Google: Passkeys für Google-Konten verfügbar
von caschy | 22 Kommentare
Seit einiger Zeit arbeiten Apple, Google, Microsoft und andere in der Branche an einer einfacheren und sichereren Alternative zu Passwörtern, den Passkeys.
Letztes Jahr hat Google – gemeinsam mit der FIDO Alliance, Apple und Microsoft – angekündigt, dass man mit der Unterstützung von Passkeys auf der Plattform beginnen werde, um eine einfachere und sicherere Alternative zu Passwörtern zu bieten.
Und heute, noch vor dem Welt-Passwort-Tag, hat man damit begonnen, die Unterstützung für Passwörter in Google-Konten auf allen wichtigen Plattformen einzuführen. Sie werden eine zusätzliche Option sein, die Nutzer neben Passwörtern, 2-Schritt-Verifizierung (2SV) usw. zur Anmeldung verwenden können.
Seit heute sind Passkeys für Google-Konten verfügbar. Nutzer können sie hier ausprobieren und die Einrichtung ist einfach. Für Google Workspace-Konten werden Administratoren bald die Möglichkeit haben, Passkeys für ihre Endnutzer während der Anmeldung zu aktivieren.
Was sind Passkeys?
Passkeys wurden entwickelt, damit Benutzer sich ohne Passwörter bei Websites und Apps anmelden können und das Benutzererlebnis bequemer und sicherer wird. Passkeys sind eine standardbasierte Technologie, die im Gegensatz zu Passwörtern Phishing-sicher und immer robust ist. Sie wurden so entwickelt, dass es keine Shared Secrets mehr gibt. Sie vereinfachen die Accountregistrierung für Apps und Websites und sind einfach zu verwenden.
Passkeys basieren auf dem Standard „WebAuthentication“ (oder „WebAuthn“), bei dem die Verschlüsselung mit öffentlichen Schlüsseln erfolgt. Während der Accountregistrierung erstellt das Betriebssystem ein eindeutiges verschlüsseltes Schlüsselpaar, das mit einem Account für die App oder Website verknüpft wird. Diese Schlüssel werden vom Gerät sicher und eindeutig für jeden Account generiert.
Einer dieser Schlüssel ist öffentlich und wird auf dem Server gespeichert. Dieser öffentliche Schlüssel ist nicht geheim. Der andere Schlüssel ist privat und wird für die eigentliche Anmeldung benötigt. Der Server erfährt nie, wie der private Schlüssel lautet. Es wird kein Shared Secret übertragen, und der Server muss den öffentlichen Schlüssel nicht schützen. Dadurch sind Passkeys sehr sichere und einfach zu verwendende Anmeldedaten, die gut vor Phishing geschützt sind. Und die Plattformanbieter haben in der FIDO Alliance zusammengearbeitet, um sicherzustellen, dass Passkey-Implementierungen plattformübergreifend kompatibel sind und auf so vielen Geräten wie möglich funktionieren.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Wie bekomme ich so einen Passkey auf meinen PC ohne das über das Handy zu machen ? Am besten auch noch irgendwie in Bitwarden speichern.
Mit Chrome sollte es auf dem PC funktionieren, der Passkey ist dann allerdings nur in Chrome nutzbar. Bitwaren kann, soweit ich weiß, noch keine Passkeys speichern.
Hab’s gerade selber ausprobiert. Auf dem Win 10 Firmenlaptop mit Chrome funktioniert es nicht, anscheinend muss dafür Windows Hello aktiviert sein.
Auf dem Iphone absolut easy, der Passkey ist dann sofort über den Schlüsselbund auch auf dem ipad verfügbar. Trotzdem hätte ich für die Zukunft auch gerne die Option die Passkeys offline zu sichern.
Ich glaube die Idee ist, dass man keinen wirklich Zugriff auf den SecretKey hat, um den auch nicht versehentlich zu verteilen. Gerade mit SmartCards (jede Bankkarte) oder den FIDO Keys wird es ja erst recht erschwert, den privaten Schlüssel jemals zu Gesicht zu bekommen, wobei bei ersterem das wieder oft nur ein Shared Secret ist.
und wo kann ich das jetzt nutzen? hab passkey über Google eingerichtet, aber trotzdem kann ich bei PayPal, eBay usw. Mich nur mit Nutzername & Passwort anmelden…
Zur Anmeldung bei Google. Für andere Dienste müssen eigene Passkeys eingerichtet werden, wenn sie das dann irgendwann mal anbieten.
