Passkeys ermöglichen eine Anmeldung ohne Passwort und schützen wirksam vor Phishing. Doch Passkey ist nicht gleich Passkey:
Synchronisierte Passkeys können über ein unterstütztes Ökosystem auf weitere Authentifikatoren eines Nutzers synchronisiert werden. Device-bound Passkeys werden dagegen nicht synchronisiert: Das Credential bleibt an den Authentifikator gebunden, auf dem es erstellt wurde.
Für Unternehmen macht dieser Unterschied in der Praxis einiges aus. Was passiert beispielsweise, wenn ein Mitarbeiter ein neues Notebook oder Smartphone bekommt? Was passiert, wenn ein Endgerät oder Security Key verloren geht? Kann der Passkey auf weiteren Endgeräten verfügbar werden? Und wie viel Kontrolle möchte die IT darüber haben, auf welchen Authentifikatoren die Credentials liegen?
Genau hier unterscheiden sich Synced Passkeys (synchronisierte Passkeys) und Device-bound Passkeys (gerätegebundene Passkeys).
Warum wird über Synced und Device-bound Passkeys gerade so viel diskutiert?
Aktuelle Untersuchungen von Palo Alto Networks Unit 42 haben Schwachstellen und Angriffsmöglichkeiten rund um Google-synchronisierte Passkeys aufgezeigt. Die Forscher untersuchten unter anderem, was Malware auf einem bereits kompromittierten Windows-Endgerät erreichen kann.
Wichtig ist die Einordnung: Die Schwachstellen liegen nicht in FIDO2 oder WebAuthn selbst, sondern in den Mechanismen rund um die konkrete Implementierung synchronisierter Passkeys, beispielsweise bei Device Trust, Geräte-Onboarding und User Verification.
Unsere Kollegen von MTRIX America haben die technischen Details der Forschung im Beitrag „New Research Exposes Risks in Synced Passkeys — What Enterprises Need to Know“ ausführlich analysiert.
Für Unternehmen geht die Diskussion aber über die aktuellen Forschungsergebnisse hinaus: Was bedeuten Synced und Device-bound Passkeys in der Praxis und welche Variante passt zu welchem Einsatz?
Was ist ein Synced Passkey?
Ein Synced Passkey wird über einen Passkey-Provider bzw. ein unterstütztes Passkey-Ökosystem synchronisiert. Die Passkey-Credentials werden dabei geschützt über die zugehörige Infrastruktur synchronisiert und können so auf mehreren autorisierten Endgeräten eines Nutzers verfügbar sein.
Ein einfaches Beispiel: Ein Mitarbeiter erstellt einen Passkey auf seinem Smartphone. Nutzt er später ein weiteres Gerät innerhalb desselben unterstützten Ökosystems, kann der Passkey durch die Synchronisierung auch dort verfügbar werden. Er muss ihn beim jeweiligen Dienst nicht erneut registrieren.
Der entscheidende Unterschied zu einem Device-bound Passkey ist dabei nicht die Anzahl der Endgeräte, an denen der Passkey genutzt werden kann. Auch ein Hardware Security Key mit einem device-bound Passkey kann beispielsweise an verschiedenen Rechnern verwendet werden. Der Unterschied liegt darin, ob das Credential auf weitere Authentifikatoren synchronisiert werden kann oder an einem Authentifikator gebunden bleibt.
Das macht Synced Passkeys besonders komfortabel, wenn Nutzer mehrere Endgeräte verwenden oder regelmäßig Geräte wechseln. Gleichzeitig wird bei Synced Passkeys auch die Infrastruktur des Passkey-Providers Teil des Sicherheitsmodells. Unternehmen sollten deshalb nicht nur die eigentliche FIDO-Authentifizierung betrachten, sondern auch Synchronisierung, Geräte-Onboarding und Recovery.
Für die IT stellen sich deshalb beispielsweise folgende Fragen:
- Dürfen Unternehmens-Passkeys über einen bestimmten Passkey-Provider synchronisiert werden?
- Auf welchen Endgeräten können die synchronisierten Passkeys verfügbar sein?
- Wie wird ein neues Endgerät in das Ökosystem aufgenommen?
- Wie funktioniert die Wiederherstellung, wenn ein Nutzer den Zugriff auf seine Endgeräte verliert?
- Welche Auswirkungen hat es, wenn das Benutzerkonto oder ein bereits eingebundenes Endgerät kompromittiert wird?
Was ist ein Device-bound Passkey?
