bk99.de entertain the web since 1997

bk99.de
Non-Functional · SicherheitKuratiert

Passkeys: Bequem, phishingsicher und mit einer Hintertür namens Attestation

Zusammenfassung

Der Artikel „Passkeys are a trap“ auf dem Blog Non-Functional warnt Nicht-Techniker vor Passkeys, weil Webseiten über Remote Attestation bestimmen könnten, welche Software und welches Betriebssystem man nutzen darf. Auf Hacker News sammelte er am 11. Oktober 2026 fast 900 Punkte und über 460 Kommentare. Der Kern der Warnung ist berechtigt, doch der Artikel unterschlägt fast bis zum Schluss den größten Vorteil von Passkeys: Sie lassen sich nicht abphishen.

Was Passkeys sind

Ein Passkey ist ein Schlüsselpaar nach dem WebAuthn-Standard der FIDO Alliance. Der private Schlüssel bleibt beim Nutzer, die Webseite kennt nur den öffentlichen. Bei der Anmeldung signiert das Gerät eine Anfrage, und zwar nur für genau die Domain, für die der Passkey angelegt wurde. Eine gefälschte Login-Seite bekommt deshalb nichts Verwertbares, anders als bei Passwort oder Einmalcode.

Der Artikel zeigt zu Recht, dass „Passkey“ kein einzelnes Ding ist, sondern ein Baukasten: kopierbar oder nicht, in Hardware gespeichert oder als Datei, mit oder ohne Fingerabdruck oder PIN. Für Laien ist kaum erkennbar, welche Variante sie gerade anlegen.

Der eigentliche Streitpunkt: Attestation

Mit Remote Attestation kann eine Webseite bei der Registrierung kryptografisch prüfen lassen, ob der Passkey aus einem zugelassenen Gerät oder Passwortmanager stammt. Damit ließen sich selbst geschriebene Passkey-Programme ablehnen, aber auch alternative Systeme wie Linux, LineageOS oder GrapheneOS ausschließen. Der Artikel befürchtet, dass Dienste das erst schrittweise und unauffällig einführen, wenn fast alle Nutzer Passkeys verwenden.

Diese Sorge ist nicht aus der Luft gegriffen. Bei Android-Apps sperren Prüfungen der Geräteintegrität schon heute oft Geräte mit eigener Firmware aus, etwa Banking-Apps auf Telefonen mit LineageOS.

Was der Artikel überzieht

Attestation gibt es nur bei der Registrierung eines Passkeys, nicht bei jeder Anmeldung, und Browser fragen dann ausdrücklich nach. Die synchronisierten Passkeys von Apple und Google liefern in der Praxis gar keine Attestation; Anbieter für Endkunden fordern sie deshalb meist nicht an. Bestehende Passkeys kann ein Dienst nicht nachträglich prüfen; er müsste eine neue Registrierung erzwingen, und das bliebe nicht unbemerkt.

Die Empfehlung, stattdessen TOTP zu nutzen, ist sicherheitlich ein Rückschritt: Einmalcodes lassen sich auf gefälschten Seiten abfangen und sofort weiterverwenden. Die Behauptung, die FIDO Alliance verwirre die Nutzer absichtlich, bleibt unbelegt. Unklare Begriffe erklärt Hanlons Rasiermesser einfacher als eine Verschwörung.

Was du tun kannst

Passkeys sind für die meisten Menschen deutlich sicherer als Passwörter mit Einmalcode. Wer die Kontrolle behalten will, sollte sie aber bewusst einsetzen: in einem portablen Passwortmanager statt nur im Konto eines großen Plattformanbieters, mit mehr als einem Passkey pro Konto und mit einem Ausweichweg für den Notfall. Die Übertragung von Passkeys zwischen Anbietern über die neuen FIDO-Formate CXF und CXP ist bisher nur teilweise umgesetzt.

Ideen

  • Passkeys sind an die Domain gebunden und deshalb gegen Phishing geschützt.
  • „Passkey“ bezeichnet viele Varianten mit sehr unterschiedlichen Eigenschaften.
  • Remote Attestation lässt Webseiten Gerät und Software des Nutzers bewerten.
  • Mehrere Passkeys pro Konto ersetzen die Kopierbarkeit eines einzelnen.

Einsichten

  • Mehr Sicherheit und mehr Kontrolle über die eigenen Geräte können in Konflikt geraten.
  • Ein Standard ist nur so offen wie die Optionen, die Anbieter tatsächlich verlangen.

Fakten

  • Der Artikel erschien am 10. Oktober 2026, die Diskussion auf Hacker News folgte am 11. Oktober.
  • Attestation wird nur bei der Registrierung eines Passkeys übermittelt.
  • WebAuthn Level 3 ergänzte Kennzeichen dafür, ob ein Passkey gesichert und synchronisiert wird.

Referenzen

Kritik

  • Den wichtigsten Sicherheitsvorteil, die Bindung an die Domain, erwähnt der Artikel erst in einem Nachtrag am Ende.
  • Die empfohlene Alternative TOTP ist gegen Phishing deutlich schwächer als ein Passkey.

Bemerkungen

  • Der Artikel erscheint unter dem Pseudonym „The Hack“ und richtet sich ausdrücklich an Nicht-Techniker.

Empfehlungen

  • Lege Passkeys in einem portablen Manager wie KeePassXC oder Bitwarden ab, wenn dir Kontrolle wichtig ist.
  • Richte für wichtige Konten mindestens zwei Passkeys auf verschiedenen Geräten oder Schlüsseln ein.
  • Lehne Attestation-Anfragen im Browser ab, wenn ein Dienst sie ohne erkennbaren Grund verlangt.
  • Behalte für jedes wichtige Konto einen dokumentierten Wiederherstellungsweg.

Originalartikel lesen

Im Webarchiv suchen

g · 2016

SSH-Hintertür auch bei Fortinet?

Im Januar 2016 tauchte auf Full Disclosure ein Python-Skript auf, das unautorisierten SSH-Zugang zu Fortinets FortiGate-Firewalls der Versionen 4.x bis 5.0.7 verschaffte. Der undokumentierte Mechanismus sah verdächtig wie eine Hintertür aus; Fortinet hatte das Problem bereits 2014 still behoben. Kurz zuvor hatte Juniper eingestehen müssen, dass seine Produkte mehrere Hintertüren enthielten.

Eigenes Projekt · 2026

SYN-ACK-Reflexion: Wenn der eigene Webserver für einen fremden Angriff arbeitet

Im Oktober 2026 zeigte das Firewall-Log meines Heimnetzes plötzlich Hunderte Verbindungsversuche auf meinen Reverse Proxy, alle aus zwei Netzen eines polnischen Providers. Die Auswertung ergab gebastelte SYN-Pakete, auf deren Antwort nie jemand reagierte, und damit sehr wahrscheinlich keinen Angriff auf mich, sondern einen auf das Netz der angeblichen Absender. Dieser Beitrag zeigt, woran man eine SYN-ACK-Reflexion erkennt, warum meine Ländersperre nicht gegriffen hat und wie ich die Pakete mit OPNsense befristet verwerfe.