Passkeys statt Passwörter: Was bei Handyverlust wirklich passiert
Passkeys sollen eines der ältesten Probleme des Internets lösen: Menschen müssen sich keine komplizierten Passwörter mehr merken, während gestohlene Zugangsdaten für Angreifer weitgehend wertlos werden. Zur Anmeldung genügt meist derselbe Fingerabdruck, Gesichtsscan oder Gerätecode, mit dem das Smartphone beziehungsweise der Computer ohnehin entsperrt wird. Das klingt bequem, wirft aber eine naheliegende Frage auf: Was passiert mit den eigenen Konten, wenn genau dieses Gerät verloren geht, gestohlen wird oder plötzlich nicht mehr funktioniert? Ob der Zugang problemlos wiederhergestellt werden kann, hängt vor allem davon ab, wo der Passkey gespeichert wurde. Ein synchronisierter Passkey verhält sich dabei anders als ein Schlüssel, der ausschließlich auf einem einzelnen Gerät liegt.
Ein Passkey ist kein besonders langes Passwort
Ein Passkey besteht nicht aus einer Zeichenfolge, die der Nutzer kennt und bei jeder Anmeldung eingibt. Stattdessen wird für einen bestimmten Onlinedienst ein kryptografisches Schlüsselpaar erzeugt. Der öffentliche Teil wird beim Dienst hinterlegt, während der private Schlüssel im Gerät oder in einem dafür vorgesehenen Zugangsdatenmanager verbleibt. Bei einer Anmeldung stellt der Dienst eine kryptografische Aufgabe, die nur mit dem passenden privaten Schlüssel beantwortet werden kann. Der private Schlüssel selbst wird dabei nicht an die Webseite übertragen. Die FIDO Alliance beschreibt Passkeys als auf Public-Key-Kryptografie beruhende Anmeldedaten, die speziell für phishingresistente Authentifizierung entwickelt wurden.
Fingerabdruck und Gesichtsscan werden nicht an die Webseite geschickt
Face ID, Touch ID, Windows Hello oder der Fingerabdrucksensor eines Android-Smartphones dienen in diesem Zusammenhang lediglich dazu, die Verwendung des lokal gespeicherten Schlüssels freizugeben. Der Onlinedienst erhält weder ein Bild des Gesichts noch den Fingerabdruck des Nutzers. Er erfährt nur, dass das Gerät die Anmeldung mit dem vorgesehenen Schlüssel bestätigt hat. Je nach Gerät kann statt einer biometrischen Prüfung auch eine PIN, ein Entsperrmuster oder der Gerätecode verwendet werden. Apple erklärt ausdrücklich, dass der Server den privaten Schlüssel nie kennenlernt und die biometrische Prüfung nur die Nutzung des Passkeys autorisiert.
Passkeys sind an den richtigen Dienst gebunden
Ein klassisches Passwort kann auf einer täuschend echt nachgebauten Webseite eingegeben und dadurch gestohlen werden. Ein Passkey ist dagegen kryptografisch an den Dienst beziehungsweise dessen Webadresse gebunden, für den er erstellt wurde. Eine gefälschte Anmeldeseite kann den Schlüssel nicht einfach entgegennehmen und später beim echten Dienst verwenden. Diese Bindung macht Passkeys wesentlich widerstandsfähiger gegen typische Phishing-Angriffe und automatisierte Anmeldeversuche mit gestohlenen Passwortlisten. Sie verhindert jedoch nicht, dass Nutzer durch betrügerische Nachrichten zu anderen Handlungen verleitet werden. Passkeys schützen vor dem Diebstahl eines Anmeldegeheimnisses, nicht vor jeder denkbaren Form des Betrugs.
Beim Handyverlust ist zuerst die Speicherart entscheidend
Passkeys können entweder an ein einzelnes Gerät gebunden oder über einen Zugangsdatenmanager synchronisiert sein. Ein lokal auf einem bestimmten Computer gespeicherter Windows-Hello-Passkey verbleibt beispielsweise auf diesem Gerät. Ein Passkey im Google Password Manager, in Apples iCloud-Schlüsselbund, im Microsoft Password Manager oder bei einem kompatiblen Drittanbieter kann dagegen verschlüsselt über mehrere Geräte des Nutzers verfügbar gemacht werden. Der Ausdruck „Mein Passkey liegt auf dem Handy“ ist deshalb nicht immer wörtlich zu verstehen. Das Smartphone kann lediglich eines von mehreren Geräten sein, auf denen ein synchronisierter Schlüssel genutzt werden kann.
