Die Zukunft des Logins mit Haken: Wir zeigen, bei welchen Webseiten Passkeys noch nicht wirklich funktionieren

Stellen Sie sich eine Welt vor, in der Passwörter der Vergangenheit angehören. Eine Welt, in der Phishing-Attacken ein Relikt sind und die Anmeldung mit einem einfachen Fingerabdruck, Gesichtsscan oder PIN so selbstverständlich ist wie das Entsperren Ihres Smartphones. Klingt verlockend, oder? Genau das versprechen uns Passkeys. Sie gelten als die strahlende Zukunft des Logins, eine Revolution, die das Internet sicherer und benutzerfreundlicher machen soll. Doch wie so oft bei neuen Technologien, ist der Weg von der Vision zur flächendeckenden Realität steinig. Während große Tech-Giganten die neue Ära bereits enthusiastisch einläuten, gibt es noch zahlreiche Webseiten und Dienste, bei denen Passkeys noch nicht wirklich funktionieren – oder gar nicht erst angeboten werden. Wir beleuchten, wo die Haken liegen und was das für Sie als Nutzer bedeutet.

Die Verheißung der Passkeys: Was steckt dahinter?

Bevor wir uns den Stolpersteinen widmen, lassen Sie uns kurz klären, was Passkeys überhaupt sind. Im Kern handelt es sich um eine Form der passwortlosen Authentifizierung, die auf dem WebAuthn-Standard basiert und von der FIDO-Allianz (Fast IDentity Online) vorangetrieben wird. Statt eines unsicheren, merkbaren Passworts, das anfällig für Datendiebstahl und Phishing ist, verwendet ein Passkey ein kryptografisches Schlüsselpaar. Dieses besteht aus einem öffentlichen und einem privaten Schlüssel.

• Der öffentliche Schlüssel wird auf dem Server der Webseite gespeichert.
• Der private Schlüssel verbleibt sicher auf Ihrem Gerät (Smartphone, Laptop, Tablet) und wird durch biometrische Merkmale (Fingerabdruck, Gesichtserkennung) oder eine PIN geschützt.

Wenn Sie sich anmelden, sendet die Webseite eine Anfrage an Ihr Gerät. Ihr Gerät signiert diese Anfrage mit Ihrem privaten Schlüssel. Stimmt die Signatur mit dem öffentlichen Schlüssel auf dem Server überein, sind Sie angemeldet. Der Clou: Der private Schlüssel verlässt niemals Ihr Gerät. Das macht Passkeys extrem phishing-resistent, da selbst bei einem gefälschten Login-Versuch der private Schlüssel nicht offengelegt wird.

Die Vorteile sind unbestreitbar: Mehr Sicherheit, da es keine Passwörter mehr zu erraten oder zu stehlen gibt. Mehr Komfort, da das mühsame Merken komplexer Zeichenketten entfällt und die Anmeldung mit einem einfachen Tipp oder Scan erfolgt. Und bessere Benutzerfreundlichkeit, da der Anmeldevorgang auf verschiedenen Geräten nahtlos synchronisiert werden kann, beispielsweise über die iCloud Schlüsselbund, Google Password Manager oder andere spezialisierte Passkey-Manager.

Der Hype ist real – aber die Realität hinkt nach

Große Namen wie Apple, Google und Microsoft haben sich dem Passkey-Standard verschrieben und treiben die Technologie massiv voran. Services wie Google-Konten, Apple-IDs, Microsoft-Konten, PayPal, Amazon, eBay, Best Buy, Shopify und sogar WhatsApp bieten bereits die Möglichkeit, sich mit Passkeys anzumelden. Das ist ein starkes Signal und zeigt, wohin die Reise geht. Diese Vorreiterrolle der Tech-Riesen hat das Bewusstsein für Passkeys geschärft und die Erwartungen hochgeschraubt.

Doch abseits dieser Leuchttürme ist die Landschaft noch immer von einer Patchwork-Decke geprägt. Viele Webseiten und Online-Dienste sind noch nicht auf den Passkey-Zug aufgesprungen. Dies liegt an einer Vielzahl von Gründen, die von technischen Hürden bis hin zu strategischen Überlegungen reichen.

Warum die Verzögerung? Die Haken der Passkey-Adoption

Die Gründe für die schleppende Einführung von Passkeys bei vielen Webseiten sind vielfältig und komplex:

