Der Ersatzschlüssel entscheidet, wie gut das Schloss ist

Microsoft stellt die Anmeldung um. Passkeys werden zur Standardmethode, SMS und Sprachanruf verschwinden als MFA-Verfahren, Sicherheitsfragen fallen 2027 aus der Passwort-Selbstbedienung. In den Meldungen dazu steht meist, Passkeys seien sicherer. Das ist richtig und erklärt nichts. Interessant wird es eine Ebene tiefer. Warum ein Passkey nicht phishbar ist Ein SMS-Code ist ein Inhaberpapier. Wer ihn hat, kommt rein. Der Nutzer bekommt die Aufgabe, ihn von einem Kanal in einen anderen zu transportieren, und genau diese Aufgabe ist der Angriffspunkt. Ein Proxy zwischen Nutzer und echter Anmeldeseite fragt den Code ab und reicht ihn weiter. Die Kryptografie bleibt intakt, der Mensch ist das Transportmittel. Beim Passkey läuft der entscheidende Schritt unterhalb des Menschen. Der Dienst schickt eine Challenge, der Authenticator sucht das passende Schlüsselpaar über die gehashte RP-ID der aufrufenden Seite und die Credential-ID. Steht der Nutzer auf einer Lookalike-Domain, ist die RP-ID eine andere. Es wird kein Schlüssel gefunden. Es gibt nichts herauszugeben, das ein Angreifer verwerten könnte. Microsoft nennt diese Eigenschaft verifier impersonation resistance: Der Authenticator gibt sein Geheimnis nur an die Partei heraus, für die es registriert wurde. Der Nutzer kann den Fehler nicht mehr machen, weil er nicht mehr gefragt wird. Was der Umstieg kostet Zwei Dinge fehlen in den Schlagzeilen. Erstens die Attestation. Synchronisierte Passkeys, die in iCloud oder im Google Password Manager liegen, unterstützen keine Attestation. Sie belegen keine Geräteherkunft. Wer Attestation erzwingt, schließt sie damit aus und ist zurück bei gerätegebundenen Schlüsseln, also bei Hardware, Ersatzbeschaffung, Verlust und Helpdesk. Phishing-Resistenz gibt es, aber sie wird gegen Nachweisbarkeit getauscht. Für die meisten Nutzer ist dieser Tausch richtig. Für privilegierte Konten ist er es nicht. Zweitens, und das ist der teurere Punkt: die Wiederherstellung. Ein Schloss ist nur so gut wie der Ersatzschlüssel, den es dazu gibt. Wer Passkeys ausrollt und den Reset weiterhin über einen Anruf beim Helpdesk erlaubt, hat das teuerste Schloss gekauft und den Ersatzschlüssel unter die Fußmatte gelegt. Ein Angreifer, der rational vorgeht, versucht dann gar nicht mehr, das Schloss zu knacken. Er hebt die Matte an. Fazit Die Zahlen für den Umstieg sind gut: 99 Prozent Registrierungserfolg, drei Sekunden statt neunundsechzig, 95 statt 30 Prozent erfolgreiche Anmeldungen. Die eigentliche Arbeit steckt aber nicht in der Anmeldung, sondern im Prozess drumherum. Wer setzt zurück, wer prüft die Identität, wer protokolliert das. In 25 Jahren habe ich selten Sicherheitsprobleme gesehen, die an der Kryptografie gescheitert wäre. Gescheitert ist meist der Ersatzweg. Der Ersatzschlüssel entscheidet, wie gut das Schloss ist.