Ein synchronisierter Passkey überlebt meist den Verlust eines Gerätes
Wurde der Passkey in einem synchronisierenden Zugangsdatenmanager gespeichert, ist das verlorene Smartphone normalerweise nicht die einzige vorhandene Kopie. Nach der Einrichtung eines neuen Gerätes und der erfolgreichen Anmeldung beim dazugehörigen Plattform- oder Passwortmanagerkonto können die gespeicherten Passkeys wieder bereitgestellt werden. Microsoft weist darauf hin, dass bei einem synchronisierten Zugangsdatenmanager nicht für jedes Ersatzgerät ein neuer Passkey erstellt werden muss. Nach der Anmeldung beim jeweiligen Manager steht der synchronisierte Schlüssel erneut zur Verfügung.
Das neue Handy braucht trotzdem einen sicheren Vertrauensnachweis
Die Wiederherstellung darf nicht allein davon abhängen, dass jemand die E-Mail-Adresse des Nutzers kennt. Sonst könnte ein Dieb die Passkeys auf einem eigenen Gerät synchronisieren. Der Anbieter des Zugangsdatenmanagers verlangt deshalb einen Nachweis, dass das neue Gerät tatsächlich zum Kontoinhaber gehört. Das kann das Passwort des Plattformkontos, die Bestätigung auf einem bereits angemeldeten Gerät, ein Code an eine vertrauenswürdige Telefonnummer, ein Wiederherstellungsschlüssel oder eine Kombination mehrerer Merkmale sein. Bei Apple erfordert die erste Anmeldung auf einem neuen Gerät beispielsweise das Kennwort des Apple Accounts und einen sechsstelligen Bestätigungscode, der auf einem vertrauenswürdigen Gerät oder über eine hinterlegte Telefonnummer bereitgestellt wird.
Apple synchronisiert Passkeys über den iCloud-Schlüsselbund
Auf Apple-Geräten können Passkeys im iCloud-Schlüsselbund gespeichert und zwischen unterstützten Geräten desselben Apple Accounts synchronisiert werden. Die Inhalte werden Ende-zu-Ende-verschlüsselt übertragen, sodass Apple die gespeicherten Passkeys nach eigener Darstellung nicht lesen kann. Geht ein einzelnes iPhone verloren, können die Schlüssel daher weiterhin auf einem iPad, Mac oder einem neuen iPhone vorhanden sein. Die Wiederherstellung des Schlüsselbundes ist zusätzlich gegen massenhafte Entsperrversuche geschützt und verlangt die Authentifizierung des Apple Accounts sowie weitere vertrauensbildende Angaben.
Google Password Manager kann Passkeys auf neue Geräte bringen
Auf Android-Geräten werden Passkeys häufig im Google Password Manager gespeichert. Nach der Anmeldung mit demselben Google-Konto können synchronisierte Zugangsdaten auf unterstützten Geräten wieder verfügbar werden. Google erlaubt außerdem, bei einer Passkey-Anmeldung auf „Andere Option“ beziehungsweise einen vergleichbaren Weg auszuweichen, falls der ursprünglich vorgeschlagene Schlüssel nicht erreichbar ist. Welche Ersatzmethode angeboten wird, hängt vom Konto, vom Dienst und von den zuvor eingerichteten Sicherheitsoptionen ab.
Microsoft unterscheidet zwischen lokalen und synchronisierten Schlüsseln
Unter Windows kann ein Passkey lokal über Windows Hello gespeichert oder in einem synchronisierenden Zugangsdatenmanager abgelegt werden. Wird ein ausschließlich lokaler Passkey zusammen mit dem alten Computer verloren, muss für das neue Gerät nach einer erfolgreichen alternativen Anmeldung ein neuer Passkey eingerichtet werden. War der Schlüssel dagegen in einem synchronisierten Manager gespeichert, kann er nach der Anmeldung beim entsprechenden Konto wieder erscheinen. Microsoft empfiehlt, zunächst einen funktionierenden neuen Passkey einzurichten und anschließend nicht mehr benötigte Schlüssel des alten Gerätes aus dem Konto zu entfernen.
