Apple, Google und Microsoft machten Passkeys geräteübergreifend synchron – und plattformübergreifend

Bis 2022 war das Passwort das am besten dokumentierte Sicherheitsloch des Internets: Schwache und leicht zu erratende Zugangsdaten waren laut dem jährlichen Datenleckbericht von Verizon, aus dem TechCrunch zitierte, an mehr als 80 % der Datenschutzverletzungen beteiligt. Die FIDO Alliance und das W3C hatten seit 2018 eine technische Antwort – WebAuthn, das jede Website mit einem auf dem Gerät des Nutzers erzeugten Schlüsselpaar signiert, sodass Server kein Geheimnis besitzen, das sich zu stehlen lohnt, und Phishing-Seiten nichts erhalten. Dennoch blieb die passwortlose Anmeldung eine Nische für Sicherheitsschlüssel im Unternehmensbereich.

Der Blocker war Logistik, nicht Kryptografie. Ein FIDO-Zugangsnachweis lebte auf einem Gerät und musste auf jedem neuen Telefon oder Laptop Website für Website neu registriert werden, sodass eine normale Person mit drei Geräten sich das nie antun würde. Am Welt-Passwort-Tag, dem 5. Mai 2022, verpflichteten sich Apple, Google und Microsoft gemeinsam, genau das innerhalb eines Jahres zu beheben: Passkeys sollten über die Geräte eines Nutzers synchronisiert werden, ein Telefon sollte sich bei Apps auf einem nahegelegenen Computer anmelden können, und das Ganze sollte über macOS/Safari, Android/Chrome und Windows/Edge hinweg funktionieren – ein iPhone-Passkey, der sich bei Chrome auf einem Windows-PC anmeldet.

Zwei Monate später, auf der WWDC, brachte Apple Passkeys in die Betas von iOS 16 und macOS Ventura und gab dem Feature sogar ein Icon. Und im August 2022 bestätigte Microsofts Identity-VP Alex Simons das dritte Puzzleteil: Alle drei Unternehmen würden das gemeinsame Substantiv „Passkey“ verwenden – nicht „FIDO-Authentifizierung“ –, damit normale Nutzer einen einzigen Namen antreffen, egal wessen Gerät sie in der Hand halten. Niemand beanspruchte das Wort als Marke.

Warum das funktionierte: Die drei Rivalen besitzen nicht den FIDO-Standard, aber sie besitzen seine Verbreitung – Betriebssysteme, Browser und die Credential-Clouds, die bereits auf Milliarden von Geräten vorhanden sind. Eine gleichzeitige plattformübergreifende Verpflichtung verwandelte ein Protokoll, das vier Jahre lang festgesteckt hatte, in ein Feature, das den Menschen tatsächlich in die Hand gegeben würde. CISA-Direktorin Jen Easterly befürwortete den Schritt öffentlich als Anhebung der Cybersicherheitsgrundlage.

Den Zugangsnachweis wie ein Passwort synchronisieren – und ihn phishing-sicher halten

Das alte FIDO-Bereitstellungsmodell erforderte eine Neu-Registrierung pro Gerät und pro Website, was kein Verbraucher mit mehreren Geräten jemals tun würde; die Cloud-Synchronisierung senkte diese Kosten auf null, während die Phishing-Resistenz erhalten blieb.

Alle drei Plattformanbieter verpflichteten sich gleichzeitig, sodass kein Nutzer einem proprietären passwortlosen Silo gegenüberstand – das Silo-Problem war es, das frühere Einzelanbieter-Schemata zunichtemachte.

Die Einigung auf „Passkey“ als schlichtes gemeinsames Substantiv gab dem Standard einen einzigen verbrauchergerichteten Namen; die letzte Meile eines technischen Standards ist das Vokabular.

Die Nutzung des Telefons als roamingfähiger Authenticator bedeutete, dass ältere Laptops übernehmen konnten, ohne Hardware-Sicherheitsschlüssel zu kaufen.

Wenn ein Standard feststeckt, lies den Registrierungsablauf, nicht die Spezifikation. Das Protokoll von 2018 war fertig; was 2022 zählte, waren Synchronisierung, ein gemeinsamer Start und ein schlichter Name. Die Verbreitung war der Burggraben.

Apple demonstrierte Passkeys auf der WWDC 2022 und lieferte sie im Sommer in den Betas von iOS 16 und macOS Ventura aus; Google erklärte, die Android-Entwicklerwerkzeuge würden „gegen Ende 2022“ öffnen; Microsoft verpflichtete sich, „in naher Zukunft“ die Anmeldung mit Microsoft-Konten über Telefon-Passkeys zu ermöglichen. Bis August 2022 hatten sich die drei auch auf den Namen „Passkey“ geeinigt, und der CISA-Direktor nannte das gemeinsame Versprechen einen Meilenstein für die Anhebung der Sicherheitsgrundlage Amerikas.