Passkeys einfach erklärt

[DFFVB]

Good Morning Computerbase, den Text hab ich als Familienadmin in die Gruppe gepostet, und dachte ggf. hilft es dem ein oder anderen hier auch das Thema zu verstehen. Feedback immer gerne.

Kurzes IT-Update: Vlt. stolpert ihr ab und an über die neue Passwort-Alternative Passkeys. Um die Vorteile zu beschreiben müssen wir kurz das Passwort wiederholen. Hier haben wir folgende Nachteile: Passwörter werden so einfach wie möglich gehalten, damit man sie sich gut merken kann. Passwörter werden gerne bei mehreren Diensten benutzt. Passörter können übe Keylogger mitgeschrieben werden. Wenn der Anbieter gehackt wird ist das Passwort auf kurz oder lang auch im Netz (andere Dienste mit dem selben Passwort sind in Gefahr). Lösung damals: Zwei Faktor Authentifizierung. Sprich man bekommt eine SMS mit Einmalcode, oder scannt mit einer Authentifizierungsapp einen QR Code, der die Einmalcodes dann generiert. Teilweise muss man auch nur auf dem Telefon okay drücken. Das ist gut, aber meist auch etwas nervig.

Passkeys sind super starke Passwörter die sich der Computer überlegt, und die das Gerät auf dem gespeichert sind grundsätzlich nicht verlassen, weil sie grundsätzlich in einem Hochsicherheitsspeicher gespeichert werden (Secure Enclave, TPM etc.) und sich gegenüber dem Dienst (E-Mail, Amazon etc.) über eine kleine Matheaufgabe authentifizieren. Das ist toll, weil es alle Probleme von oben löst. Damit kommen aber unter Umständen neue Probleme:

1. Verliere ich das Gerät auf dem der Passkey gespeichert ist, kann ich mich nicht anmelden.
2. Bekommt jemand Zugriff auf das Gerät mit Passkey, kann er theoretisch auch auf die Passkeys zugreifen.

Beide Probleme wurden auf verschiedene Weisen gelöst.

Zu 1. Man kann mehrere Geräte haben (Handy und Laptop). Und man kann Sticks kaufen, dazu unten mehr. Dazu ist mir kaum ein Dienst bekannt, der nicht weiterhin eine alternative Anmeldung erlauben würde (sprich per Passwort + zweiter Faktor), was den Verlust verschmerzbar macht. Dazu gibt es nun auch die Möglichkeit, dass man Passkeys nicht mehr im Hochsicherheitsspeicher speichert, sonder in regulären Passwortmanagern, die sich auch über das Internet synchronisieren lassen. Mir persönlich ist das nichts, auch wenn ich versierte Freunde habe, die genau das machen, weil Ende zu Ende verschlüsselt. So wäre der Passkey auch im Internet.

Zu 2. Der Hochsicherheitsspeicher ist immer noch mit einer PIN / Passwort / Fingerabdruck / Gesichtsscan geschützt. Wer also Zugriff auf das Gerät bekommt, kann nicht direkt auf die Passkeys zugreifen.

Wenn ihr euch also wo anmeldet und Passkeys angeboten werden, ist das eine gute und sichere Idee. Sofern ihr aber keinen Passwortmanager nutzt, der das unterstützt, geht es immer nur von dem Gerät von dem aus ihr auch anmeldet.

Da die Hochsicherheitsspeicher noch nicht soo lange zugänglich sind, musste man sich zu Beginn noch USB-Sticks kaufen, ich hab mir als First Mover, damals zwei für je 45 EUR gekauft. Nun gibt es eine Demokratisierung in Form dieser Firma, für 25 EUR bzw. 19 EUR (plus Versand). Diese Sticks können die Passkeys dann auch speichern, können sich an verschiedenen Geräten nutzen lassen (auch per NFC) und auch als Back Up im Schrank liegen, falls man ein Gerät verliert, sollte der Dienst dann keine Anmeldung per Passwort und zweiter Faktor erlauben.

https://www.token2.com/shop/product/token2-t2f2-dual-pin-octo-fido2-1-security-key-nonbranded

(Mit steigender Anzahl an Devices wie Tablet, multiple Smartphones etc. sinkt die Notwendigkeit solcher Sticks allerdings).

 

[nutrix]

Zuviel wall-of-text, was aus meiner Sicht nicht leicht erkärt ist. Zudem fehlt bei Dir der Hinweis, wie genau ein Passkey funktioniert:

https://www.bsi.bund.de/DE/Themen/V...eys/passkeys-anmelden-ohne-passwort_node.html

Deine Erklärung vom Passkey ist vollkommen falsch.

