Passkeys für Normalos (Die Kolumne)

Spätestens im Herbst haben Sie einen Passkey! Naja, nach dem Update auf die neue Version des Betriebssystems, denn Apple legt mit iOS 17 automatisch einen „Passkey“ auch für ihre Apple-ID an. Schon jetzt gibt es einige Dienste, die optional Passkeys anbieten, so Google, Microsoft 365 oder Dropbox. Damit soll endlich das Post-Zeitalter von Passwörtern eingeläutet werden. Jetzt haben wir Internetnutzer gerade mal verstanden, dass 123456 oder „passwort“ keine guten Passwörter sind, da sollen wir uns schon wieder umgewöhnen! Hier die Kolumne als praktische Lebenshilfe.

Stellen wir uns dumm!

Stellen wir uns zu Beginn einmal dumm und identifizieren das eigentlich einfache Problem: Niemand soll unbefugterweise in unser Haus. Dafür haben wir eine Türe mit einem Schloss und einen Schlüssel, den wir gerne aus Metall fertigen lassen. Dieser Schlüssel ist bestenfalls einmalig und passt nur genau in dieses Schloss. Im Digitalen sind dies die Kombination aus Benutzername und Passwort. Der Benutzername ist relativ offen (jeder sieht meine Haustüre von außen), den Schlüssel aber habe nur ich. Je komplizierter der Schlüssel ist, desto schwieriger ist er zu fälschen. Aber: Jeder, der den Schlüssel besitzt, kommt hinein. Und da fängt das Problem mit Passwörtern an, wie wir alle wissen.

Kein Generalschlüssel!

Passkeys arbeiten grundsätzlich anders. Räumen wir zu Beginn mit einer Fehlinformation auf: Es gibt nicht den einen, einzigen, Passkey. Es gibt also keinen Generalschlüssel für alle Schlösser (wie vielleicht der Hausmeister eines Bürogebäudes), sondern für jeden Dienst wird ein eigener Passkey generiert.

Algorithmus

Dieser Passkey ist nicht einfach ein langes Passwort, sondern ein kryptografischer Schlüssel, der dazu da ist, mit einem Algorithmus eine Zahlen-Zeichen-Kombination zu verschlüsseln. Merken wir uns: Sehr schwer zu knacken, aber wenn Diebe in dunklen Gassen mal Quantencomputer haben, nicht unmöglich!

Von Kobolden geschmiedet

Der Passkey bleibt auf dem Gerät, in meinem iPhone beispielsweise, und wird durch biometrische Daten wie Touch-ID oder Face-ID oder durch meine PIN geschützt. In unserer kleinen Analogie haben wir einen neuen Haustürschlüssel, drei Meter lang, von Kobolden geschmiedet mit unzähligen komplizierten Anordnungen. Praktisch nicht zu fälschen. Dieser Schlüssel liegt im Bankschließfach (ja, die sind auch nicht immer sicher, so wie der Zugang zum Smartphone auch knackbar ist).

Eigentlich zwei Schlüssel

Bis hierhin hört es sich an, als hätte jemand die schlaue Idee gehabt, Passwörter automatisch komplizierter und damit stärker zu machen. Doch weit gefehlt! Wir bekommen nämlich nicht nur einen Schlüssel, sondern zwei! Diese beiden heißen irrigerweise privater Schlüssel und öffentlicher Schlüssel. Das ist Teil der Verwirrung, denn der öffentliche Schlüssel ist selbstverständlich nicht „öffentlich“. Ich schlage vor die Schlüssel „Stan“ und „Ollie“ zu nennen. Gemeinsam sind sie super.

Gauß arbeitet

Der private Schlüssel (=“Stan“), klaro, bleibt wie oben beschrieben auf dem Gerät. Den öffentlichen Schlüssel (=“Ollie“) gebe ich an den Dienst (wie Apple oder Google) weiter. Das funktioniert selbstverständlich automatisch, wenn ich einen Login über Passkey wähle. Nun arbeitet jemand wie Gauß, denn die beiden Schlüssel sind mathematisch verknüpft (die Formeln dafür in der nächsten Woche!)

Challenge läuft

Der Server schickt mit Hilfe von Ollie (=dein einzigartiger, aber “öffentlicher“ Schlüssel) eine Anfrage an Stan, also deinen privaten Schlüssel. Experten nennen diese Anfrage „Challenge“ (,warum auch immer!). Nur dein privater Schlüssel kann diese Challenge richtig beantworten (Expertensprech: „validieren“) und sagt: OK! Bitte aufschließen! Dabei wird keinesfalls Stan weitergereicht, sondern nur die Mitteilung: Ist o.k., der darf das! Und diese Mitteilung, also das frühere Passwort-System, sieht jedes Mal anders aus, wird also jedes Mal einzigartig generiert. Sehr sicher!

Nachteile

Verschweigen wir die Nachteile nicht: Ich benötige immer ein funktionierendes Gerät, auf dem mein privater Schlüssel des Passkeys (=“Stan“) gespeichert ist. Hat jemand mein entsperrtes Gerät (,weil ich gefesselt im Keller liege und mir jemand das iPhone vor das Gesicht hält bespielsweise) hat er Zugang zu meinen Passkeys.

Vorteile

Die Vorteile: Wir haben keine (vielleicht schwachen) Passwörter mehr. Niemand kann sie erraten oder stehlen. Wir brauchen auch keinen Benutzernamen mehr, sondern ausschließlich den öffentlichen Schlüssel, den im Prinzip jeder haben darf, weil er nutzlos ist ohne den privaten. Die Magie dahinter heißt Mathe mit Falltürfunktionen oder sagen wir allgemein asymetrische Kryptografie. Lassen wir das als Normalos. Freuen wir uns über sicherere Zeiten mit Stan und Ollie.

-----
Willst du keine News mehr verpassen? Dann folge uns auf Twitter oder werde Fan auf Facebook. Du kannst natürlich in Ergänzung unsere iPhone und iPad-App mit Push-Benachrichtigungen hier kostenlos laden.