Allgemein
Wer unterstützt Passkeys?
Da Passkeys auf FIDO-Standards basieren, funktionieren sie auf Android und Chrome sowie in vielen anderen gängigen Ökosystemen und Browsern wie Microsoft Windows, Microsoft Edge, macOS, iOS und Safari.
Unter Unterstützte Umgebungen können Sie den Supportstatus für Chrome und Android prüfen.
Funktionieren Passkeys auf Geräten, auf denen keine Displaysperre eingerichtet ist?
Ob ein Anmeldedatenanbieter die Erstellung und Authentifizierung von Passkeys ohne eine Challenge für den Wissensfaktor des Nutzers zulässt, hängt von der Implementierung des Passwortmanagers ab. Anbieter können Nutzer auffordern, eine PIN oder eine biometrische Displaysperre einzurichten, bevor sie einen Passkey erstellen.
Wie können Passkeys, die auf einer Plattform (z. B. Android) registriert sind, verwendet werden, um sich auf anderen Plattformen (z. B. im Web oder auf iOS) anzumelden?
Ein auf Android registrierter Passkey kann beispielsweise verwendet werden, um sich auf anderen Plattformen anzumelden, indem das Android-Smartphone mit einem anderen Gerät verbunden wird. Um eine Verbindung zwischen den beiden Geräten herzustellen, müssen Nutzer die Website, auf der sie sich anmelden möchten, auf einem Gerät öffnen, auf dem kein Passkey registriert ist, einen QR‑Code scannen und dann die Anmeldung auf dem Gerät bestätigen, auf dem sie den Passkey erstellt haben (in diesem Fall das Android-Gerät). Der Passkey verlässt das Android-Gerät nie. Daher schlagen Apps in der Regel vor, auf dem anderen Gerät einen neuen Passkey zu erstellen, um die nächste Anmeldung zu erleichtern. Dieser Ablauf funktioniert auch für andere Plattformen ähnlich.
Kann ich synchronisierte Passkeys von einem Plattformanbieter zu einem anderen übertragen?
Passkeys werden im vom Betriebssystem definierten Anmeldedatenanbieter gespeichert. Auf einigen Plattformen wie Android können Nutzer ab Android 14 den Anbieter ihrer Wahl (einen System- oder Drittanbieter-Passwortmanager) auswählen, der Passkeys möglicherweise auf verschiedenen Plattformen synchronisieren kann. Die direkte Übertragung von Passkeys von einem Plattformanbieter zu einem anderen wird derzeit nicht unterstützt.
Kann ein Nutzer seine Passkeys auf Android-Geräten synchronisieren, die nicht von Google stammen?
Passkeys werden standardmäßig nur innerhalb des Geräteökosystems synchronisiert (d. h. von Android zu Android mit dem Google Passwortmanager), nicht aber über das Ökosystem hinweg.
Android öffnet die Plattform (ab Android 14), damit Nutzer auswählen können, welchen Anmeldedatenanbieter sie verwenden möchten, z. B. einen Passwortmanager eines Drittanbieters. Das ermöglicht Anwendungsfälle wie die Synchronisierung von Passkeys zwischen verschiedenen Ökosystemen (je nachdem, wie offen andere Plattformen sind).
Was sollten Entwickler in Bezug auf Geräte und Plattformen tun, die keine Passkeys unterstützen?
Entwickler sollten die vorhandenen Anmeldeoptionen vorerst in ihrer App beibehalten, damit sie weiterhin für Geräte und Oberflächen verfügbar sind, die keine Passkeys unterstützen.
Kann ein Passkey ablaufen?
Nein. Das hängt vom Anbieter ab, der die Passkeys speichert, und von der RP (Relying Party). Es gibt jedoch keine gängige Praxis, Passkeys ablaufen zu lassen.
Kann ein RP ein Konto angeben, mit dem sich der Nutzer anmelden soll?
Vertrauende Parteien (Drittanbieter-Apps) können allowCredentials mit einer Liste von Anmeldedaten-IDs füllen, die von ihrem App-Backend gesendet werden. Diese Liste gibt an, welche Passkeys zur Authentifizierung des Nutzers verwendet werden sollen.
Passkeys unter Android und in Chrome
Können Android-Apps Passkeys verwenden, die in Chrome für die Authentifizierung erstellt wurden?
Für Passkeys, die in Chrome unter Android erstellt wurden:
Ja. Die in Chrome erstellten Passkeys werden im Google Passwortmanager gespeichert und sind unter Android verfügbar. Das gilt auch umgekehrt, wenn Nutzer im selben Google-Konto angemeldet sind.
Für Passkeys, die in Chrome auf anderen Plattformen erstellt wurden:
Wenn der Passkey in Chrome auf anderen Plattformen (Mac, iOS, Windows) erstellt wird, ist das nicht möglich. Weitere Informationen finden Sie unter Unterstützte Umgebungen. In der Zwischenzeit können sich Nutzer mit dem Smartphone anmelden, auf dem sie den Passkey erstellt haben.
Was passiert mit den Anmeldedaten, die vor der Einführung von Passkeys erstellt wurden? Können wir sie weiterhin verwenden?