1. Technische Integrationshürden: Die Umstellung auf ein passwortloses System erfordert erhebliche Änderungen an den bestehenden Authentifizierungssystemen. Viele Unternehmen nutzen seit Jahren bewährte, aber veraltete Infrastrukturen, die eine Integration von WebAuthn und Passkeys erschweren oder teuer machen. Die Entwicklung, das Testen und die Bereitstellung neuer Login-Mechanismen sind zeit- und ressourcenintensiv.
2. Kosten und Ressourcen: Gerade kleinere und mittelständische Unternehmen (KMU) haben oft nicht die finanziellen Mittel oder das spezialisierte Personal, um frühzeitig in neue Technologien wie Passkeys zu investieren. Die Priorität liegt oft auf dem Kerngeschäft, nicht auf der Login-Technologie, solange das alte System „funktioniert”.
3. Fehlendes Bewusstsein und mangelndes Verständnis: Obwohl Passkeys sich durchsetzen, ist das Konzept für viele Entwickler und Betreiber von Webseiten noch neu. Es fehlt oft an ausreichendem Wissen über die Vorteile, die Implementierung und die Best Practices. Auch die Benutzerakzeptanz muss mitgedacht werden – ein neues System erfordert oft Erklärung und Vertrauensaufbau.
4. Regulatorische und Compliance-Anforderungen: Insbesondere im Finanz- und Gesundheitssektor unterliegen Webseiten strengen regulatorischen Vorschriften. Neue Authentifizierungsmethoden müssen gründlich geprüft und genehmigt werden, was den Einführungsprozess erheblich verlangsamen kann, selbst wenn sie sicherer sind.
5. Komplexität bestehender Identitäts- und Zugriffsmanagement (IAM)-Systeme: Größere Unternehmen verfügen oft über komplexe IAM-Lösungen, die für Single Sign-On (SSO) oder Multi-Faktor-Authentifizierung (MFA) konzipiert sind. Die Integration von Passkeys in diese bestehenden Ökosysteme kann eine Mammutaufgabe sein und erfordert eine sorgfältige Planung, um Kompatibilität und Sicherheit zu gewährleisten.
6. Fehlende Standardisierung bei der Wiederherstellung: Ein häufig genannter Punkt ist die Frage, was passiert, wenn alle mit Passkeys verbundenen Geräte verloren gehen oder beschädigt werden. Zwar bieten Plattformen wie Google und Apple eigene Wiederherstellungsoptionen, aber eine universelle, plattformübergreifende Lösung ist noch nicht etabliert, was einige Anbieter zögern lässt.

Wo Passkeys noch nicht wirklich funktionieren: Die Problemfälle

Wer sich auf das Passkey-Abenteuer einlässt, wird schnell feststellen, dass es trotz des Fortschritts noch viele Bereiche gibt, in denen die passwortlose Anmeldung nicht verfügbar ist. Hier sind einige typische Beispiele:

1. Kleinere Online-Shops und Nischenanbieter

Während große E-Commerce-Plattformen wie Amazon oder eBay Passkeys anbieten, sieht es bei vielen kleineren Online-Shops anders aus. Diese nutzen oft Standard-Shop-Systeme oder ältere Eigenentwicklungen, die nicht sofort mit den neuesten Authentifizierungstechnologien kompatibel sind. Hier wird man sich weiterhin mit Benutzername und Passwort anmelden müssen – und hoffentlich mit einer zusätzlichen Zwei-Faktor-Authentifizierung (2FA).

2. Regionale Banken und Finanzdienstleister

Es mag paradox klingen, aber einige Banken und Finanzdienstleister, die eigentlich an der Spitze der Sicherheit stehen sollten, hinken bei der Passkey-Einführung hinterher. Während internationale Player oder digitale Neobanken Vorreiter sind, setzen viele regionale Banken weiterhin auf etablierte TAN-Verfahren und Login-Masken mit Passwörtern. Die hohen regulatorischen Hürden und der oft konservative Ansatz bei Sicherheitsinnovationen bremsen hier die Entwicklung.

3. Öffentliche Verwaltungen und Behördenportale

Regierungs- und Behördenwebseiten sind berüchtigt für ihre zögerliche Modernisierung, insbesondere im Bereich der digitalen Identität. Obwohl es Initiativen wie die E-ID gibt, sind Passkeys hier noch selten anzutreffen. Die Einführung von Passkeys würde eine umfassende Abstimmung und Investition in eine ohnehin schon komplexe Infrastruktur erfordern.

4. Ältere Foren, Blogs und Community-Plattformen

Viele Webseiten, die schon seit Jahren bestehen und auf älteren Content-Management-Systemen (CMS) oder Forensoftware basieren, sind oft technisch nicht auf dem neuesten Stand. Ein Update des Login-Systems wäre hier mit erheblichem Aufwand verbunden. Nutzer dieser Plattformen müssen sich daher weiterhin auf traditionelle Passwörter verlassen.

5. Viele Social-Media- und Entertainment-Dienste

Während einige große soziale Netzwerke und Streaming-Dienste Passkeys bereits integriert haben, gibt es immer noch viele, die abwarten. Manchmal liegt es an der Priorität, manchmal an der Komplexität der Migration von Millionen bestehender Nutzerkonten. Auch hier heißt es: Geduld haben oder auf traditionelle Methoden zurückgreifen.

6. Unternehmensinterne Anwendungen und Legacy-Systeme

In vielen Unternehmen sind interne Anwendungen und Legacy-Systeme im Einsatz, die über Jahrzehnte gewachsen sind. Diese Systeme sind oft tief in die Geschäftsprozesse integriert und eine Umstellung des Authentifizierungsmechanismus ist extrem aufwendig und risikoreich. Mitarbeiter werden hier noch lange Zeit mit traditionellen Logins arbeiten müssen.

