Mel
Mit Passkeys wird der Login auf Websites und bei Apps deutlich vereinfacht und sicherer gemacht. Statt sich mit seinen klassischen Login-Daten anzumelden, kann man einfach einen Passkey verwenden. Dann erfolgt der Login via Face ID oder Touch ID. Passkeys sind sicherer als Passwörter, da sie vom eigenen Gerät für jeden Account einzigartig generiert werden und weniger anfällig für Phishing-Angriffe sind. Sie sind außerdem auf alle Geräten verfügbar, auf denen man mit derselben Apple-ID angemeldet ist. Wie Passwörter werden auch Passkeys verschlüsselt und in im iCloud-Schlüsselbund gespeichert, wo sie für niemanden sichtbar sind – auch nicht für Apple.
Bei Apple werden Passkeys wie folgt beschrieben:
„Bei einem Passkey handelt es sich um ein kryptografisches Element, dass für dich unsichtbar ist und anstelle von Passwörtern verwendet wird. Ein Passkey besteht aus einem Schlüsselpaar, das die Sicherheit im Vergleich zu einem Passwort erheblich erhöht. Bei einem der Schlüssel handelt es sich um einen öffentlichen Schlüssel, der bei der von dir verwendeten Website oder App registriert ist. Der andere Schlüssel ist ein privater Schlüssel, der ausschließlich auf deinen Geräten hinterlegt ist. Durch die Nutzung leistungsstarker Kryptografietechnologien, die dem Branchenstandard entsprechen, gewährleistet dieses Schlüsselpaar eine starke, vertrauliche Beziehung zwischen deinen Geräten und der Website oder App.“
Mittlerweile unterstützen immer mehr Anbieter eine Anmeldung per Passkey. Seit der Verfügbarkeit der Sicherheitsoption für iOS, iPadOS und macOS unterstützen Dienste wie PayPal, TikTok, 1Password, Google und auch seit kurzem Amazon die Möglichkeit, sich mit einem Passkey anzumelden. Unter Android wurde auch schon für WhatsApp eine Passkey-Anmeldung umgesetzt, für iOS dürfte das Feature ebenfalls bald folgen. Und natürlich lässt sich ein Passkey auch für die Anmeldung bei der eigenen Apple ID verwenden, sofern man iOS 17, iPadOS 17 oder macOS Sonoma verwendet.
Version 2023.10.0 von Bitwarden integriert Passkeys
Mit Bitwarden (App Store-Link) ist nun ein weiterer Dienst hinzugekommen, der ab sofort ebenfalls Passkeys unterstützt. Der Passwort-Manager reiht sich ein in eine Reihe von Diensten wie 1Password und Enpass, und bietet mit der neuen Version 2023.10.0 die Möglichkeit, Benutzernamen und Passwörter in einem verschlüsselten Tresor zu sichern, der mit allen Geräten synchronisiert wird. Anstelle von Passwörtern können nun auch Passkeys in den Passwort-Tresoren von Bitwarden gespeichert werden. Im Blogbeitrag von Bitwarden heißt es dazu:
„Passkeys können mit dem Bitwarden Passwortmanager-Tresor gespeichert und verwendet werden. Mit der Bitwarden-Browser-Erweiterung können sich Benutzer bei ihren Lieblingsanwendungen und -webseiten anmelden, die eine Passkey-Anmeldemöglichkeit bieten. […] Entwickelt mit den von der FIDO Alliance festgelegten Standards, ermöglichen Passkeys einem Benutzer, seine Konten zu sichern und die Schwachstellen zu umgehen, die mit der Standard-Passwort-Authentifizierung einhergehen, wie beispielsweise Phishing. Die gespeicherten Passkeys sind mit Bitwardens vertrauenswürdiger Ende-zu-Ende-Verschlüsselung geschützt.“
Bitwarden setzt auf ein Open Source-Prinzip und lässt sich als Privat-User in einer Basisvariante kostenlos verwenden. Zusätzliche Features wie beispielsweise den „Bitwarden Authenticator“ zum Generieren von Einmal-Passwörtern oder das Anhängen von Dateien lässt sich der Anbieter bezahlen: Das Premium-Abo fällt mit 10 USD/Jahr bei Buchung über die Bitwarden-Website jedoch sehr moderat aus und beinhaltet auch einen Notfall-Zugriff, Sicherheitsreports und mehr.
Wer sich weiter in das Thema Passkeys einlesen möchte, findet auf der Website von Apple entsprechende Dokumente zum Erstellen von Passkeys sowie Infos zur Sicherheit von Passkeys.
Marlene
Wow, wie cool! Für Bastler: Bitwarden lässt sich auch selber hosten,bspw. auf einem Raspberry. Dann sind alle Premium Funktionen inklusive und die Daten liegen bei einem selber, entsprechende Datensicherungen müssen natürlich bedacht werden.
