habe ich inzwischen keine Ahnung mehr, welche Anwendungen jetzt nur das Passwort durch Face-ID ersetzen und welche Anwendungen Face-ID zusammen mit dem Gerät als Passkey nutzen. Ich bin gottsfroh, dass die Übertragung zwischen iPhones nahezu alle Kennwörter, Passkeys, was auch immer - mitnimmt, sonst stände ich böse auf dem Schlauch - die ganze Sache ist leider sehr undurchsichtig.
Was mir fehlt ist ein anständiger Ersatz für Passwörter - habe da leider bisher nichts gefunden (habe auch mal die USB-Keys probiert - taugt für mich auch nicht.).

 

[Web-Schecki]

dann machen die Leute mal was selbst - wie z. B. nen Passkey - und dann stehst du da und sollst denen helfen, weil sie nicht wissen was sie getan haben. TOLL! Immerhin weißt du als Admin wie stressig es sein kann.

Klar, Sicherheit und Komfort sind oftmals zwei sich ausschließende Ziele.
Passwörter haben sich durchgesetzt, weil sie extrem komfortabel und leicht zu verstehen sind. Das trifft auf asymmetrische Kryptographiesysteme nicht unbedingt zu. Dennoch sind Passwörter zur Authentisierung einfach eine ziemlich schlechte Idee, denn die Sicherheit hängt vom Verhalten aller "Mitwisser" (insbesondere dem Benutzer) ab. Und in der Praxis ist dieser Ansatz einfach gescheitert.

Als versierter Admin ist es natürlich deine leidige Aufgabe, den unbedarften Nutzern erklären, wie Passkeys funktionieren und warum diese umständliche Technologie eine gute Idee ist. Dafür hast du in der Folge mit weniger Problemen durch kompromittierte Konten zu kämpfen.

die ganze Sache ist leider sehr undurchsichtig

Das finde ich auch. Man gibt die Schlüsselverwaltung komplett in die Hände einer Blackbox. Das ist aus Sicherheitsgründen wahrscheinlich besser, als die Benutzer ihre Schlüssel eigenständig verwalten zu lassen (dann öffnet man Phishing-Attacken wieder Tür und Tor). Aber ganz zufriedenstellend finde ich die Lösungen nicht.

 

[|Moppel|]

Das Problem ist halt, dass Passkey nicht intuitiv ist und auch nicht wirklich konsistent verwendet wird. Wenn ich auf dem iPhone bei mancher App gefragt werde, ob ich Passkey verwenden will und er dann einfach auf Face-ID umschaltet, finde ich das strange.

Warum findest du das strange?

Ein Passkey ist kein Passwort, sondern ein digitaler Ersatz.
Deshalb muss es keine Zeichenkombination sein, sondern kann auch ein Fingerabdruck, ein Gesichtsscan oder etwas anderes sein.

Mit diesen beiden Sachen entsperrst du doch offenbar auch jetzt schon dein Handy.

Du siehst, du hast die ganze Zeit schon intuitiv einen Passkey genutzt.

 

[puri]

@|Moppel| Ja das ist schon richtig - aber ab - und zu - will das iPhone - oder auch die ein - oder andere App mal, dass ich das Passwort eintippe - spätestens da, weiß ich nicht ob Kennwort oder Passkey geschützt. Diese Intransparenz finde ich ungut. Es ist ja wohl so, dass solche Mechanismen wie Face-ID oder Fingerabdruck (was es schon weit vor der Passkey-Diskussion gab) eigentlich nichts anderes sind, wie ein Ersetzen der Kennworteingabe und kein komplett anderer Mechanismus, als was ich Passkey verstehe.

 

[Web-Schecki]

Du siehst, du hast die ganze Zeit schon intuitiv einen Passkey genutzt.

Nein, ein Fingerabdruck ist kein Passkey. Das hat nichts miteinander zu tun.

Es ist ja wohl so, dass solche Mechanismen wie Face-ID oder Fingerabdruck (was es schon weit vor der Passkey-Diskussion gab) eigentlich nichts anderes sind, wie ein Ersetzen der Kennworteingabe

Korrekt. Mit Passwort/PIN/Face-ID/Fingerabdruck/... überprüft dein Gerät nur, ob du berechtigt bist, auf den gespeicherten Passkey (genauer: auf den privaten Schlüssel) zuzugreifen. Das ist natürlich ein vergleichsweise schwacher Schutz, aber dient auch eher als "zweiter Faktor": Der physische Zugriff auf das Gerät ist Voraussetzung, reicht aber allein reicht nicht aus, da man noch eine PIN eingeben muss.

Natürlich kannst du auch einen klassischen Passwortmanager nutzen und diesen per Passwort/PIN/Face-ID/Fingerabdruck/... entsperren. Das sieht dann für dich womöglich ganz genauso aus und deshalb kannst du es gar nicht unterscheiden. Nun wird hier aber nicht der private Schlüssel entsperrt, sondern das eigentliche Passwort, das daraufhin zur Authentisierung an den Anbieter übertragen wird. Im Vergleich dazu verbleibt ein privater Schlüssel (wenn man keine Cloud-Synchronisation o.Ä. nutzt) immer auf deinem Gerät und dient nur zu Entschlüsselung.

 

[tollertyp]

Nein, nicht wenn du ein entsprechendes Handy nutzt, siehe screenshots von @frazzlerunning

Was hat das mit dem Handy zu tun? Man kann auch andere Programme nutzen für Passkeys... wie Bitwarden, KeepassXC müsste es auch können...

Also braucht man trotz Passkey noch immer 2nd Factor.