Ein Device-bound Passkey bleibt an den Authentifikator gebunden, auf dem er erstellt wurde. Das Credential wird nicht über einen Passkey-Provider auf andere Authentifikatoren synchronisiert.
Dabei ist wichtig: Device-bound bedeutet nicht automatisch, dass der Passkey an einen bestimmten Rechner gebunden ist. Entscheidend ist, an welchen Authentifikator das Credential gebunden ist.
Das kann beispielsweise ein in ein Endgerät integrierter Authentifikator sein, wie er etwa bei Windows Hello auf einem Notebook oder durch die Sicherheitsfunktionen eines Smartphones genutzt wird. In diesem Fall bleibt das Credential an den Authentifikator dieses Endgeräts gebunden. Soll ein weiteres Endgerät mit einem eigenen integrierten Authentifikator genutzt werden, muss dort ein weiteres Credential registriert werden.
Ein Device-bound Passkey kann aber ebenso auf einem externen Hardware Security Key, beispielsweise von Yubico, Swissbit oder FEITIAN, liegen. In diesem Fall bleibt das Credential auf diesem Security Key.
Der wichtige Unterschied für die Praxis: Der Security Key selbst kann an verschiedenen kompatiblen Endgeräten verwendet werden. Ein Mitarbeiter kann denselben Key beispielsweise am Arbeitsplatzrechner und am Notebook einsetzen. Der Passkey wird dabei nicht zwischen den Rechnern synchronisiert, sondern verbleibt auf dem Security Key.
Soll zusätzlich ein zweiter Security Key – beispielsweise als Backup – genutzt werden, muss auch dieser separat registriert werden.
Synced vs. Device-bound Passkeys im direkten Vergleich
Bei Device-bound Passkeys ist für die praktische Nutzung entscheidend, welcher Authentifikator verwendet wird. Deshalb unterscheiden wir in der folgenden Tabelle zwischen einem in das Endgerät integrierten Authentifikator und einem externen Hardware Security Key.
| Situation | Synced Passkey | Device-bound auf integriertem Authentifikator | Device-bound auf Hardware Security Key |
|---|---|---|---|
| Mitarbeiter nutzt mehrere Endgeräte | Der Passkey kann über das unterstützte Ökosystem auf mehreren Endgeräten verfügbar sein. | Auf einem weiteren Endgerät mit eigenem Authentifikator muss ein weiteres Credential registriert werden. | Derselbe Security Key kann an verschiedenen kompatiblen Endgeräten verwendet werden. |
| Mitarbeiter bekommt ein neues Notebook | Der Passkey kann über das jeweilige Ökosystem auf dem neuen Endgerät verfügbar werden. | Für den Authentifikator des neuen Notebooks muss ein neues Credential registriert werden. | Der vorhandene Security Key kann am neuen Notebook weiterverwendet werden. |
| Zweiter Authentifikator als Backup | Hängt vom verwendeten Ökosystem und dessen Sync- und Recovery-Modell ab. | Ein weiterer Authentifikator benötigt ein eigenes Credential. | Ein zweiter Security Key muss zusätzlich registriert werden. |
| Endgerät geht verloren | Andere eingebundene Endgeräte bzw. die Recovery-Funktionen des Ökosystems können weiterhin Zugang ermöglichen. | Das auf dem verlorenen Endgerät vorhandene Credential steht nicht mehr zur Verfügung. | Ist der Security Key weiterhin vorhanden, kann er an einem anderen kompatiblen Endgerät weiterverwendet werden. |
| Security Key geht verloren | – | – | Ein registrierter Ersatz-Key kann verwendet werden. Andernfalls muss ein neuer Authentifikator sicher registriert werden. |
| Synchronisierung des Credentials | Möglich, abhängig vom eingesetzten Ökosystem. | Nein. | Nein. |
| Cloud-Synchronisierung | Ja, abhängig vom verwendeten Anbieter und Ökosystem. | Nein. | Nein. |
| Rollout | Kann für Nutzer mit vorhandenen kompatiblen Endgeräten sehr komfortabel sein. | Registrierung auf den jeweiligen Authentifikatoren erforderlich. | Beschaffung, Ausgabe bzw. Versand und Registrierung der Security Keys müssen berücksichtigt werden. |
| Support | Typische Fälle sind beispielsweise Account-Recovery, Gerätewechsel oder Probleme mit dem jeweiligen Ökosystem. | Typische Fälle sind Geräteverlust, Gerätewechsel und die Registrierung eines neuen Authentifikators. | Typische Fälle sind verlorene oder defekte Security Keys sowie Ausgabe und Registrierung eines Ersatz-Keys. |
Diese Unterscheidung ist gerade für Unternehmen wichtig: „Device-bound“ allein sagt noch nicht, wie ein Passkey im Alltag genutzt wird. Entscheidend ist auch, auf welcher Art von Authentifikator er liegt.