Ein gerätegebundener Passkey kann tatsächlich verloren sein
Liegt der private Schlüssel ausschließlich auf einem bestimmten Gerät und existiert keine Sicherung, verschwindet er mit einem zerstörten, zurückgesetzten oder unzugänglichen Gerät. Das betrifft beispielsweise bestimmte lokale Passkeys, Hardware-Sicherheitsschlüssel und bewusst nicht synchronisierte Unternehmenslösungen. In diesem Fall muss der Nutzer einen zweiten bereits registrierten Passkey verwenden oder den Wiederherstellungsprozess des jeweiligen Dienstes durchlaufen. Die FIDO Alliance weist darauf hin, dass bei einem verlorenen Gerät ohne Sicherung eine Kontowiederherstellung erforderlich werden kann.
Der verlorene Schlüssel lässt sich nicht aus dem Kopf rekonstruieren
Ein Passwort kann notfalls aufgeschrieben, aus dem Gedächtnis abgerufen oder über eine Zurücksetzen-Funktion ersetzt werden. Ein Passkey ist dagegen kein Wissen, das der Nutzer reproduzieren könnte. Ist ein ausschließlich lokaler privater Schlüssel verloren, kann er nicht aus dem öffentlichen Schlüssel auf dem Server zurückgerechnet werden. Genau diese Eigenschaft macht das Verfahren sicher, bedeutet aber auch, dass eine zweite Anmeldungsmöglichkeit vorbereitet sein sollte. Der Dienst kann nicht einfach den alten privaten Schlüssel per E-Mail zusenden.
Ein zweites angemeldetes Gerät ist die einfachste Absicherung
Wer Passkeys verwendet, profitiert erheblich davon, mindestens ein weiteres vertrauenswürdiges Gerät zu besitzen. Das kann ein Tablet, Notebook oder Zweitsmartphone sein, auf dem derselbe Zugangsdatenmanager eingerichtet ist. Nach dem Verlust des Hauptgerätes lässt sich damit häufig weiterhin auf wichtige Konten zugreifen, ein neuer Passkey hinzufügen und der alte entfernen. Besonders wertvoll ist ein Zweitgerät für das Plattformkonto, über das alle anderen Passkeys synchronisiert werden. Der Zugang zu diesem Konto bildet häufig den Ausgangspunkt der gesamten Wiederherstellung.
Ein Hardware-Sicherheitsschlüssel kann als Reserve dienen
Ein FIDO-kompatibler USB- oder NFC-Sicherheitsschlüssel kann bei wichtigen Konten als zusätzliche Anmeldungsmöglichkeit registriert werden. Er besitzt eigene gerätegebundene Schlüssel und wird getrennt vom Smartphone aufbewahrt. Geht das Handy verloren, kann der Hardware-Schlüssel die Anmeldung ermöglichen. Er darf allerdings nicht gemeinsam mit dem Smartphone in derselben Tasche verschwinden. Für besonders wichtige Konten können zwei Hardware-Schlüssel sinnvoll sein, von denen einer sicher an einem anderen Ort liegt. Google nennt FIDO-kompatible Sicherheitsschlüssel weiterhin als mögliche starke Anmeldemethode.
Wiederherstellungscodes gehören nicht auf das verlorene Handy
Manche Dienste stellen einmalig verwendbare Backup-Codes oder einen längeren Wiederherstellungsschlüssel bereit. Diese Informationen erfüllen ihren Zweck nur, wenn sie unabhängig vom Hauptgerät erreichbar bleiben. Ein Screenshot in der Fotogalerie desselben Smartphones ist daher eine schlechte Reserve. Geeigneter sind ein sicher verwahrter Ausdruck, ein verschlüsselter Datenträger oder ein sorgfältig geschützter Passwortmanager, dessen Wiederherstellung nicht allein von diesem einen Smartphone abhängt. Microsoft bietet für persönliche Konten beispielsweise einen 25-stelligen Wiederherstellungscode an, der vor einem Notfall erstellt und sicher aufbewahrt werden sollte.