Ja. Sowohl in Chrome als auch in Android sind gerätegebundene Anmeldedaten, die vor der Aktivierung der Synchronisierung erstellt wurden, verfügbar und können weiterhin zur Authentifizierung verwendet werden.
Was passiert, wenn ein Nutzer sein Gerät verliert?
Auf Android erstellte Passkeys werden gesichert und mit Android-Geräten synchronisiert, die im selben Google-Konto angemeldet sind. Das funktioniert genauso wie bei Passwörtern, die im Passwortmanager gesichert werden.
Das bedeutet, dass die Passkeys der Nutzer mit ihnen auf das neue Gerät übertragen werden. Wenn sich Nutzer auf einem neuen Smartphone in Apps anmelden möchten, müssen sie sich nur mit der Displaysperre ihres vorhandenen Geräts authentifizieren.
Müssen sowohl die biometrische als auch die PIN- oder Mustersperre auf dem Gerät eingerichtet sein, um sich mit Passkeys anzumelden, oder reicht eine von beiden aus?
Eine Methode zur Displaysperre reicht aus.
Ist ein Passkey an eine bestimmte Methode zur Displaysperre gebunden, z. B. Fingerabdruck, PIN oder Muster?
Das hängt von der Geräteplattform und der Art der Nutzerbestätigung ab. Im Fall des Google Passwortmanagers sind die Passkeys nicht an bestimmte Authentifizierungsmethoden gebunden und können mit jedem verfügbaren Faktor für die Displaysperre verwendet werden (biometrisches Verfahren, PIN oder Muster).
Kann ein RP weiterhin gerätegebundene Anmeldedaten erstellen, die nicht synchronisiert werden?
Nicht auffindbare Anmeldedaten, die in Chrome unter Android oder in einer Android-App mit den Play Services APIs erstellt wurden, behalten vorerst ihr bisheriges Verhalten und sind somit weiterhin an das Gerät gebunden.
Wenn Sie Passkeys verwenden, ist die Erweiterung für öffentliche Geräteschlüssel, die sich in der Entwicklung befindet, ein zweiter, gerätegebundener Schlüssel, der nicht synchronisiert wird und für die Risikoanalyse verwendet werden kann. Dies wird jedoch von keinem Anmeldedatenanbieter unterstützt.
Wie funktioniert die Synchronisierung von Passkeys auf ein neues Gerät? Müssen Nutzer Zugriff auf das Gerät haben, auf dem sie einen Passkey erstellt haben?
Auf Android-Geräten:
Wenn die Passkeys im Google Passwortmanager gespeichert wurden, muss sich der Nutzer nur auf dem neuen Gerät mit demselben Google-Konto anmelden und sich mit der Displaysperre (PIN, Muster oder Sicherheitscode) seines vorherigen Geräts bestätigen. Das vorherige Gerät ist nicht erforderlich, damit sich der Nutzer auf anderen Geräten anmelden kann.
Wenn die Passkeys in einem anderen Anmeldedatenanbieter gespeichert wurden, hängt es von den Anmeldeabläufen auf neuen Geräten dieses Anmeldedatenanbieters ab. Die meisten Anmeldedatenanbieter synchronisieren die Anmeldedaten mit der Cloud und bieten Nutzern die Möglichkeit, nach der Authentifizierung auf neuen Geräten darauf zuzugreifen.
Datenschutz und Sicherheit
Sind die biometrischen Daten des Nutzers sicher?
Ja. Biometrische Nutzerdaten verlassen das Gerät nie und werden auch nie auf einem zentralen Server gespeichert, wo sie bei einem Sicherheitsvorfall gestohlen werden könnten.
Kann sich ein Nutzer mit einem Passkey auf seinem Smartphone auf dem Gerät eines Freundes anmelden?
Ja. Nutzer können eine Einmalverknüpfung zwischen ihrem Smartphone und dem Gerät einer anderen Person einrichten, um sich anzumelden.
Sind im Google Passwortmanager gespeicherte Passkeys geschützt, wenn das Google-Konto eines Nutzers gehackt wird?
Ja, Passkey-Secrets sind Ende-zu-Ende-verschlüsselt. Bei einem gehackten Google-Konto würden keine Passkeys offengelegt, da Nutzer auch die Displaysperre ihres Android-Geräts entsperren müssen, um die Passkeys zu entschlüsseln.
Weitere Informationen
Wie unterscheiden sich Passkeys von der Identitätsföderation?
Die Identitätsföderation ist eine hervorragende Lösung für Dienste, die in einen oder mehrere OpenID-Anbieter eingebunden werden. Es gibt die grundlegenden Profilinformationen des Nutzers zurück, z. B. Name und bestätigte E-Mail-Adresse, und bietet wie Passkeys einen sicheren und praktischen Anmeldemechanismus. Für Passkeys ist dagegen keine Integration mit einem OpenID-Anbieter erforderlich, es fehlen jedoch grundlegende Profilinformationen. Entwickler sollten Nutzern, die Passwörter verwenden, Passkeys empfehlen. Entwickler sollten unabhängig voneinander die Integration mit einem oder mehreren OpenID-Anbietern in Betracht ziehen, um Nutzern eine Auswahl zu bieten.