Sind Synced Passkeys unsicher?
Die aktuellen Forschungsergebnisse bedeuten nicht, dass Synced Passkeys grundsätzlich unsicher sind. Sie zeigen vielmehr, dass bei synchronisierten Passkeys neben der eigentlichen FIDO-Authentifizierung auch die Mechanismen für Synchronisierung, Geräte-Onboarding und Recovery in die Sicherheitsbetrachtung einbezogen werden müssen.
Synced Passkeys bieten gegenüber klassischen Passwörtern wesentliche Sicherheitsvorteile und schützen insbesondere vor vielen Phishing-Angriffen und Credential Stuffing.
Bei Synced Passkeys muss jedoch nicht nur die eigentliche Anmeldung betrachtet werden. Auch die Synchronisierung zwischen Endgeräten, das Hinzufügen neuer Endgeräte und die Wiederherstellung des Zugangs gehören zum Sicherheitskonzept.
Ein praktisches Beispiel:
Ein Unternehmen schützt eine Anwendung mit einem phishing-resistenten Passkey. Der Passkey selbst ist kryptografisch sehr gut geschützt. Kann ein Nutzer aber über einen deutlich schwächer geschützten Recovery-Prozess ein neues Endgerät hinzufügen oder seinen Account wiederherstellen, wird auch dieser Prozess Teil des Sicherheitsmodells.
Ein Angreifer muss schließlich nicht zwingend den stärksten Schutzmechanismus angreifen. Er wird versuchen, den einfachsten verfügbaren Weg zum Account zu finden.
Deshalb reicht die Frage „Ist der Passkey sicher?“ für Unternehmen nicht aus.
Mindestens genauso wichtig ist:
Wie kommt ein neues Endgerät oder ein neuer Authentifikator zum Account?
Sind Device-bound Passkeys sicherer?
Device-bound Passkeys haben gegenüber Synced Passkeys eine konkrete Sicherheitseigenschaft: Das Credential bleibt an den jeweiligen Authentifikator gebunden und wird nicht über eine Synchronisierungsinfrastruktur auf weitere Authentifikatoren synchronisiert.
Das bedeutet aber nicht, dass ein Rechner mit einem Hardware Security Key nicht mehr kompromittiert werden kann.
Ist beispielsweise das Notebook eines Administrators mit Malware infiziert, kann ein Angreifer weiterhin versuchen, Sitzungen oder Daten auf diesem Rechner anzugreifen. Der Security Key macht den kompromittierten Rechner nicht wieder sicher.
Der Unterschied liegt an einer anderen Stelle: Das Credential selbst bleibt auf dem Hardware-Authentifikator. Der Security Key kann zwar an verschiedenen Rechnern eingesetzt werden, das Credential wird dabei aber weder auf diese Rechner noch auf andere Authentifikatoren übertragen.
Für einen privilegierten Administrator kann genau diese Eigenschaft gewünscht sein.
Für einen normalen Mitarbeiter können dagegen die einfache Nutzung auf mehreren Endgeräten und ein unkomplizierter Gerätewechsel stärker ins Gewicht fallen.
Ob Device-bound „sicherer“ ist, lässt sich deshalb nur beantworten, wenn klar ist, gegen welches Risiko sich ein Unternehmen schützen möchte.
Beispiel 1: Mitarbeiter mit Notebook und Smartphone
Ein Mitarbeiter arbeitet hauptsächlich mit Cloud-Anwendungen. Er nutzt ein Firmen-Notebook und ein Smartphone und wechselt seine Endgeräte regelmäßig.
Hier kann ein Synced Passkey Vorteile bieten: Der Mitarbeiter muss nicht bei jedem Gerätewechsel sämtliche Passkeys neu registrieren.
Das Unternehmen muss dafür klären, welches Passkey-Ökosystem verwendet werden darf, welche Endgeräte eingebunden werden können und wie die Wiederherstellung des Zugangs abgesichert ist.
Ein Hardware Security Key kann auch hier eingesetzt werden. Ein Vorteil eines externen Security Keys ist, dass derselbe Authentifikator an verschiedenen kompatiblen Endgeräten verwendet werden kann. Soll zusätzlich ein zweiter Key als Backup bereitstehen, muss dieser separat registriert werden.
Der zusätzliche Aufwand für Ausgabe, Ersatz und Registrierung sollte einem konkreten Sicherheitsbedarf gegenüberstehen.