Die Wiederherstellungs-E-Mail muss wirklich erreichbar sein
Viele Konten besitzen noch eine alternative E-Mail-Adresse oder Telefonnummer für Notfälle. Diese Angaben werden häufig einmal eingerichtet und anschließend jahrelang vergessen. Eine alte Telefonnummer, eine gekündigte Adresse oder ein Postfach, dessen Passwort ebenfalls nur auf dem verlorenen Gerät lag, hilft im Ernstfall nicht. Wiederherstellungsdaten sollten daher regelmäßig geprüft werden. Dabei muss auch bedacht werden, ob der Zugang zu einer Ersatzadresse wiederum vom selben verlorenen Smartphone abhängt. Eine scheinbar vorhandene Rückfallebene kann sonst lediglich zum selben blockierten Ausgangspunkt führen.
Die eigene Telefonnummer allein ist keine perfekte Reserve
SMS-Codes sind bequem, hängen aber von Mobilfunkempfang, SIM-Karte und der Sicherheit des Mobilfunkkontos ab. Nach einem Diebstahl kann eine Ersatz-SIM beantragt werden, doch dies benötigt möglicherweise Zeit und einen Identitätsnachweis. Außerdem sind SMS-Verfahren grundsätzlich weniger phishingresistent als Passkeys. Als zusätzliche Wiederherstellungsmöglichkeit können sie dennoch hilfreich sein, solange sie nicht die einzige Absicherung eines besonders wichtigen Kontos darstellen. Die FIDO Alliance weist darauf hin, dass schwächere Rückfallmethoden die Sicherheitsvorteile einer phishingresistenten Anmeldung teilweise unterlaufen können.
Wer das Handy entsperren kann, kann möglicherweise auch Passkeys nutzen
Ein Passkey schützt nicht vor einer Person, die das Gerät erfolgreich entsperren kann. Google warnt ausdrücklich, dass jeder, der ein Gerät entsperren kann, dort angelegte Passkeys möglicherweise zur Anmeldung am Google-Konto verwenden kann. Ein leicht erratbarer Gerätecode wie 1234 oder das Geburtsjahr schwächt daher auch die praktische Sicherheit der gespeicherten Passkeys. Ein ausreichend langer Gerätecode, biometrische Sperren und kurze automatische Sperrzeiten bleiben wichtig.
Der Fingerabdruck eines Schlafenden ist nicht die einzige Sorge
In Filmen wird Gerätesicherheit häufig auf das heimliche Verwenden eines Fingers oder Gesichts reduziert. Im Alltag sind beobachtete Gerätecodes, gemeinsam benutzte Smartphones und dauerhaft entsperrte Geräte oft relevanter. Wer anderen Personen den Entsperrcode gibt, gewährt ihnen möglicherweise nicht nur Zugang zu Fotos und Nachrichten, sondern auch zu gespeicherten Passkeys. Auf gemeinsam verwendeten Computern sollten Passkeys daher nicht unüberlegt im lokalen Profil abgelegt werden. Google empfiehlt, Passkeys nur auf persönlichen Geräten zu erstellen und einen irrtümlich auf einem gemeinsam genutzten Gerät gespeicherten Schlüssel anschließend aus dem Konto zu entfernen.
Ein gesperrtes Smartphone gibt den Passkey nicht einfach preis
Der private Schlüssel ist nicht als sichtbare Datei im Speicher abgelegt, die ein Finder ohne Weiteres kopieren könnte. Moderne Systeme schützen die Verwendung der Zugangsdaten durch die Gerätesperre und weitere hardwaregestützte Sicherheitsmechanismen. Das bedeutet nicht, dass jedes Smartphone unangreifbar ist. Ein aktuelles Betriebssystem, eine starke Displaysperre und eine aktivierte Geräteverschlüsselung erschweren den Zugriff jedoch erheblich. Das größte unmittelbare Risiko entsteht meist dann, wenn das Gerät beim Verlust entsperrt war oder der Dieb den Gerätecode kennt.
