Wie viel Zeit verbringen Sie damit, sich Ihre Passwörter zu merken? Erstellen Sie jedes Jahr neue Sicherheitsschlüssel und achten Sie auf die Sicherheitsstärke anhand von Zeichen- und Zahlenfolgen? Wahrscheinlich nicht, denn Sicherheitsunternehmen finden jedes Jahr allzu oft schwache Passwörter in ihren Datenbanken. Die meisten Passwörter sind zu einfach, werden nie geändert und können in wenigen Minuten geknackt werden.
Daher ist es lobenswert, dass Apple eine neue Authentifizierungsmethode namens Passkeys angekündigt hat, die Passwörter ersetzen soll. Im Web ist die neue Methode stark an das Apple-Ökosystem gebunden, was schade ist. Dies liegt daran, dass Apple mit Passkeys lediglich eine eigene Methode zum Umgang mit den neuen WebAuthn-Anmeldeinformationen eingeführt hat.
Warum „Passkeys“ nicht nur Apple-Benutzer betreffen
Du hast gut gelesen. „Zugriffsschlüssel“ sind keine exklusive Apple-Erfindung, auch wenn es auf der WWDC 2022 so klang. Sie sind Apples internes Branding für eine neue Art von Anmeldeinformationen, die von der FIDO Alliance entwickelt wurde. Apple ist nicht Teil der Allianz, hat aber nach eigenen Angaben unter anderem mit Google und Android zusammengearbeitet und folgt bei seinen Passkeys den FIDO-Standards. Früher oder später werden fast alle Internetnutzer von der Verwendung von Passkeys profitieren.
Die Grundidee besteht darin, Anmeldungen mithilfe von Sicherheitsschlüsseln anstelle von Passwörtern zu implementieren. Aus Benutzersicht werden Anmeldungen durch biometrische Methoden geschützt, die einen Abgleich von Sicherheitsschlüsseln mit dem Server ermöglichen. Wenn Sie bereits Face ID und Touch ID zum Entsperren Ihres iCloud-Schlüsselbunds verwenden, bedeutet dies, dass sich hinsichtlich des Zugriffs auf Ihre Konten kaum etwas ändert.
Trotz der Tatsache, dass die heutigen Anmeldungen unter iOS bereits genauso bequem sind wie in der späteren Zeit, als Passcodes immer weiter verbreitet wurden, gibt es einen großen Nachteil. Derzeit erlaubt es dem iCloud-Schlüsselbund nur, Ihr Passwort auf dem Anmeldebildschirm zu kopieren. Von dort erfolgt die Übermittlung an den Serverbetreiber. Es besteht weiterhin das Risiko, dass Ihre Passwörter durch Man-in-the-Middle-Angriffe (MITM) oder auf andere Weise erlangt werden könnten.
Selbst Phishing, also Passwort-Betrug unter Vortäuschung eines großen Notfalldienstes oder andere Social-Engineering-Taktiken, ist mit dieser Methode weiterhin möglich. Heutzutage können Sie Passwörter ganz einfach aus Ihrem Schlüsselbund kopieren und in jede E-Mail einfügen, wenn Sie auf einen Betrug hereingefallen sind.
Aus diesem Grund sind Passkeys und die Verwaltung von Apple so sicher
In gewisser Weise schützt Sie die Verwendung von Passkeys sogar vor der sprichwörtlichen Gefahr, nur vor Ihrem Bildschirm zu sitzen. Im Kern basiert es auf zwei Sicherheitsschlüsseln: einem öffentlichen und einem privaten. Der öffentliche Schlüssel befindet sich nach der Konfiguration auf dem Server, während der private Schlüssel immer auf dem Gerät verbleibt, mit dem Sie sich angemeldet haben. Der Clou liegt in der mathematischen Formel, die der Methode zugrunde liegt.
Wie Popular Science schrieb, wurde dies so konzipiert, dass der private Schlüssel bei Anmeldeversuchen nicht an den Server übertragen werden muss. Dadurch bleibt Ihr Passwort auch im Falle von MITM-Angriffen oder erfolgreichen Hacks auf Unternehmensserver sicher. Die Zugangsschlüssel basieren auf dem Standard WebAuthentification (WebAuthn), der seit einiger Zeit für passwortlose Anmeldungen im Web verwendet wird.
Wenn das alles also schon existiert, stellt sich die Frage, warum sich alle so verhalten, als hätte Apple das Passwort neu erfunden?
Warum tun alle so, als hätte Apple das Passwort neu erfunden?
Hey, gute Frage! Was man Apple wirklich zugute halten kann: Sie sind die ersten, die Passkeys auf allen Geräten verwenden. Gleichzeitig bieten sie eine Anwendungsprogrammierschnittstelle (API) für ihre Passkeys an. Um die Anmeldung über Zugangsschlüssel zu ermöglichen, müssen Websites und Dienste natürlich zunächst die Voraussetzungen schaffen. Da Apple seine neuen Betriebssysteme iOS 16, watchOS 9, iPadOS 16 und macOS 13 ein halbes Jahr vor dem Start als Entwickler-Betas anbietet, war bereits mit einer Verfügbarkeit auf vielen Apps und Geräten zu rechnen. Auf jeden Fall hat Apple bereits eigene WebAuthn-Zugangsdaten für die WWDC 2021 eingereicht.