Beispiel 2: Administrator mit privilegiertem Zugriff
Ein Administrator kann Benutzerkonten verändern, Systeme konfigurieren oder auf besonders sensible Unternehmensressourcen zugreifen.
Hier kann das Unternehmen bewusst entscheiden, dass das Credential nicht über ein Cloud-Ökosystem synchronisiert werden soll.
Stattdessen erhält der Administrator beispielsweise einen freigegebenen Hardware Security Key. Ein zweiter registrierter Key kann als Backup sicher verwahrt werden.
Geht ein Key verloren, wird er gesperrt und der Administrator nutzt den vorher registrierten Ersatz-Key bzw. durchläuft einen festgelegten Prozess für einen neuen Authentifikator.
Der Vorteil ist konkret: Das Unternehmen kann stärker kontrollieren, auf welchen freigegebenen Authentifikatoren die Credentials für diesen privilegierten Zugang liegen dürfen.
Beispiel 3: Viele Mitarbeiter und ein großer Rollout
Bei 50 Nutzern ist die Ausgabe eines zusätzlichen Authentifikators etwas anderes als bei 5.000 oder 50.000 Nutzern.
Wenn Hardware Security Keys eingesetzt werden sollen, entstehen ganz praktische Fragen:
- Wer bestellt die Keys?
- Werden sie vor der Ausgabe vorkonfiguriert?
- Wie kommen sie zum Mitarbeiter?
- Wie werden externe Mitarbeiter oder internationale Standorte versorgt?
- Wird ein zweiter Key als Backup ausgegeben?
- Was passiert bei Verlust?
- Wie erhält ein Mitarbeiter kurzfristig Ersatz?
- Wer unterstützt bei der Registrierung?
Unterstützung beim Passkey-Rollout
Sie planen den Einsatz von Passkeys oder Hardware Security Keys in Ihrem Unternehmen?
MTRIX unterstützt Sie von der Auswahl und Implementierung bis zur Vorkonfiguration, Verteilung und dem langfristigen Support.
Bei Synced Passkeys verlagern sich einige dieser Fragen. Dafür werden beispielsweise die Konfiguration der Plattform, erlaubte Endgeräte, Synchronisierung und Recovery wichtiger.
Die Entscheidung ist deshalb nicht nur eine technische Sicherheitsentscheidung, sondern auch eine Frage, wie die Authentifizierung im täglichen Betrieb funktionieren soll.
Unternehmen müssen nicht allen Mitarbeitern dieselbe Passkey-Art geben
Eine häufig übersehene Möglichkeit ist, verschiedene Nutzergruppen unterschiedlich abzusichern.
Ein Unternehmen könnte beispielsweise entscheiden:
Standard-Arbeitsplätze: Synced Passkeys sind zugelassen, sofern die Unternehmensrichtlinien und das eingesetzte Ökosystem die Anforderungen erfüllen.
Administratoren und privilegierte Nutzer: Device-bound Credentials auf freigegebenen Hardware Security Keys.
Spezielle Arbeitsplätze oder Anwendungen: Eine eigene Lösung entsprechend den technischen und organisatorischen Anforderungen.
Das ist nur ein Beispiel – keine allgemeingültige Empfehlung.
Der entscheidende Punkt ist: Die Passkey-Strategie muss nicht für 5.000 Mitarbeiter identisch aussehen, nur weil alle im selben Unternehmen arbeiten.
Was sollte ein Unternehmen vor der Entscheidung konkret klären?
Statt abstrakt zwischen „mehr Sicherheit“ und „mehr Komfort“ abzuwägen, helfen konkrete Fragen:
1. Welche Nutzer schützen wir?
Ein Office-Mitarbeiter und ein Administrator mit weitreichenden Berechtigungen haben nicht zwingend denselben Schutzbedarf.
2. Auf welche Systeme können diese Nutzer zugreifen?
Ein Zugang zu allgemeinen internen Anwendungen hat andere mögliche Auswirkungen als ein privilegierter Zugriff auf kritische Systeme.
3. Welche Endgeräte verwenden die Nutzer?
Firmen-Notebook, Smartphone, privates Gerät, Shared Workstation oder mehrere Endgeräte?
4. Welche Authentifikatoren sollen eingesetzt werden?
Soll ein in das Endgerät integrierter Authentifikator genutzt werden oder beispielsweise ein externer Hardware Security Key, der an verschiedenen kompatiblen Endgeräten eingesetzt werden kann?