Naja, stell dir die Passkeys auf dem System vor wie im Browser gespeicherte Passwörter. Möchtest du, dass die einfach so ohne Nachfrage immer eingegeben werden?

@puri: Definitiv. Die Transparenz in Bezug auf Passkeys ist häufig nicht wirklich hoch. Ein Grund mehr, warum ich meine Passkeys eben in meinem von mir gehosteten Bitwarden speichern möchte.

Anhang anzeigen 1761025
Liegt das daran, dass ich den Passkey mit einem anderen Gerät erstellt habe?

Nein, bei ComputerBase funktioniert ein Passkey mit allen Geräten.

 

[Blood011]

Darf ich fragen, welche Bank das ist?

Diba, geht mit Passkey aber nach jedem "update" wollen se den Pin einmalig.

Danach geht wieder Passkey.

Geht alles in Sekunden, auch einkäufe, kaufen sofort überweisung damit in de App einloggen via Passkey, und nochmal via Passkey bestätigen fertig.
Bin generell auch sehr zufrieden mit der Bank.

Überweisen via Biometrie ohne den nervigen Tan Generator...

Und du kannst dich natürlich jeder zeit auch mit dein Pin einloggen, falls mal was mit dem Phone sein sollte.

Ergänzung (16. September 2026)

Hier kamen ja schon Andeutungen, dass es Anbieter

Ist mir noch nicht unter gekommen^^

 

[|Moppel|]

Nein, ein Fingerabdruck ist kein Passkey. Das hat nichts miteinander zu tun.

Stimmt, da habe ich mich vertan.
Wenn auch theoretisch möglich, wäre der Fingerabdruck ein schlechter Passkey, weil man ihn nie ändern kann.

 

[Rexaris]

KeePassDX.

Ich habe das mit CB auch mal ausprobiert und scheitere.

Nein, bei ComputerBase funktioniert ein Passkey mit allen Geräten.

Es gibt da wohl leider einen bekannten bug, so dass das über Bluethooth nicht richtig funktioniert:
https://github.com/Kunzisoft/KeePassDX/issues/2567

Schade.

 

[t0oastaa]

Also ich nutze auch vaultwarden auf meinem NAS mit Bitwarden als App und Browser Erweiterung. Funktioniert einwandfrei unter Windows, Linux, macOS und iOS. Denke Android sollte auch gehen, habe ich aber nicht getestet.

 

[RaptorTP]

Warum also drängen immer mehr Websites so stark auf Passkeys?

mir geht das auch sowas von auf den "Piss"

Suuper nervig, einmal so "Hallo, magst du Passkey?" - Nein Danke, lass stecken - nicht mehr fragen.

Und danach wieder die Standardmaske für Name/Mail & Passwort.

Wäre ich völlig fein.
Aber ich klick mir da auch manchmal einen wund, weil es wirklich extrem geworden ist, stellenweise. Kann ich nix mit anfangen aktuell.

 

[polizei]

Du meldest dich ja auch bei Passkeys nicht nur mit dem Benutzernamen an. Bei Passkeys wird der Schlüssel in einem Gerät, z.B. deinem Smartphone, gespeichert.

Also ich habe bei PayPal eine password. Und Dann kommt ne sms (2FA)

 

[Aktaion]

Hat schonmal jemand versucht sich trotz passkey mit seinem normalen Passwort anzumelden, würde mich interessieren bei wie vielen Konten das klappt.
Es wird immer so sein das die größte Sicherheitslücke der User ist.
Vorgekaukelte Sicherheit?

 

[qiller]

Hat schonmal jemand versucht sich trotz passkey mit seinem normalen Passwort anzumelden, würde mich interessieren bei wie vielen Konten das klappt.

Lt. diverser Passkey-User hier wohl noch bei so ziemlich allen Anbietern. Aber die Frage ist nicht unberechtigt. Wenn man mal an Windows denkt: Einmal PIN/Fingerprint eingerichtet, deaktiviert Windows standardmäßig die normale Passworteingabe, wenn man es nicht in den Einstellungen wieder aktiviert (was hier auch immer wieder mal zu einem "Meine PIN ist nicht mehr gültig, ich komm in Windows nicht mehr rein"-Thread führt).

 

[tollertyp]

Aber ich klick mir da auch manchmal einen wund, weil es wirklich extrem geworden ist, stellenweise. Kann ich nix mit anfangen aktuell.

Kannst du ein konkretes Beispiel nennen, wo das so ist?

 

[RaptorTP]

Kannst du ein konkretes Beispiel nennen

Ich versuche mal drauf zu achten und das dann zu nennen. Da es mich so nervt, hat es keinen Platz im Kopf verdient. Ich versuche es zu verdrängen. xD

 

[Frank900]

Ich benutze sowohl auf dem Handy als auch beim Notebook Fingerabdrucksensor als Passkey, Gesichtserkennung würde auch gehen. Yubikey oder sowas brauchts nicht. Am Rechner habe ich keinen Sensor, will ich dort einloggen muss ich ans Handy oder Notebook.

 

[Blackhorse79]

Ist ja schon irgendwie komisch. Ich benutze seit dreissig Jahren nur Passwörter und wurde noch nicht einmal kompromittiert.

Das ist doch alles total unsicher im Gegensatz zu Passkeys, wie kann das sein?

 

[Web-Schecki]

@Blackhorse79
Schon irgendwie komisch. Ich fahre seit 30 Jahren Auto, ohne mich anzuschnallen und hatte noch nicht einen Unfall.

Das ist doch alles total unsicher im Gegensatz zur Fahrt mit dem Sicherheitsgurt, wie kann das sein?