WebAuthn und Passkeys verständlich einordnen
Bei der Registrierung erzeugt ein Authenticator ein Schlüsselpaar. Der private Schlüssel verbleibt auf dem Gerät oder im geschützten Passkey-Anbieter; die Website speichert den öffentlichen Schlüssel. Beim Login wird eine Challenge signiert, ohne dass ein wiederverwendbares Passwort übertragen wird.
Die Zugangsdaten sind an die Relying Party gebunden. Eine täuschend ähnliche Domain kann den Passkey der echten Website nicht einfach abrufen. Das ist ein wesentlicher Vorteil gegenüber Passwörtern und vielen klassischen Einmalcodes.
Registrierung als Ergänzung beginnen
Bieten Sie angemeldeten und ausreichend verifizierten Nutzern zunächst an, einen Passkey hinzuzufügen. Benennen Sie das verwendete Gerät oder den Anbieter verständlich und erlauben Sie mehrere Passkeys pro Konto.
Eine erzwungene sofortige Migration erhöht Supportfälle. Starten Sie mit freiwilliger Nutzung, messen Sie Abschlussquoten und erklären Sie knapp, dass Fingerabdruck oder Gesichtserkennung lokal beim Gerät bleiben.
Gerätewechsel und Recovery vorab lösen
Nutzer verlieren Geräte, wechseln Plattformen oder löschen Zugangsdaten. Recovery darf nicht schwächer sein als der Login. E-Mail allein kann für sensible Konten unzureichend sein; je nach Risiko kommen Wiederherstellungscodes, geprüfte Supportprozesse oder weitere Passkeys infrage.
Jede Wiederherstellung erzeugt ein Sicherheitsereignis. Benachrichtigen Sie den Kontoinhaber, protokollieren Sie Änderungen und bieten Sie eine Übersicht aktiver Passkeys mit Widerrufsmöglichkeit.
- Mehrere Passkeys pro Konto
- Benannte Geräte und letztes Nutzungsdatum
- Sicherer Widerruf verlorener Zugänge
- Wiederherstellungscodes oder geprüfter Supportweg
- Benachrichtigung bei neuen Zugangsdaten
Browser, Geräte und Fallback realistisch testen
WebAuthn wird breit unterstützt, doch Nutzerwege unterscheiden sich je Betriebssystem, Browser und Passwortmanager. Testen Sie plattformgebundene und synchronisierte Passkeys, QR-gestützte Anmeldung sowie private Browserfenster und deaktivierte Gerätesperren.
Ein Fallback bleibt während der Einführung nötig. Vermeiden Sie jedoch, dass ein leicht zu erratendes Passwort oder eine ungeschützte Hotline die stärkere Methode vollständig aushebelt.
Datenschutz und Betrieb dokumentieren
Speichern Sie nur notwendige Credential-IDs, öffentliche Schlüssel und technische Metadaten. Biometrische Rohdaten erhält die Website nicht. Datenschutzerklärung, Löschprozess und Supportdokumentation müssen die tatsächliche Implementierung abbilden.
Überwachen Sie Registrierungsfehler, Recovery-Quote, verdächtige Anfragen und Login-Erfolg. Führen Sie Passkeys schrittweise nach Kontorisiko ein: interne Admin-Zugänge können anders priorisiert werden als ein optionales Kundenkonto.
Kurz beantwortet
Häufige Fragen
Speichert die Website meinen Fingerabdruck?
Nein. Die lokale Gerätesperre bestätigt die Nutzung des privaten Schlüssels. Die Website erhält eine kryptografische Antwort und speichert den öffentlichen Schlüssel.
Was passiert bei einem verlorenen Smartphone?
Synchronisierte Passkeys können auf anderen Geräten verfügbar sein. Zusätzlich braucht jedes Konto einen sicheren Recovery-Weg und idealerweise mehrere registrierte Zugänge.
Kann man Passkeys und Passwörter parallel anbieten?
Ja. Eine schrittweise Einführung ist üblich. Der verbleibende Passwort- und Recovery-Weg muss jedoch weiterhin sicher betrieben werden.