Nach dem Verlust sollte das Gerät sofort gesperrt werden
Sobald ein Smartphone vermisst wird, sollte zunächst über die Ortungs- und Verwaltungsfunktion des jeweiligen Herstellers versucht werden, es als verloren zu markieren oder aus der Ferne zu sperren. Anschließend werden Mobilfunkanbieter, Plattformkonto und besonders wichtige Dienste überprüft. Besteht keine realistische Aussicht auf eine Rückgabe oder sind sensible Daten gefährdet, kann ein Fernlöschen sinnvoll sein. Ob und wann dieser Schritt erfolgt, hängt davon ab, ob das Gerät noch geortet werden soll und welche Möglichkeiten das verwendete System bietet.
Der alte Passkey sollte beim Dienst entfernt werden
Eine Fernsperre des Smartphones und das Entfernen eines Passkeys erfüllen unterschiedliche Aufgaben. Die Gerätesperre schützt das gesamte Telefon. Das Löschen des Passkeys beim jeweiligen Onlinedienst sorgt zusätzlich dafür, dass genau dieser Schlüssel nicht mehr für eine Anmeldung akzeptiert wird. Bei Google können registrierte Passkeys im Sicherheitsbereich des Kontos ausgewählt und entfernt werden. Auch Microsoft stellt Verwaltungsbereiche für lokal oder im Konto registrierte Passkeys bereit. Nach einem Geräteverlust sollte daher geprüft werden, welche Schlüssel dem vermissten Gerät zugeordnet werden können.
Das Löschen auf einer Seite reicht nicht immer aus
Ein Passkey besitzt zwei relevante Seiten: Er ist im Zugangsdatenmanager gespeichert und beim jeweiligen Dienst registriert. Wird nur die lokale Kopie aus einem Manager gelöscht, kann die Registrierung beim Dienst weiterhin sichtbar bleiben, obwohl der Schlüssel nicht mehr nutzbar ist. Wird umgekehrt nur die Registrierung beim Dienst entfernt, kann der Manager den inzwischen wirkungslosen Eintrag noch anzeigen. Microsoft weist bei Arbeits- und Schulkonto-Passkeys darauf hin, dass sie sowohl im Sicherheitskonto als auch an ihrem Speicherort gelöscht werden sollten.
Eine Anmeldung per QR-Code kopiert den Schlüssel nicht zwingend
Ein Passkey auf dem Smartphone kann häufig zur Anmeldung auf einem fremden oder neuen Computer verwendet werden. Der Computer zeigt dabei einen QR-Code, der mit dem Handy gescannt wird. Anschließend wird die Anmeldung auf dem Smartphone bestätigt. Für solche geräteübergreifenden Verfahren kann Bluetooth verwendet werden, um zu prüfen, ob sich beide Geräte tatsächlich in der Nähe befinden. Der private Schlüssel muss dabei nicht dauerhaft auf den fremden Computer übertragen werden. Google beschreibt diese Möglichkeit für die Anmeldung mit einem Passkey auf einem anderen Gerät ausdrücklich.
Bluetooth überträgt dabei nicht das gesamte Konto
Die erforderliche Bluetooth-Nähe wird gelegentlich missverstanden. Sie bedeutet nicht, dass sämtliche Passwörter oder Passkeys offen über Bluetooth an den Computer gesendet werden. Die Funkverbindung dient unter anderem als Nachweis, dass sich das bestätigende Smartphone in räumlicher Nähe befindet. Die eigentliche Anmeldung beruht weiterhin auf kryptografischen Verfahren. Ein Angreifer soll dadurch nicht aus großer Entfernung einen fotografierten QR-Code nutzen können, während das Smartphone des Opfers an einem anderen Ort liegt.
Der Wechsel von Android zu iPhone ist kein einfacher Dateiumzug
Ob ein Passkey nach einem Plattformwechsel automatisch verfügbar ist, hängt davon ab, bei welchem Zugangsdatenmanager er gespeichert wurde und welche Geräte dieser unterstützt. Ein Passkey im iCloud-Schlüsselbund erscheint nicht allein deshalb im Google Password Manager, weil dieselbe E-Mail-Adresse verwendet wird. Ebenso werden lokal gespeicherte Windows-Hello-Schlüssel nicht automatisch auf ein Smartphone übertragen. Vor dem Verkauf oder Zurücksetzen des alten Gerätes sollte daher geprüft werden, ob alle wichtigen Konten auf dem neuen Gerät erreichbar sind. Gegebenenfalls wird zuerst mit dem alten Gerät angemeldet und anschließend ein zusätzlicher Passkey im neuen Zugangsdatenmanager erstellt.
