Was sind Passkeys, WebAuthn und FIDO2?

Passkeys sind Zugangsdaten auf Basis von FIDO2 und WebAuthn. Statt eines gemeinsamen Passworts erzeugt der Authenticator ein Schlüsselpaar: Der private Schlüssel bleibt auf Gerät, Hardware-Token oder in einer geschützten Synchronisierung; der Dienst speichert den öffentlichen Schlüssel. Eine Anmeldung signiert eine serverseitige Challenge und ist an die echte Domain gebunden.

Wie spielen FIDO2, WebAuthn und CTAP zusammen?

Vereinfachter Anmeldeablauf

// Server erzeugt einmalige Challenge und erwartete Parameter
options = {
  challenge: randomBytes(32),
  rpId: "example.test",
  allowCredentials: user.registeredCredentialIds,
  userVerification: "required"
}

// Nach Browser/Authenticator-Antwort prüft der Server:
verify(assertion, {
  challenge: storedChallenge,
  origin: "https://example.test",
  rpId: "example.test",
  publicKey: credential.publicKey,
  counter: credential.signCount
})

Der Server muss Challenge, Origin, RP ID, Signatur, Credential-ID und User-Verification-Status prüfen. Die Challenge ist einmalig und kurzlebig. Eine Bibliothek sollte die binären Formate und Attestation-/Assertion- Prüfung übernehmen; eigene Kryptografie ist unnötig riskant.

Warum sind Passkeys phishing-resistent?

Der Authenticator bindet die Signatur an die Relying Party ID. Eine ähnlich aussehende Phishing-Domain kann daher keine gültige Signatur für die echte Domain anfordern. Es gibt außerdem kein wiederverwendbares Passwort, das ein Angreifer per Credential Stuffing bei anderen Diensten testen kann. Social Engineering gegen Recovery- und Supportprozesse bleibt dennoch möglich.

Wichtige Designfragen

• - Mehrere Passkeys und Geräte pro Konto erlauben und verständlich verwalten.
• - Recovery mindestens so stark wie die normale Anmeldung gestalten; keine einfache E-Mail-Umgehung.
• - Hinzufügen und Entfernen von Passkeys mit Re-Authentifizierung, Benachrichtigung und Audit-Log schützen.
• - Für Hochrisikokonten gerätegebundene Hardware-Schlüssel und Attestation risikobasiert erwägen.
• - Synchronisierte Passkeys, Datenschutz, Plattformwechsel und verlorene Geräte im Bedrohungsmodell berücksichtigen.

Nützliche Open-Source-Werkzeuge

Die python-fido2- und SimpleWebAuthn- Bibliotheken bieten geprüfte Bausteine und Beispiele. Der W3C-WebAuthn-Quellstand dokumentiert Standard und Tests. Für Anwendungen sind Integrationstests mit falscher Origin/RP ID, wiederverwendeter Challenge, unbekanntem Credential und fehlender User Verification wichtiger als ein generischer Scanner.