Studie zum Umgang mit Passkeys: Teilweise gefährlicher als Passwörter

Was geschehen ist – die Kernmeldung ausführlich

Ein US-Forschungsteam hat im Rahmen einer aktuellen Studie die Sicherheit und Handhabung von Passkeys unter die Lupe genommen und dabei alarmierende Ergebnisse erzielt. Während Passkeys in der Fachwelt als der Goldstandard für die Ablösung klassischer Passwörter gelten, zeigt die Untersuchung, dass sie unter realistischen Bedingungen – insbesondere im Kontext von missbräuchlichem Verhalten und partnerschaftlicher Gewalt – erhebliche Sicherheitsrisiken bergen können. Die Forscher kommen zu dem Schluss, dass die derzeitige Implementierung und das Nutzerverständnis ein düsteres Bild zeichnen. Viele Anwender sind demnach nicht in der Lage, Bedrohungen durch unbefugt erstellte Passkeys zu erkennen oder diese effektiv aus ihren Konten zu entfernen. Die Studie, die auf dem USENIX Security Symposium in Baltimore präsentiert wurde, verdeutlicht, dass die technologische Überlegenheit von Passkeys gegenüber Passwörtern in der Praxis durch mangelnde Usability und fehlende Transparenz der Sicherheitsmechanismen konterkariert wird. Die Anwender stehen vor Herausforderungen, die sie oft überfordern, was im Ernstfall zu einem unkontrollierten Zugriff auf sensible Accounts führen kann, ohne dass die Betroffenen die Gefahr rechtzeitig abwenden können.

Die Einzelheiten der Untersuchung

Für die Analyse rekrutierte das Forschungsteam insgesamt 31 Personen, die eine breite Palette an Hintergründen und technischer Expertise abdeckten. Etwa die Hälfte der Probanden stufte sich selbst als technisch hoch qualifiziert ein, was die Ergebnisse umso bemerkenswerter macht. Die Teilnehmer wurden mit simulierten Szenarien einer Kontenübernahme konfrontiert. Dabei wurde angenommen, dass ein Angreifer, der bereits Zugriff auf die Zugangsdaten hatte, auf einem weiteren Gerät Passkeys für Dienste wie Google (Gmail), LinkedIn und PayPal erstellte. Die Aufgabe der Probanden bestand darin, diesen unbefugten Zugriff zu beheben. Die Ergebnisse waren ernüchternd: Viele Teilnehmer scheiterten komplett an der Aufgabe oder reagierten unangemessen, indem sie beispielsweise sämtliche Passkeys löschten, was die Nutzbarkeit ihrer eigenen Geräte einschränkte. Oftmals war die Unterstützung durch das Forschungsteam erforderlich, um die Konten wieder unter Kontrolle zu bringen. Die Studie dokumentiert zudem, dass die von den Diensten versandten Warn-E-Mails bei den Nutzern eher Verwirrung stifteten als zur Aufklärung beizutragen. Viele Teilnehmer ignorierten die Links in den E-Mails aus Angst vor Phishing-Versuchen, was die Sicherheitsbemühungen der Anbieter ad absurdum führte.

Hintergrund und bisheriger Verlauf

Die Entwicklung von Passkeys wurde initiiert, um die fundamentalen Schwachstellen des Passwort-basierten Modells zu beheben. Herkömmliche Passwörter basieren auf einem geteilten Geheimnis zwischen dem Server und dem Nutzer. Dieses Geheimnis ist anfällig für Diebstahl, das Erraten durch Angreifer oder das Abfließen bei Datenlecks. Passkeys hingegen nutzen ein kryptografisches Schlüsselpaar, bei dem der private Schlüssel das Gerät des Nutzers niemals verlässt, während lediglich der öffentliche Schlüssel auf dem Server hinterlegt ist. Die Authentifizierung erfolgt lokal über biometrische Daten oder eine PIN. Zudem ist Phishing technisch nahezu unmöglich, da ein Passkey an eine spezifische Website gebunden ist. Trotz dieser theoretischen Überlegenheit hat sich in der Praxis gezeigt, dass die Implementierung durch die Onlinedienste noch erhebliche Mängel aufweist. Die Studie ist eine Reaktion auf die zunehmende Verbreitung dieser Technologie und den Wunsch zu verstehen, wie Anwender in realen Bedrohungsszenarien – etwa bei häuslicher Gewalt, wo ein Partner Zugriff auf die Geräte des anderen erlangen könnte – mit dieser neuen Form der Absicherung zurechtkommen.

