Studie zum Umgang mit Passkeys: Nutzer wissen zu wenig Bescheid

Was geschehen ist: Die Sicherheitslücke im Nutzerverständnis

Passkeys werden als die große Hoffnung für eine sicherere Internetzukunft gefeiert. Sie sollen das klassische Passwort ablösen, das als fehleranfällig und unsicher gilt. Doch eine aktuelle Studie eines US-Forschungsteams zeichnet ein alarmierendes Bild von der praktischen Anwendung dieser Technologie. Die Wissenschaftler haben untersucht, wie Menschen mit Passkeys umgehen, insbesondere in kritischen Szenarien wie partnerschaftlicher Gewalt. Die Ergebnisse sind ernüchternd: Viele Nutzerinnen und Nutzer sind nicht in der Lage, einen unbefugten Zugriff auf ihre Konten zu erkennen oder diesen effektiv zu beheben. Die Studie, die auf dem USENIX Security Symposium in Baltimore vorgestellt wurde, verdeutlicht, dass die technische Überlegenheit von Passkeys gegenüber Passwörtern in der Praxis durch ein mangelndes Verständnis der Anwender konterkariert wird. Die Forscher warnen eindringlich, dass die aktuelle Implementierung bei vielen Onlinediensten die Nutzer im Stich lässt, da diese bei Sicherheitswarnungen oder verdächtigen Aktivitäten überfordert sind. Es fehlt an klaren Prozessen und verständlichen Benutzeroberflächen, die es den Menschen ermöglichen, ihre digitalen Konten wirklich abzusichern. Die Studie zeigt auf, dass Passkeys zwar technisch gesehen eine enorme Verbesserung darstellen, aber ohne ein grundlegendes Verständnis der Funktionsweise durch die Anwender ein gefährliches Sicherheitsvakuum entstehen kann, das Angreifer ausnutzen könnten.

Die Einzelheiten: Ergebnisse der Untersuchung

Für ihre Analyse rekrutierte das Forschungsteam 31 Probanden mit sehr unterschiedlichen Hintergründen. Bemerkenswert ist, dass etwa die Hälfte der Teilnehmenden angab, technisch hoch qualifiziert zu sein. Die Aufgabe bestand darin, simulierte Kontenübernahmen zu korrigieren. In diesen Szenarien hatte ein Angreifer, der bereits Zugriff auf die Zugangsdaten hatte, auf einem fremden Gerät Passkeys für Dienste wie Google (Gmail), LinkedIn und PayPal erstellt. Die Probanden sollten diesen unkontrollierten Zugriff identifizieren und die entsprechenden Passkeys entfernen. Die Ergebnisse waren durchweg problematisch: Viele Teilnehmende scheiterten komplett an dieser Aufgabe oder reagierten über, indem sie sämtliche Passkeys löschten, was den Zugang für sie selbst erschwerte. Besonders irritierend fanden die Testpersonen die Benachrichtigungen der Dienste. Diese E-Mails, die bei der Erstellung eines neuen Passkeys verschickt wurden, lösten bei vielen Misstrauen aus. Die Nutzer hielten die Warnungen oft für Phishing-Versuche und klickten daher aus Vorsicht nicht auf die enthaltenen Links. Bei Google führte der Link zu einer Hilfsseite, die bei der konkreten Problembehebung nicht weiterhalf. Bei PayPal und LinkedIn blieben die notwendigen Schritte zur Sicherung des Kontos für die Nutzer völlig unklar. Die Sicherheitseinstellungen der Dienste boten zudem keine ausreichende Hilfestellung, um zwischen autorisierten und fremden Passkeys zu unterscheiden.

Hintergrund: Warum Passkeys eigentlich sicherer sein sollten

Das Konzept der Passkeys basiert auf einem kryptografischen Verfahren, das eine fundamentale Schwachstelle klassischer Passwörter eliminiert. Bei herkömmlichen Passwörtern existiert ein geteiltes Geheimnis zwischen dem Server des Dienstes und dem Nutzer. Dieses Geheimnis kann durch Datenlecks bei den Anbietern gestohlen, durch Phishing abgefangen oder durch schwache Wahl leicht erraten werden. Passkeys hingegen nutzen ein kryptografisches Schlüsselpaar. Der private Schlüssel verbleibt dabei stets auf dem Gerät des Nutzers und wird niemals übertragen. Auf dem Server des Onlinedienstes liegt lediglich der öffentliche Schlüssel. Die Authentifizierung findet lokal auf dem Endgerät statt, etwa durch biometrische Merkmale wie einen Fingerabdruck oder durch die Eingabe einer PIN. Ein weiterer entscheidender Vorteil ist die Bindung an die jeweilige Website: Ein Passkey, der für eine spezifische Domain erstellt wurde, funktioniert ausschließlich dort. Dies macht klassische Phishing-Angriffe, bei denen Nutzer auf gefälschte Webseiten gelockt werden, technisch unmöglich, da der Browser den Passkey nur auf der legitimen Seite anbietet. Trotz dieser theoretisch überlegenen Architektur zeigt die Studie, dass die Sicherheit in der Praxis nicht allein von der Technik abhängt, sondern maßgeblich vom Verständnis und dem Handeln der Menschen, die diese Technologie täglich einsetzen müssen.