Der Passwortmanager wird zum besonders wichtigen Konto
Synchronisierte Passkeys reduzieren das Risiko, beim Verlust eines einzelnen Gerätes ausgesperrt zu werden. Gleichzeitig gewinnt das Konto des Zugangsdatenmanagers an Bedeutung. Wer den Zugang zu Apple Account, Google-Konto, Microsoft-Konto oder einem Drittanbieter-Manager verliert, kann Schwierigkeiten bekommen, zahlreiche weitere Passkeys wiederherzustellen. Dieses zentrale Konto sollte deshalb besonders gut abgesichert sein: mit aktuellen Wiederherstellungsdaten, einem zweiten vertrauenswürdigen Gerät, einer sicheren Reserve und einem bekannten Wiederherstellungsweg.
Ein Passkey ersetzt nicht automatisch das Plattformpasswort
Ein Nutzer kann sich bei vielen Webseiten ausschließlich mit Passkeys anmelden und trotzdem weiterhin ein Passwort für sein Apple-, Google- oder Microsoft-Konto benötigen. Dieses Passwort kann erforderlich sein, um auf einem vollständig neuen Gerät die verschlüsselte Passkey-Sammlung wiederherzustellen. Apple nennt für die erste Anmeldung auf einem neuen Gerät ausdrücklich das Apple-Account-Passwort zusammen mit einem Bestätigungscode. Passkeys beseitigen Passwörter daher nicht in jeder technischen Ebene gleichzeitig. Sie können aber die tägliche Anmeldung bei zahlreichen Diensten wesentlich sicherer und bequemer machen.
Jeder Onlinedienst entscheidet über seine Rückfallmethoden
Passkeys standardisieren die sichere Anmeldung, aber nicht sämtliche Verfahren zur Kontowiederherstellung. Ein Dienst kann zusätzlich Passwörter, E-Mail-Links, Supportprüfungen, Identitätsnachweise, Backup-Codes oder weitere Passkeys zulassen. Bei einem anderen Dienst existiert möglicherweise nur ein automatisiertes Wiederherstellungsformular. Nutzer sollten deshalb nicht davon ausgehen, dass jeder Passkey-Anbieter denselben Ablauf besitzt. Vor dem Entfernen des letzten Passworts oder Zurücksetzen eines Gerätes lohnt sich ein Blick in die Sicherheitsoptionen besonders wichtiger Konten.
Eine schwache Wiederherstellung bleibt ein mögliches Einfallstor
Ein Konto kann im Alltag durch einen phishingresistenten Passkey geschützt sein und trotzdem über einen leicht manipulierbaren Supportprozess übernommen werden. Muss ein Angreifer nur eine E-Mail-Adresse und wenige persönliche Angaben nennen, ist die starke Hauptanmeldung wenig wert. Gute Anbieter gestalten deshalb auch die Wiederherstellung sorgfältig. Die FIDO Alliance betont, dass die Sicherheit eines Authentifizierungssystems durch schwächere Wiederherstellungswege beeinträchtigt werden kann. Für Nutzer bedeutet das: Passkeys erhöhen die Sicherheit deutlich, ersetzen aber nicht die Prüfung, welche Notfallmethoden beim jeweiligen Dienst aktiv sind.
Mehrere Passkeys für ein wichtiges Konto sind sinnvoll
Viele Dienste erlauben, mehrere Passkeys zu registrieren. Einer kann im synchronisierten Zugangsdatenmanager liegen, ein weiterer auf einem Notebook und ein dritter auf einem Hardware-Sicherheitsschlüssel. Geht eines dieser Geräte verloren, bleiben andere Zugänge bestehen. Nicht jeder Dienst oder Manager stellt die Einträge gleich übersichtlich dar, weshalb die Passkeys nach Gerät und Erstellungsdatum benannt beziehungsweise regelmäßig geprüft werden sollten. Ein längst verkauftes Notebook muss nicht jahrelang als berechtigtes Anmeldegerät im Konto verbleiben.