Die Beteiligten und ihre Rollen

Im Zentrum der Untersuchung steht das US-Forschungsteam, das die Studie konzipiert und durchgeführt hat. Eine zentrale Rolle nimmt dabei die Erstautorin Alaa Daffalla von der Cornell University ein, die den Mangel an Verständnis für das Konzept der Passkeys als überraschend und besorgniserregend bezeichnet. Die Probanden, die aus verschiedenen Bevölkerungsschichten und mit unterschiedlichem technischem Vorwissen ausgewählt wurden, repräsentieren die Zielgruppe der Onlinedienste. Auf der anderen Seite stehen die großen Plattformen wie Google, LinkedIn und PayPal, deren Sicherheitsmechanismen und Benachrichtigungssysteme in der Studie kritisch hinterfragt werden. Die Studie macht deutlich, dass diese Institutionen eine Mitverantwortung tragen, da ihre Sicherheits-Dashboards und Warnhinweise für den Durchschnittsnutzer oft unverständlich gestaltet sind. Die Diskrepanz zwischen der technischen Komplexität und der intuitiven Bedienbarkeit wird hier als Kernproblem identifiziert, für das die Anbieter bisher keine befriedigende Lösung gefunden haben. Die Akteure sind somit in einem Spannungsfeld zwischen technischer Innovation und der notwendigen Nutzbarkeit gefangen.

Einordnung der Ergebnisse

Einzuordnen ist das so: Die Studie unterstreicht eine Diskrepanz zwischen technischem Design und menschlicher Psychologie. Den Berichten zufolge ist es alarmierend, dass selbst technisch versierte Nutzer Schwierigkeiten haben, die Sicherheitsarchitektur von Passkeys in Krisensituationen korrekt zu interpretieren. Die Verwirrung, die entsteht, wenn ein Nutzer zwei unterschiedliche Passkeys sieht und diese nicht als zwei verschiedene Geräte, sondern als Fehlfunktion interpretiert, zeigt, wie wenig transparent die Sicherheitseinstellungen derzeit sind. Die Forscher bewerten die Gesamtsituation als besorgniserregend, da die zunehmende Verbreitung von Passkeys eine Kompetenz voraussetzt, die bei den Anwendern derzeit nicht vorhanden ist. Es ist ein Trugschluss zu glauben, dass eine technisch sicherere Methode automatisch zu einer sichereren Anwendung führt. Wenn die Benutzeroberflächen die Anwender nicht dabei unterstützen, bösartige Aktivitäten zu erkennen und zu korrigieren, bleibt das Sicherheitsversprechen der Passkeys in der Praxis eine leere Hülse. Die Studie mahnt daher zu einer grundlegenden Überarbeitung der Benutzerführung bei der Verwaltung dieser kryptografischen Schlüssel.

Offene Fragen zur Problematik

Der Quelltext lässt einige Fragen offen, die für das Verständnis der Problematik relevant wären. So wird nicht explizit ausgeführt, welche spezifischen Design-Änderungen die Forscher den Onlinediensten konkret empfehlen, um die Benutzerführung zu verbessern. Auch bleibt unklar, ob es signifikante Unterschiede in der Handhabung zwischen verschiedenen Betriebssystemen oder Gerätetypen gab, da die Studie lediglich die Dienste Google, LinkedIn und PayPal als Beispiele nennt. Zudem wird nicht detailliert erläutert, wie ein idealer Warnprozess aussehen müsste, der nicht mit Phishing-Versuchen verwechselt werden kann. Die Frage, ob eine Standardisierung der Benennung von Passkeys in den Sicherheitseinstellungen der verschiedenen Anbieter Abhilfe schaffen könnte, wird im Text nur angedeutet, aber nicht weiter vertieft. Ebenso bleibt offen, ob die untersuchten Dienste ihre Sicherheits-Dashboards bereits auf Basis dieser oder ähnlicher Erkenntnisse angepasst haben oder ob die identifizierten Probleme weiterhin in vollem Umfang bestehen. Diese Lücken zeigen, dass die Forschung zu diesem Thema noch am Anfang steht und weitere Untersuchungen notwendig sind.

Wie es weitergeht und ausstehende Schritte

Die Ergebnisse der Studie wurden auf dem USENIX Security Symposium in Baltimore vorgestellt, was die wissenschaftliche Relevanz unterstreicht. Es ist zu erwarten, dass die Erkenntnisse in die weitere Entwicklung der FIDO-Standards und in die Design-Richtlinien der großen Tech-Unternehmen einfließen werden. Da die Studie explizit fordert, dass Onlinedienste mehr unternehmen müssen, damit Nutzer ihre Konten effektiv absichern können, steht nun der Druck auf die Anbieter, ihre Benachrichtigungs- und Kontoverwaltungssysteme nutzerfreundlicher zu gestalten. Ob und wann es zu konkreten Anpassungen kommt, bleibt abzuwarten. Die Forscher haben mit ihrer Arbeit den Finger in eine Wunde gelegt, die durch die schnelle Markteinführung von Passkeys entstanden ist. Zukünftige Entwicklungen werden zeigen müssen, ob die Branche bereit ist, die Usability-Hürden abzubauen, um das volle Sicherheitspotenzial der Passkeys für die breite Masse zugänglich zu machen. Die Debatte um die Balance zwischen technischer Sicherheit und menschlicher Intuition wird die IT-Sicherheitsbranche in den kommenden Jahren begleiten, da Passkeys zunehmend zum Standard werden.