Die Beteiligten: Forscher und Nutzer im Fokus

Die Untersuchung wurde von einem US-Forschungsteam durchgeführt, wobei Alaa Daffalla von der Cornell University als Erstautorin fungierte. Die Gruppe setzte sich zum Ziel, die menschliche Komponente bei der Cybersicherheit zu beleuchten. Die Probanden der Studie repräsentierten einen Querschnitt der Bevölkerung, wobei die bewusste Auswahl von technisch versierten Personen die Brisanz der Ergebnisse unterstreicht. Dass selbst Experten Schwierigkeiten hatten, zeigt, dass das Problem nicht nur bei Gelegenheitsnutzern liegt, sondern in der Gestaltung der Systeme selbst begründet ist. Die betroffenen Dienste – namentlich Google, LinkedIn und PayPal – dienen in der Studie als Beispiele für die aktuelle Implementierung von Passkey-Systemen. Die Forscher kritisieren nicht die Technologie an sich, sondern die Art und Weise, wie diese Dienste ihre Nutzer bei der Verwaltung der Passkeys unterstützen. Die Ergebnisse der Studie wurden einem Fachpublikum auf dem USENIX Security Symposium in Baltimore präsentiert, um eine breitere Diskussion über die Gestaltung von Sicherheitsschnittstellen anzustoßen. Die Beteiligten betonen, dass die Verantwortung für die Sicherheit nicht allein beim Nutzer liegen darf, sondern dass die Anbieter in der Pflicht stehen, ihre Systeme intuitiver und transparenter zu gestalten, um Missbrauch effektiv abzuwehren.

Einordnung: Eine besorgniserregende Entwicklung

Einzuordnen ist das Ergebnis der Studie als ein Warnsignal für die IT-Branche. Die Forscher betonen, dass es „etwas besorgniserregend“ sei, dass Menschen zunehmend auf Passkeys setzen, ohne deren grundlegende Funktionsweise zu verstehen. Dies führt dazu, dass Anwender in Sicherheitsfragen blind agieren oder bei Warnmeldungen falsch reagieren. Den Berichten zufolge zeichnet die Studie ein düsteres Bild der Fähigkeit von Menschen, Bedrohungen durch missbräuchlich erstellte Passkeys überhaupt als solche zu identifizieren. Wenn selbst technisch versierte Personen an der Entfernung eines fremden Zugangs scheitern, ist dies ein deutliches Indiz für ein Design-Versagen der aktuellen Benutzeroberflächen. Die Verwirrung bei der Anzeige von Passkeys – etwa wenn Nutzer nicht verstehen, ob zwei Einträge für zwei Geräte oder für zwei verschiedene Dienste stehen – unterstreicht die Notwendigkeit einer besseren visuellen Aufbereitung. Die Studie macht deutlich, dass Sicherheitstechnologie nur so stark ist wie die Fähigkeit des Nutzers, sie in Krisensituationen korrekt zu bedienen. Eine rein technische Lösung reicht nicht aus, wenn die Schnittstelle zum Menschen die notwendigen Informationen zur Gefahrenabwehr nicht klar und verständlich kommuniziert.

Offene Fragen: Was die Studie nicht beantwortet

Obwohl die Studie detailliert aufzeigt, wo die Probleme liegen, lässt sie auch einige Fragen offen. So wird nicht explizit thematisiert, wie eine ideale Benutzeroberfläche für das Passkey-Management aussehen müsste, um diese Probleme zu lösen. Es bleibt unklar, welche konkreten Design-Änderungen die Anbieter vornehmen müssten, um die Verwirrung bei den Nutzern zu minimieren. Zudem gibt die Studie keine Auskunft darüber, ob die Ergebnisse auf andere Dienste übertragbar sind, die Passkeys anders implementieren als die untersuchten Plattformen. Auch die Frage, wie sich die Fehlerrate bei den Nutzern verändern würde, wenn sie intensiver geschult oder durch interaktive Tutorials geführt würden, wird nicht beantwortet. Die Studie konzentriert sich primär auf die Identifikation der Schwachstellen im aktuellen Status quo und weniger auf die Entwicklung konkreter Lösungsansätze für die Anbieter. Die Lücke zwischen der theoretischen Sicherheit und der praktischen Anwendung bleibt somit ein zentrales Forschungsfeld, das in zukünftigen Arbeiten weiter untersucht werden muss, um die Akzeptanz und Sicherheit von Passkeys langfristig zu gewährleisten.

Wie es weitergeht: Forderungen an die Anbieter

Die Studie stellt eine klare Forderung an die Onlinedienste: Sie müssen deutlich mehr unternehmen, damit ihre Nutzer ihre Konten mit Passkeys effektiv absichern und Missbrauch zuverlässig erkennen können. Die Forscher betonen, dass die Anbieter in der Pflicht stehen, ihre Sicherheitskonzepte und die Kommunikation mit den Nutzern grundlegend zu überarbeiten. Es ist zu erwarten, dass die Ergebnisse der Untersuchung eine Debatte über die Standardisierung von Sicherheitswarnungen und die Gestaltung von Kontoeinstellungen auslösen werden. Ob und wann die untersuchten Dienste oder andere Anbieter ihre Benutzeroberflächen anpassen, bleibt abzuwarten. Die Studie dient als wichtiger Impulsgeber für Entwickler und Sicherheitsverantwortliche, um die Benutzerfreundlichkeit bei der Implementierung von Passkeys in den Mittelpunkt zu stellen. Es ist davon auszugehen, dass das Thema der Usability von Sicherheitsfunktionen in den kommenden Monaten bei weiteren Sicherheitskonferenzen und in der Fachwelt intensiv diskutiert wird, um die Diskrepanz zwischen technischem Schutz und menschlicher Handhabung zu schließen.