Vor einem Gerätewechsel sollte zuerst getestet werden
Das alte Smartphone sollte nicht gelöscht, verkauft oder eingetauscht werden, bevor die Anmeldung auf dem neuen Gerät erfolgreich geprüft wurde. Dabei genügt es nicht, nur den Zugangsdatenmanager zu öffnen. Mindestens die wichtigsten Konten sollten tatsächlich mit dem neuen Gerät angemeldet werden. Erst danach werden neue Passkeys ergänzt, alte Einträge entfernt und das bisherige Smartphone zurückgesetzt. Diese Reihenfolge verhindert, dass ein theoretisch vorhandener Synchronisationsweg erst nach dem Löschen als unvollständig erkannt wird.
Ein Notfallplan muss nicht kompliziert sein
Für die meisten Nutzer reicht eine überschaubare Vorbereitung. Die Passkeys werden in einem synchronisierten, vertrauenswürdigen Zugangsdatenmanager gespeichert. Das zugehörige Hauptkonto besitzt eine aktuelle Telefonnummer und eine erreichbare Wiederherstellungsadresse. Zusätzlich existieren ein zweites angemeldetes Gerät oder ein sicher verwahrter Hardware-Schlüssel sowie ausgedruckte beziehungsweise getrennt gespeicherte Recovery-Codes. Einmal im Jahr wird geprüft, ob diese Wege noch funktionieren. Damit wird aus dem Verlust des Smartphones ein lästiger Gerätewechsel, aber keine digitale Katastrophe.
Was unmittelbar nach dem Verlust zu tun ist
Zuerst wird das Smartphone über die Herstellerfunktion gesucht und als verloren markiert. Danach sollte die SIM-Karte beim Mobilfunkanbieter gesperrt werden, falls ein Diebstahl wahrscheinlich ist. Über ein vorhandenes Zweitgerät meldet sich der Nutzer bei seinem Plattformkonto und bei besonders wichtigen E-Mail-, Finanz- und Kommunikationsdiensten an. Passkeys des verlorenen Gerätes werden entfernt, aktive Sitzungen überprüft und unbekannte Anmeldungen beendet. Anschließend wird das Ersatzgerät eingerichtet und getestet, bevor alte Zugangsmethoden endgültig gelöscht werden.
Passkeys machen Geräteverlust nicht bedeutungslos
Ein verlorenes Smartphone enthält weiterhin persönliche Nachrichten, Bilder, Dokumente und möglicherweise bereits angemeldete Apps. Passkeys verhindern nicht jede Form des Datenmissbrauchs. Sie sorgen jedoch dafür, dass der Angreifer kein wiederverwendbares Passwort aus einer Webseite stehlen kann und der private Schlüssel normalerweise durch die Gerätesperre geschützt bleibt. Bei synchronisierten Passkeys bleibt außerdem meist eine verschlüsselte Kopie für die eigenen Ersatzgeräte vorhanden. Der Verlust ist daher ernst zu nehmen, führt aber nicht zwangsläufig zum Verlust aller damit verwendeten Konten.
Gute Vorbereitung entscheidet über den Unterschied
Passkeys sind nicht deshalb praktisch, weil ein verlorenes Gerät keine Rolle mehr spielt. Sie sind praktisch, weil moderne Zugangsdatenmanager mehrere sichere Wege bereitstellen können, nach einem Geräteverlust weiterzuarbeiten. Wer lediglich einen einzigen lokalen Passkey auf einem einzigen Smartphone besitzt und keine Ersatzmethode eingerichtet hat, kann weiterhin ausgesperrt werden. Wer dagegen Synchronisierung, Zweitgerät, Wiederherstellungsdaten und einen zusätzlichen Sicherheitsschlüssel kombiniert, kann selbst nach Diebstahl oder Totalschaden schnell wieder Zugang erhalten. Der wichtigste Schritt geschieht deshalb nicht nach dem Verlust, sondern vorher: Einmal bewusst prüfen, wo die eigenen Passkeys gespeichert sind und welcher Weg ohne das Hauptsmartphone zurück ins Konto führt.
