Passkeys
Passkeys sind Anmeldedaten ohne Passwort, die auf asymmetrischer Kryptografie nach den FIDO- und WebAuthn-Standards beruhen und an eine bestimmte Website gebunden sind.
Bei einem Passkey erzeugt das Gerät ein Schlüsselpaar für genau eine Website. Der private Schlüssel bleibt auf dem Gerät oder im Passwortmanager, die Website speichert nur den öffentlichen Schlüssel. Bei der Anmeldung signiert das Gerät eine Herausforderung der Website, nachdem die Person sich mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN ausgewiesen hat. Weil der Passkey an die Domain gebunden ist, funktioniert er auf einer gefälschten Seite nicht.
Für Agenten sind Passkeys der sichere Weg, wie ein Mensch ein Mandat bestätigt. Der Agent selbst sollte den Passkey seiner Auftraggeberin nie erhalten: Er bekommt ein eigenes Mandat mit Grenzen statt ihrer vollen Anmeldung.
Beispiel
Eine Kundin richtet für ihren Einkaufsagenten ein Mandat bis 200 Franken ein und bestätigt es mit dem Passkey ihres Smartphones. Der Agent erhält nur das Mandat, nicht ihren Zugang zum Konto. Will er mehr ausgeben, muss sie erneut bestätigen.
Abgrenzung
Ein Passkey belegt, dass eine Person sich anmeldet, ein Mandat, was ihr Agent danach darf. Die starke Kundenauthentifizierung im Zahlungsverkehr kann mit Passkeys erfüllt werden, betrifft aber Zahlungen, nicht Befugnisse von Agenten.
In der Praxis
- Lassen Sie Mandate mit Passkey bestätigen, statt Agenten Zugangsdaten zu geben.
- Geben Sie einem Agenten nie den Passkey oder das Passwort seiner Auftraggeberin.
- Verlangen Sie für Erweiterungen eines Mandats eine erneute Bestätigung.
Bezug zu KYA
KYA prüft keine Passkey-Anmeldungen. Eine mit Passkey bestätigte Ausstellung eines Mandats stärkt aber die Herkunft des Mandats; geprüft wird dann das Mandat selbst.
Zugehöriger Prüfschritt: Agent und Auftraggeber (subject_agent_binding). Nennen alle Teile denselben Agenten, ist der Auftraggeber benannt, hält der Agent den gebundenen Schlüssel?
Häufige Fragen
Was sind Passkeys?
Anmeldedaten ohne Passwort, die auf einem Schlüsselpaar beruhen. Der private Schlüssel bleibt beim Nutzer, die Website kennt nur den öffentlichen.
Warum sind Passkeys sicherer als Passwörter?
Sie lassen sich nicht erraten oder in Datenlecks erbeuten und funktionieren nur auf der Website, für die sie erzeugt wurden. Phishing läuft damit ins Leere.
Sollte ein Agent einen Passkey erhalten?
Nein. Mit dem Passkey hätte der Agent alle Rechte der Person. Besser erhält er ein eigenes Mandat mit Grenzen.
Wie hängen Passkeys mit Mandaten zusammen?
Eine Person kann die Ausstellung eines Mandats mit ihrem Passkey bestätigen. So ist belegt, dass sie den Auftrag selbst erteilt hat.
Auf welchen Standards beruhen Passkeys?
Auf den Standards der FIDO Alliance und auf WebAuthn des W3C, die Browser und Betriebssysteme breit unterstützen.