7. Dienste mit komplexen Single Sign-On (SSO)-Lösungen

Einige Unternehmen nutzen eigene, hochkomplexe SSO-Lösungen, die darauf ausgelegt sind, den Zugang zu Dutzenden oder Hunderten von internen und externen Anwendungen zu verwalten. Die Integration von Passkeys in solche maßgeschneiderten Systeme erfordert eine sorgfältige Planung und oft eine vollständige Überarbeitung der Identitätsarchitektur.

Was tun, wenn Passkeys nicht verfügbar sind?

Die gute Nachricht ist: Sie sind nicht hilflos, wenn eine Webseite noch keine Passkeys unterstützt. Hier sind einige bewährte Strategien:

• Starke, einzigartige Passwörter verwenden: Das A und O der Online-Sicherheit bleibt ein starkes Passwort, das aus einer langen, zufälligen Kombination von Buchstaben, Zahlen und Sonderzeichen besteht. Und ganz wichtig: Verwenden Sie niemals dasselbe Passwort für mehrere Dienste!
• Passwort-Manager nutzen: Ein Passwort-Manager generiert und speichert sichere Passwörter für Sie. Er füllt sie automatisch in die Login-Felder ein, sodass Sie sich keine Passwörter merken müssen. Viele Passwort-Manager unterstützen auch die Speicherung von Passkeys, sobald diese breiter verfügbar sind.
• Zwei-Faktor-Authentifizierung (2FA/MFA) aktivieren: Wo immer verfügbar, aktivieren Sie die 2FA oder MFA. Dies bietet eine zusätzliche Sicherheitsebene, oft in Form eines Einmalcodes von einer Authentifikator-App oder per SMS, selbst wenn Ihr Passwort kompromittiert wird.
• Regelmäßig auf Updates prüfen: Viele Webseiten informieren über neue Funktionen. Halten Sie Ausschau nach Ankündigungen bezüglich „passwortlosem Login” oder „Passkey-Unterstützung”.

Der Blick in die Zukunft: Wann werden Passkeys zur Norm?

Trotz der aktuellen Hürden ist es unbestreitbar, dass Passkeys die Zukunft des Logins sind. Die Vorteile in Bezug auf Sicherheit und Komfort sind zu groß, um ignoriert zu werden. Die Einführung wird kein Big Bang, sondern ein gradueller Prozess sein, vergleichbar mit der Einführung von 2FA oder HTTPS.

Experten prognostizieren, dass die Passkey-Adoption in den nächsten Jahren massiv zunehmen wird, angetrieben durch:

• Zunehmenden Druck durch die Big Player: Je mehr große Dienste Passkeys anbieten, desto höher wird der Erwartungsdruck auf andere Anbieter.
• Verbesserte Entwicklungstools: Die Tools und Bibliotheken zur Implementierung von Passkeys werden einfacher und zugänglicher, was die Hürden für Entwickler senkt.
• Steigendes Nutzerbewusstsein: Je mehr Nutzer Passkeys erleben und schätzen lernen, desto größer wird die Nachfrage sein.
• Regulatorische Anreize: Möglicherweise werden Regierungen oder Branchenverbände Standards einführen, die sichere Authentifizierungsmethoden wie Passkeys favorisieren.
• Konkurrenzdruck: Unternehmen, die nicht mithalten, könnten als unsicher oder rückständig wahrgenommen werden.

Es wird eine Übergangszeit geben, in der Passwörter und Passkeys nebeneinander existieren. Doch der Trend ist klar: Die Zeit der unsicheren, schwer merkbaren Passwörter neigt sich dem Ende zu. Die Herausforderung besteht nun darin, diese spannende neue Technologie flächendeckend und reibungslos zu implementieren.

Fazit: Auf dem Weg zur passwortlosen Zukunft

Passkeys sind nicht nur eine technische Neuerung, sondern ein Paradigmenwechsel in der Online-Authentifizierung. Sie versprechen ein höheres Maß an Sicherheit und Benutzerfreundlichkeit, das mit Passwörtern niemals erreichbar war. Aktuell befinden wir uns noch in einer Übergangsphase, in der die Passkey-Adoption noch ungleichmäßig verteilt ist und viele Webseiten noch keine Unterstützung bieten. Dies führt zu Frustration, wenn man sich auf die neue, bequeme Anmeldemethode verlassen möchte, aber dann doch wieder zum altbewährten Passwort greifen muss.

Doch die Richtung ist vorgegeben. Es ist eine Frage der Zeit, bis Passkeys zum Standard werden und das Eingeben von Passwörtern als eine unschöne Erinnerung an die digitale Steinzeit gilt. Bis dahin ist es wichtig, die Augen offen zu halten, wo Passkeys bereits funktionieren, und bei Diensten ohne Passkey-Unterstützung weiterhin auf bewährte Sicherheitsmaßnahmen wie starke Passwörter und 2FA zu setzen. Die Zukunft des Logins ist passwortlos – auch wenn der Weg dorthin noch einige Haken mit sich bringt.