Zugriffsschlüssel sind außerdem fest an den iCloud-Schlüsselbund gebunden. Sie können von jedem Apple-Gerät darauf zugreifen, bei dem Sie sich mit Ihrer Apple-ID angemeldet haben. Da Apple für seinen Schlüsselbund eine Ende-zu-Ende-Verschlüsselung verwendet und die Sicherheitsschlüssel nicht kennt, wird auf der Support-Seite behauptet, dass dies ein sicherer Ort für die Aufbewahrung von Passschlüsseln sei.
Das System ist außerdem durch eine Zwei-Faktor-Authentifizierung geschützt. Wenn Sie sich also für einen neuen Passkey anmelden möchten, müssen Sie diesen Vorgang noch einmal auf einem Apple-Gerät oder über Ihren Webbrowser durch Eingabe eines sechsstelligen Codes bestätigen.
Apple hat die passwortlose Anmeldung nicht (neu) erfunden, sondern nur auf intelligente und sichere Weise implementiert. Außerdem werden Apple-Geräte so häufig genutzt, dass der Durchbruch von Cupertino ein guter Anreiz für Dienste und Websites sein wird, endlich auf WebAuthn umzusteigen.
Machen Passkeys den Wechsel zu Android und Windows unmöglich?
Allerdings beunruhigte mich Apples Schritt hin zu Passkeys während des Livestreams immer noch ein wenig. Es sah so aus, als würde Apple seinen „ummauerten Garten“ erneut mit Methylen stützen. Macht es die Einführung von Passkeys nicht nahezu unmöglich, Geräte zu verwenden, die nicht von Apple stammen, oder dem Apple-Kosmos zu entkommen?
Obwohl noch nicht ganz klar ist, wie eng die Passkeys-Integration von Apple sein wird, sprechen drei Argumente gegen meine Befürchtung.
1: Während der Entwicklerkonferenz hat Apple kurz gezeigt, wie die Anmeldung auf Nicht-Apple-Geräten möglich sein wird. Auf dem Bildschirm eines Windows-Laptops ist ein QR-Code zu sehen, der zum Anmelden mit einem Apple-Gerät gescannt werden muss. Die Anmeldung ist also auch unter Windows und Android möglich, allerdings müssen Sie Ihr iPhone oder iPad dabei haben.
2: Sie können jetzt in Windows auf Ihren iCloud-Schlüsselbund zugreifen. Sie müssen lediglich die iCloud-App installieren und schon sehen Sie das entsprechende Programm auf Ihrem PC. Das Entsperren funktioniert über den Windows-eigenen Authentifizierungsdienst Windows Hello und damit auch über eine biometrische Anmeldemethode. Allerdings bezweifle ich, dass dieses System für Apple Passkeys sicher genug ist. Dies liegt daran, dass Windows als Fallback auf eine PIN setzt, die im schlimmsten Fall nur aus vier Ziffern besteht.
3:: Standard WebAuthn ist, wie bereits erwähnt, nicht proprietär von Apple und wird sicherlich in Zukunft nativ mit Android, Windows und anderen Betriebssystemen verwendet werden können. Dies bedeutet, dass Sie neue Sicherheitsschlüssel für Anmeldungen vergeben können, um Zugriff auf Websites zu erhalten. Auch wenn sie sich von den Sync-Keys von Apple unterscheiden, gibt es nach der Einrichtung keinen Unterschied in der Handhabung. Schließlich meldet man sich ohnehin nur mit dem Fingerabdrucksensor oder der Gesichtserkennung an.
Fazit: Passcodes sind revolutionär, aber nicht von Apple.
Fassen wir die Entwicklungen noch einmal zusammen. Unabhängig von Apple wird WebAuthn Web-Logins sicherer machen. Nach allzu langer Zeit hängen unsere Daten nicht mehr davon ab, wie viel Zeit oder Intelligenz wir in die Pflege unserer Passwörter investieren. Darüber hinaus bietet der Standard zuverlässigen Schutz vor Phishing, Hacking und sogar vor der Art von Unternehmen, bei denen wir uns anmelden.
Apple macht in dieser Hinsicht einen großen Schritt und ist das erste Unternehmen, das den Dienst auf allen Geräten implementiert. Gleichzeitig nutzt das Unternehmen sein geschlossenes Ökosystem, um Anmeldungen über Passkeys zu einem sicheren und bequemen Unterfangen zu machen.
Auch die Entscheidung von Apple, Passkeys als Hauptthema auf seiner Entwicklerkonferenz zu thematisieren, ohne den eigenen Namen zu verwenden, ist ein brillanter Schachzug. In gewisser Weise erntet Apple die Lorbeeren, die die FIDO Alliance in Zusammenarbeit gesät und gewachsen hat.
Denn wenn Android oder Windows bald die Unterstützung von Passkeys ankündigen, wird die Öffentlichkeit dies sicherlich mit Apple als Ersteller in Verbindung bringen.
Touche, Apple. Berühren!