5. Was passiert beim Gerätewechsel?
Kann der Passkey über ein zugelassenes Ökosystem auf dem neuen Endgerät verfügbar werden? Kann ein vorhandener externer Security Key einfach weiterverwendet werden? Oder muss für den Authentifikator des neuen Endgeräts ein neues Credential registriert werden?
6. Was passiert bei Verlust?
Geht ein Endgerät oder der Authentifikator selbst verloren? Gibt es ein weiteres eingebundenes Endgerät, einen zweiten Security Key oder einen sicheren Weg, einen Ersatz zu registrieren?
7. Welche Fallback-Verfahren bleiben erlaubt?
Wenn ein hoch abgesicherter Account bei Problemen einfach auf SMS oder ein anderes schwächeres Verfahren zurückfallen kann, muss auch dieser Weg in die Risikobetrachtung einbezogen werden.
8. Wie viele Nutzer müssen ausgestattet werden?
Bei einem großen Rollout spielen Bereitstellung, Vorkonfiguration, Versand, Ersatz und Support eine wesentlich größere Rolle als bei einer kleinen Administratorengruppe.
Der Passkey allein entscheidet nicht über die Sicherheit
Die Diskussion um Synced und Device-bound Passkeys darf einen weiteren wichtigen Punkt nicht verdecken: Eine starke Authentifizierung ist nur so stark wie die Prozesse und Alternativen, die sie umgeben.
Wenn ein Unternehmen phishing-resistente Passkeys einführt, gleichzeitig aber eine Anmeldung oder Account-Wiederherstellung über deutlich schwächere Verfahren zulässt, können Angreifer versuchen, auf diese Wege auszuweichen.
Deshalb sollten Unternehmen neben dem Passkey selbst auch prüfen:
- Wie werden neue Authentifikatoren registriert?
- Wie wird die Identität eines Nutzers bei einer Wiederherstellung geprüft?
- Welche Fallback-Methoden sind weiterhin erlaubt?
- Wie wird ein verlorener Authentifikator gesperrt?
- Welche Endgeräte und Authentifikatoren dürfen verwendet werden?
- Wie werden besonders privilegierte Accounts behandelt?
Die Wahl zwischen Synced und Device-bound ist damit ein Bestandteil einer Passkey-Strategie – aber nicht die gesamte Strategie.
Fazit: Nicht Synced oder Device-bound für alle – sondern passend zum Einsatz
Synced und Device-bound Passkeys lösen unterschiedliche praktische Anforderungen.
Synced Passkeys können den Einsatz auf mehreren Endgeräten und einen Gerätewechsel deutlich vereinfachen. Dafür werden das verwendete Ökosystem, das Hinzufügen neuer Endgeräte und die Wiederherstellung des Zugangs Teil der Sicherheitsbetrachtung.
Device-bound Passkeys verzichten auf die Synchronisierung des Credentials auf andere Authentifikatoren. Wie sich das in der Praxis auswirkt, hängt jedoch auch davon ab, auf welcher Art von Authentifikator der Passkey liegt.
Bei einem integrierten Authentifikator kann für ein neues Endgerät eine neue Registrierung erforderlich sein. Ein externer Hardware Security Key kann dagegen an verschiedenen kompatiblen Endgeräten genutzt werden, während das Credential auf dem Key verbleibt.
Bei Hardware Security Keys kann ein Unternehmen dadurch beispielsweise privilegierte Zugänge bewusst an freigegebene physische Authentifikatoren binden. Sollen zusätzliche oder Backup-Keys eingesetzt werden, müssen diese separat registriert und entsprechend bereitgestellt werden.
Für Unternehmen lautet die entscheidende Frage deshalb nicht:
„Welche Passkey-Art ist grundsätzlich besser?“
Sondern:
„Für welche Nutzer und Anwendungen brauchen wir welches Maß an Kontrolle, Sicherheit und Benutzerfreundlichkeit – und wie funktioniert die Lösung anschließend im Alltag?“
Passkeys im Unternehmen einführen
MTRIX unterstützt Unternehmen dabei, diese Anforderungen zu analysieren und daraus eine passende Authentifizierungsstrategie abzuleiten – von der Auswahl geeigneter Authentifikatoren und einem Proof of Concept über Implementierung und Rollout bis zur Vorkonfiguration, Verteilung und dem langfristigen Support.
Dabei bietet MTRIX Hardware Security Keys verschiedener Hersteller, darunter Yubico, Swissbit und FEITIAN, und unterstützt Unternehmen herstellerunabhängig bei der Auswahl der für ihre Anforderungen geeigneten Lösung.