Dein Handy ist in dem Fall der 2 Faktor bzw. es ermächtigt dich, dich ohne Passwort einfach anzumelden. Dazu musst du es allerdings per Kabel an den PC klemmen.
Kamera des Smartphones und QR Code reichen. 😉 das mit dem Kabel ist Quatsch.
Ohje, womit das ganze Ding schon wieder komplett unsicher ist.
QR-Code und Login auf vernünftigem Sicherheitsniveau schließt sich praktisch gegenseitig aus (Stichwort QRL-Jacking).
Bitte beschäftige dich zuerst mit der Thematik bevor du hier irgendwas raus haust – du brauchst zwingend Bluetooth für die genannte Funktionalität um genau das Risiko zu minimieren.
Es zwingt dich auch keiner deine Passkeys bei Google/Apple zu speichern (obwohl das 99% so machen werden) – du kannst auch dein Windows Device als Platform Authenticator nutzen (Windows Hello) oder klassisch einen Yubikey oder ähnliches mit FIDO wenn du noch mehr Sicherheit möchtest – ist halt nicht ganz so praktisch dann.
Sehr schön. Endlich ein erster Dienst der passkeys unterstützt für den Login. Funktioniert ohne Probleme bei mir. Jetzt müssen es nur noch Strongbox (Keepass) oder Bitwarden importieren können aus dem iCloud Schlüsselbund.
Konnte zwar einen Passkey erstellen aber muss dennoch bei der Anmeldung mein Passwort eingeben – das ist doch so nicht gedacht oder?
Andere Option als Login wählen und Passkey auswählen. Je öfter man sich über Passkey einloggt desto öfter wird die als erste Login Option angeboten. Bzw. Wenn man öfter auf Passwort Option nutzt dann eben das Passwort als erste Option beim Login vorhanden. Steht in den Details zu passkeys auf der google Seite.
Passkeys sollten das Ende des Passworts einleiten – und jetzt ersetzen sie gerade mal den zweiten Faktor bei 2FA. Dadurch ist kein einziges Passwort entfallen. Wie kommt es, dass so wenig Anbieter Passkey konsequent nutzen? Ich kenne nur eBay.
Nein da hast du es falsch verstanden, passkey ist kein zweiter Faktor sondern komplett eigenständig.
Du hast schon noch ein Passwort aber nur als Fallback.
irgendwann wird man das Passwort bestimmt auch Mal deaktivieren können.
Passkeys stehen erst am Anfang. Das wird noch laaaaannngggeee Dauern, bis sich sowas durchsetzt.
Hast Du es ausprobiert? Scheinbar nicht. Die Passkeys ersetzen nicht den zweiten Faktor, sondern die Eingabe von Benutzername+Passwort, im Prinzip wie eine Art Zertifikat, nur mit sehr viel einfacherem Handling.
Ich hab einen Passkey erstellt (mit meinem iPhone) und soll jetzt beim Anmelden mit dem iPhone einen QR Code mit dem iPhone scannen? Verstehe ich nicht wie das gehen soll?
Ja, so geht es mir auch. Lediglich auf dem (parallel eingeschalteten) Android Handy funktioniert das wie erwartet. Offenbar ist die Unterstützung via iPhone so noch nicht möglich. Ich deaktiviere das ganze daher auch wieder.
Bei mir funktioniert es ohne Probleme. Anmeldung auf meinem Macbook Air im Chrome an meinem Google-Konto, Scannen des QR-Codes mit der Kamera-App des iPhone und den Anweisungen auf dem Bildschirm folgen, eingeloggt.
Also brauche ich zusätzlich zum iPhone zwingend ein Zweitgerät.
Bin gespannt ob Passwortmanager das wirklich zeitnah untestützen werden. Zeit genug hatten sie ja, technisch neu ist es auch nicht. 1Passswort mit seinem 1000 Angestellten angeblich nächsten Monat?
Na, nun kommen die Wetten, welcher Passwortmanager eine Exportierung anbieten wird. Kann ich mir bei 1Password nicht vorstellen.