Wow, ich wusste garnicht, dass wir uns bis jetzt alle unsicher angemeldet haben. 🤔
@vohsc: Haben wir aber. Jedenfalls fast alle von uns. 😉
„Passkeys sind sicherer als Passwörter“ – das stimmt natürlich, aber nur statistisch betrachtet. Das liegt daran, dass auf Platz 1 der Top 10 am weitesten verbreiteten Passwörter immer noch „123456“ ist. Insofern sind individuelle, systemgenerierte Passkeys für jeden Dienst eine riesige Verbesserung.
Was mir nicht gefällt, ist der Schlüsselbund in der iCloud. Ist natürlich super bequem, aber ich finde es keine gute Idee, Zugangsmerkmale in der Cloud aufzubewahren. Denn wo ein Trog ist, kommen Schweine.
Ich habe seit fast 20 Jahren KeePass. Für jeden Dienst ein generiertes, kryptisches Passwort, standardmäßig zwischen 30 und 50 Stellen lang, je nachdem was der jeweilige Dienst verträgt. Die KeePass-Datenbank wird nur zu Hause übers LAN verteilt und ist auf dem NAS, iPhones, iPads, Windows und Mac hinterlegt.
Meine Lösung mag nicht ganz so bequem sein und erfordert etwas mehr Disziplin, aber dafür ist sie etwas sicherer als Passkeys in einer Cloud, die jemand anderes verwaltet.
Genau meine Meinung! Es ärgert mich unwahrscheinlich, dass manche Funktionalitäten, wie Passkeys oder erst recht HomeKit nur gehen, wenn man seinen Schlüsselbund in die iCloud legt. 🙄
Das erinnert mich an einen Bekannten der grundsätzlich überall und immer neue EMails generiert um noch sicherer sich anzumelden (und zu schauen ob diese weitergegeben werden) und einen der sein Internet nur solange einschaltet wenn er es direkt nutzt (mit Handy ähnliche Show)……es gibt immer eine Möglichkeit noch mehr zu machen als andere aber wo hört die Sinnhaftigkeit auf und wo fängt das drücken des Aluhutes an? Sowas wie Bitwarden (und nein, ich nutze das nicht) hilft bei 99,98% der üblichen Nutzer ein einfaches und besseres Nutzerverhalten zu generieren ohne in esoterische Sphären zu gleiten…..
Freundliche Grüße meine generische Internetzeit wird gleich im TOR System beendet.,.
@galvan: Dass es in der großen Masse eine Verbesserung darstellt, statistisch betrachtet, schrieb ich ja schon. Wie sicher das Gesamtkonstrukt ist, das hängt davon ab, ob man die Cloud als „sicher“ bezogen auf die Vertraulichkeit und Integrität betrachtet.
Aber ich habe schlechte Nachrichten für Dich. Eine Antwort auf Deine Frage, wo das Sinnvolle aufhört und wo der Aluhut beginnt, gibt es nicht. Jedenfalls nicht rechtzeitig. Das erfährst Du, wenn überhaupt, dann zu spät. Nämlich dann, wenn (mal wieder) rauskommt, dass es beim Passwort-in-der-Cloud-Anbieter einen Sicherheitsvorfall gab:
heise.de/news/Passwort-Manager-Bitwarden-Biometrischer-Schluessel-war-fuer-alle-lesbar-9184586.html (https://www.heise.de/news/Passwort-Manager-Bitwarden-Biometrischer-Schluessel-war-fuer-alle-lesbar-9184586.html)
heise.de/news/Okta-Einbruch-1Password-bemerkte-verdaechtige-Aktivitaeten-9342147.html (https://www.heise.de/news/Okta-Einbruch-1Password-bemerkte-verdaechtige-Aktivitaeten-9342147.html)
borncity.com/blog/2023/02/28/lastpass-hack-ber-privaten-pc-eines-entwicklers/ (https://www.borncity.com/blog/2023/02/28/lastpass-hack-ber-privaten-pc-eines-entwicklers/)
Ooops!
Denn, wir erinnern uns: Wo ein Trog ist, kommen Schweine. 😉
Was machst du bei einem Hausbrand? Man will nicht den Teufel an die Wand malen, aber sollten all deine Geräte verbrennen, weil sie sich an einem Ort befinden, wird dein technologisches Leben danach richtig unschön.
Weiteres NAS im Haus meiner Eltern 60 km entfernt. Meine Eltern haben ja auch KeePass. So ist deren KeePass-Datenbank zusätzlich bei mir und meine KeePass-Datenbank zusätzlich bei ihnen.
Außerdem, wenn das Haus brennt, bin ich entweder nicht zu Hause (und habe mein iPhone mit KeePass dabei) oder ich packe Frau, Kinder und iPhone und renne mit ihnen aus dem Haus. Ich muss ja dann die Feuerwehr rufen.
Wie haben wir es eigentlich vorher, ohne diesen ganzen 💩, geschafft?
Haben wir nicht. Früher brauchte man nicht 1000000 Accounts weil nicht alles digitalisiert war