BSVÖ barrierefrei erklärt: Passkeys - passwortlose Alternativen
barrierefrei erklärt © BSVÖ
barrierefrei erklärt: Passkeys
Muss man sich in Passwort mit Sonderzeichen aus 10 Zeichen, 2 Großbuchstaben und 4 Sonderzeichen wirklich merken? Mit Passkeys gibt es eine Möglichkeit, sich passwortlos und trotzdem sicher anzumelden. Wie funktioniert das? Wie weit ist diese Technik verbreitet? Was bedeutet das für blinde und sehbehinderte Menschen? Diesen Fragen wollen wir in diesem Artikel auf den Grund gehen.
Was sind Passkeys und wie funktionieren sie technisch?
Passkeys sind ein kryptografisches Schlüsselpaar. Der private Schlüssel ist am eigenen Gerät hinterlegt und der öffentliche beim jeweiligen Online-Dienst. Beide passen gemäß des Schlüssel-Schloss-Prinzips zueinander. Wenn ich mich anmelde, stellt das Gerät den privaten Schlüssel für den Abgleich bereit. Dieser wird entweder per Fingerabdruck, Gesichtserkennung oder Geräte-PIN bestätigt, somit freigegeben und die Anmeldung ermöglicht. Das Verfahren beruht auf dem offenen Standard FIDO2 (Fast Identity Online).
Eine Frage, die man sich nun vielleicht stellt, ist: Was passiert mit meinen Daten? Sind meine biometrischen Daten sprich Gesichtserkennung oder Fingerabdruck sicher? Die Antwort ist einfach: Die Daten verbleiben sicher am Gerät und werden nicht an den Online-Dienst übermittelt.
Eine weitere wichtige Eigenschaft von Passkeys ist, dass sie meist gerätegebunden sind. Kann der Passkey nicht durch Synchronisierung des alten Geräts mit dem neuen verfügbar gemacht werden, muss ich den Passkey erneut einrichten.
Passkeys sind ein sicheres Anmeldeverfahren. Sie schützen beispielsweise gut vor Phishing-Angriffen, weil sie technisch an den jeweiligen Dienst gebunden sind. Ein Angreifer kann ein Passwort bzw. eine Zeichenfolge abfragen, einen Passkey jedoch nicht einfach übernehmen oder erraten.
Quelle und weitere Informationen zum Thema Phishing-Schutz: ORF Informationen zum Thema Passkeys und Phishing-Schutz
Wie stark werden Passkeys genutzt?
Wie weit verbreitet sind sie? Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu eine Befragung beauftragt. Zwischen dem 26. März und dem 16. Mai 2024 wurde eine repräsentative Online-Befragung mit 1.519 Personen ab 16 Jahren durchgeführt. 38 Prozent der Befragten kennen Passkeys zumindest dem Begriff nach. 18 Prozent geben an, Passkeys bereits zu nutzen.
Was den Nutzer:innen besonders gefällt, sind die einfache Einrichtung, die schnelle Anmeldung und die Nutzerfreundlichkeit. Ein wichtiges Ergebnis der Befragung ist auch: Passkeys sind für viele Menschen noch schwer als solche erkennbar; teils werden sie auch mit anderen biometrischen Verfahren verwechselt. Das bedeutet: Viele Personen erkennen Passkeys nicht als eigene Möglichkeit und können sie daher (noch) nicht nutzen.
Quelle: BSI-Befragung „Verbraucherbefragung zur passwortlosen Authentisierung mit Passkeys“
Barrierefreie Authentifizierung als Voraussetzung digitaler Teilhabe
Was findet man in den Web Content Accessibility Guidelines (WCAG) 2.2 zum Thema der barrierefreien Anmeldung? Wir finden in den WCAG das Erfolgskriterium, dass Anmeldeverfahren bzw. Logins keine kognitiven Funktionstests beinhalten dürfen. Sind solche Tests Teil der Authentifizierung, müssen alternative Anmeldeverfahren oder unterstützende Mechanismen bereitgestellt werden.
Quelle: W3C Web Content Accessibility Guidelines (WCAG) 2.2 (englisch): WCAG 2.2
Passkeys als solche werden in den WCAG 2.2 nicht explizit genannt. Sie können aber bei der barrierefreien Authentifizierung eine wichtige Rolle spielen.
Wahlfreiheit beim Anmeldeverfahren
Zu bedenken ist jedoch, dass immer auch eine alternative Anmeldemöglichkeit existieren sollte. Sei es, weil sich der User auf einem neuen Gerät anmelden möchte, sei es, dass ein User diese Technik nicht anwenden möchte, dass sie im spezifischen Falle nicht zugänglich ist etc.
Die Perspektive blinder und sehbehinderter Nutzer:innen
Passkeys können für blinde und sehbehinderte Menschen eine gut zugängliche Anmeldemöglichkeit darstellen. Bei klassischen Anmeldeverfahren mit Passwort gibt es oft eine Reihe von Hürden, beispielsweise die Eingabe komplexer Zeichenfolgen oder die Tatsache, dass eine Bestätigung innerhalb eines bestimmten kurzen Zeitraums erfolgen muss. Dies entfällt bei Passkeys. Sie können für blinde und sehbehinderte Menschen einen Schritt zu mehr digitaler Selbstbestimmung darstellen.
Quellenübersicht
World Wide Web Consortium (W3C): Web Authentication API (WebAuthn)
https://www.w3.org/TR/webauthn/
WCAG 2.2
FIDO Alliance: Passkeys – technische Grundlagen
https://fidoalliance.org/passkeys/
ORF: Informationen zu Passkeys und Phishing-Schutz
https://help.orf.at/stories/3230670/
Bundesamt für Sicherheit in der Informationstechnik (BSI): Verbraucherbefragung zur passwortlosen Authentisierung mit Passkeys
https://www.infogmbh.de/bsi-studie-2024-passkeys/
Downloads der Datensätze und Datenstrukturen: Verbraucherbefragung zur passwortlosen Authentisierung mit Passkeys