Passkey, 2FA, MFA… wer blickt da noch durch? Ein Versuch hierbei ein wenig zu helfen – denn es ist wichtig!

Viele haben sich bis heute nicht an die stetige Eingabe von Passworten in Plattformen, beim Banking, auf Online Portalen oder beim Shopping gewöhnt. Seit 2010 habe ich in verschiedenen Beiträgen Tipps zusammengestellt, wie man damit umgehen kann. (Passwort Manager, TIPP: Praktikable Passwort Verwaltung, Der Ärger mit den Passworten).

Inzwischen hat sich die Zugangssicherheit zu digitalen Services aber deutlich weiterentwicklet – wir sollten das auch tun!

Über Hausschlüssel oder Autoschlüssel machen wir uns meist mehr Sicherheitsgedanken,
als über eMail Postfach, Cloud-Speicher, Onlineshopping, Bank oder Sociale Netzwerk-Zugänge.

Leider beschäftigt man sich nur intensiv mit Passworten, wenn man eine neue App installiert oder Zugang zu einer neuen Plattform braucht (dann im Stress, weil man ja eigentlich in die Plattform will) oder wenn man Opfer von Passwortdiebstahl, Phishing oder Datendiebstahl wird. Das Konto gehackt, der eMail Account missbraucht oder die Dokumente im Cloudspeicher plötzlich verschwunden sind – dann ist es allerdings oft zu spät.

Nach wie vor verwenden viele keine Software für die unzähligen Passworte, schreiben sie auf Zettel oder digital in „Text-Dokumente“ oder Tabellen, verwenden immer die gleichen oder denken sich eine coole Methode aus, um verschiedene Passworte nach dem gleichen System zu nutzen.

Der Passwort-Zettel ist im Zeitalter von KI vergleichbar
mit dem Hausschlüssel unter dem Blumentopf am Eingang.

Neben Gesichtserkennung und Fingerabdruckscannern, die heute fast alle modernen Smartphones bieten, sollte man zwei aktuelle Sicherheitslösungen für Passworte kennen:

Sicherer Zugang im digitalen Alltag – Passkey vs. MFA

Zwei 2025 populäre Sicherheitsmethoden, die sehr gut schützen, sind Passkeys und Multifaktor-Authentifizierung (MFA).

Passkeys

sind eine passwortlose Anmeldemethode die es seit 2022 gibt. Dabei wird auf herkömmliche Passwörter verzichtet. Stattdessen basieren Anmeldungen auf kryptographischen Schlüsseln, die sicher auf dem Gerät der Nutzer gespeichert sind (Smartphone, Tablet, Rechner). Diese Methode ist sehr sicher, da sie phishing-resistent ist und keinen Passwort-Diebstahl erlaubt. (das bedeutet, dass sie niemand digital über die Internet-Verbindung stehlen oder durch „ausprobieren“ erraten kann – was dank KI sehr leistungsstark wurde)

Das Einloggen passiert über z.B. über biometrische Daten oder PIN. Passkeys werden bereits von großen Anbietern und Betriebssystemen unterstützt und gelten als zukunftssicher.

Passkeys sind besser als Anmeldung mit Benutzername und Passwort:

• Passkeys können nicht zu simpel oder zu kurz sein – Passwörter dagegen schon.
• Passkeys können im Gegensatz zu Passwörtern nicht vergessen werden.
• Passkeys werden schnell und automatisiert erstellt.
• Es ist unwahrscheinlicher, dass Passkeys durch Phishing oder Datendiebstahl verloren gehen.
• Jeder Passkey schützt immer genau einen Account – so können nie mehrere Accounts gefährdet sein, sollte ein Passkey missbraucht werden.

Quelle der Liste: BSI – Bundesamt für Sicherheit in der Informationstechnik

Die Sicherheit liegt also in der „Hardware“, dem Smartphone selbst oder noch besser auf einer separaten Karte bzw einem Stick. Schwierig wird es, wenn die Hardware kaputt geht oder verloren geht – dann braucht es eine weitere (sichere) Art zum Backup und Widerherstellung bzw. zum Zurücksetzen –(um richtig sicher zu sein, sollte das auch an einem „entfernten“ Ort aufbewahrt werden, um bei Brand oder Diebstahl nicht auch verlorgen zu gehen)

Dieses Sicherheitslevel ist jedoch für die meisten derzeit noch kaum darstellbar – vor Allem bei der Dynamik, mit der neue Zugänge, Plattformen etc. nach neuen Zugangsberechtigungen fragen. Der einfache „Passkey“ ist aber sehr gut und schnell umsetzbar.

Wer das Thema richtig vertiefen möchte, sollte sich das Video von Stefan Schumacher(Chaos Computer Club) ansehen: Link

MFA – Multifaktor Authentifizierung

Hier wird zum klassischen Passwort mindestens ein weiterer Faktor, z.B. einen Einmalcode aus einer App, einen Hardware-Token oder biometrischen Merkmal ergänzt (= der 2. Faktor). So wird die Gefahr, dass allein durch Passwortdiebstahl auf ein Konto zugegriffen wird, deutlich verringert.

Klassische MFA-Methoden sind weit verbreitet, allerdings gibt es Unterschiede in der Sicherheit, etwa zwischen SMS-Codes und Hardware-Token. Mit einiger Verzögerung wird diese Methode derzeit bei vielen vorgeschrieben oder zumindest optional angeboten. Diese Technologie – angefangen von der 2FA (2 Faktor Authentifizierung) in den späten 90er Jahren, gibt es als MFA seit cirka 15 Jahren also 2010.

Dafür gibt es diverse Apps, die nach dem „registrieren“ des Zugangs (oft über das abfotografieren eines QR codes oder der Eingabe eines langen Codes) einen eigenen, meist 6-stelligen Code erzeugen, der sich jedoch alle 30 Sekunden ändert. Nach der üblichen Eingabe von Benutzernamen und Passwort wird also dieser generierte Code eingegeben.

Persönlich nutze ich dafür meinen Passwort-Manager, der sowohl das Kennwort speichert, als auch das „OneTimePasswort“ (Einmalpasswort, weil es nach 30 Sekunden abläuft) generiert und direkt eingibt.

Besser ist auch hier die Verwendung eines Hardware „Dongels“ oder Karte (meist USB Stick oder NFC Technologie)

Was ist besser, oder brauche ich beides?

Beide Methoden erhöhen signifikant die Sicherheit von reinem Passwort-Login.

Passkeys bieten eine moderne, benutzerfreundliche Alternative zu Passwörtern und können, idealerweise in Kombination mit MFA, die Sicherheit noch weiter steigern. Wer also auf Nummer sicher gehen will, nutzt eine Kombination aus passwortloser Anmeldung und weiteren Faktoren.

Wem die Sicherheit der eigenen Daten (bevor sie weg sind) mehr Wert sind, leistet sich einen Passwort-Manager (gibts auch für Familien um gemeinsame Zugänge zu verwalten) oder Hardware-Sicherheit.

Wo sind die konkreten Empfehlungen?

Da ich weder die Verantwortung für Hersteller-Empfehlungen übernehmen kann und Euch auch nicht mit „Achtung Werbung“ Hinweisen langweilen möchte, verzichte ich auf die Nennung oder Verlinkung von Produkten. Fragt die KI Eures Vertrauens oder nutze Suchmaschinen, um Hersteller, Tests oder Vergleiche zu machen. Dabei lernt man auch eine Menge!