Passkeys sind super starke Passwörter die sich der Computer überlegt, und die das Gerät auf dem gespeichert sind grundsätzlich nicht verlassen, weil sie grundsätzlich in einem Hochsicherheitsspeicher gespeichert werden (Secure Enclave, TPM etc.) und sich gegenüber dem Dienst (E-Mail, Amazon etc.) über eine kleine Matheaufgabe authentifizieren. Das ist toll, weil es alle Probleme von oben löst. Damit kommen aber unter Umständen neue Probleme:

Das zeigt leider, daß Du überhaupt nicht verstanden hast, wie ein Passkey genau funktioniert.

Passkey arbeitet im Prinzip wie ein SSH-Key bzw. Zertifikate: Man generiert einen geheimen und einen öffentlichen Schlüssel/Zertifikat, der mit einem Kennwort hinterlegt wird. Den geheimen behält man, den öffentlichen verteilt man. Sobald man das eigene geheime, welches mal lokal vorhält, öffnet, wird das nur lokal mit einem Kennwort abgefragt, und dann wird das geheime Zertifikat gegen den öffentlichen Schlüssel gegen geprüft. Hier nochmal schön erklärt:
https://www.heise.de/ratgeber/Passk...unts-mit-dem-Passwort-Nachfolger-9224753.html

 

[M@rsupil@mi]

Ohne Frage eine lobenswerte Idee so etwas der Familie bzw. den nicht-IT-Interessierten zu erklären. Wenn ich das mit den Leuten vergleiche, die ich so kenne / tagtäglich zu tun habe und die alle nur 'Nutzer' sind, da würde mir keiner einfallen, der aus dem Text nennenswert was behalten / verstehen würde. Vielleicht ein 'XY sagt soll man machen'. Aber der Rest? Wirkt IMO nicht so einfach und zugänglich für den IT-Dau. Da rennt die Familie doch eher ins offene Messer bei der Nutzung.

 

[just_f]

Passkey arbeitet im Prinzip wie ein SSH-Key bzw. Zertifikate:

Du magst zwar im Recht sein, aber was bringen diese Informationen Menschen die damit absolut nix zu tun haben?

 

[nutrix]

Vielleicht hat ja der TS damit schon mal gearbeitet?

 

[DFFVB]

@nutrix Danke für Dein Feedback, was Du ja noch mal etwas ausgebaut hast, aber nicht über die Tatsache hinwegtäuscht, dass es am Thema vorbei geht. Ich habe bewusst auf die Erklärung einer asymetrischen Verschlüsselung verzichtet, da es nur unnötig verwirrt und den Text länger machen würde. Der DAU muss das auch nicht wissen. Du solltest es aber wissen, wenn es sich an "einfach erklärt" richtet und nicht "paper for peer review". Eben was in Deiner Grafik mit Challenge beschrieben ist, habe ich verkürzt als "Matheaufgabe" beschrieben. Das reicht vollkommen aus.

Das zeigt leider, daß Du überhaupt nicht verstanden hast, wie ein Passkey genau funktioniert.

Das zeigt leider dass Du den Sinn des Posts nicht verstanden hast, es soll Nutzern die nicht wissen was Passkeys tun, eben diese näher bringen. Hier ist es für einen DAU deutlich wichtiger zu wissen, ob er sich eventuell ausschließt bzw. pro und contra wenn es nicht im TPM gespeichert ist, anstatt asymterische Verschlüsselung zu erfassen.

 

[nutrix]

Ich habe nichts dagegen, wenn Du Dinge vereinfachst. Aber der Passus, den ich monierte, ist trotzdem falsch. Passkeys sind KEINE superstarken Kennwörter. Und das es Schlüssel gibt, versteht meiner Meinung nach auch ein nicht sachkundiger Dau. Insbesondere ist die Grafik von Heise selbst für Laien durchaus erhellend.

Bei aller Liebe sollte man doch vermeiden, den Leuten "falsche" Gedanken und Vorstellungen in den Kopf zu setzen. Das kommt auf lange Sicht auch nicht gut, wenn Du verstehst, was ich meine.

Und wie gesagt, ich bin der Meinung, bei so viel Text - gerade auch mit technischen Inhalten - schalten die meisten ohne Leute erfahrungsgemäß eh ganz schnell auf Durchzug. Daher würde ich es als Vorlage für Erklärungen wesentlich kürzen und viel mehr mit Grafiken arbeiten.

 

[DFFVB]

Passkeys sind KEINE superstarken Kennwörter. Und das es Schlüssel gibt, versteht meiner Meinung nach auch ein nicht sachkundiger Dau

Was ist ein Kennwort? Was ist ein Schlüssel? Bring mir mal eine Defintion die semantisch, globalgültig differneziert. Es sind beides Informationen die eine Authentifizierung ermöglichen. Und Du kannst gerne glauben, dass ein DAU das versteht, ich weiß aus Erfahrung dass dem nicht so ist. Nimm meine anekdotische Evidenz. Abgesehen davon, was soll der DAU mit einer "Challenge". Ist bestimmt leichter zu verstehen als "Matheaufgabe". Abgesehen davon ersetzt deine Grafik lediglich die Matheaufgabe, ansosnten würde der Text nicht kürzer werden.

den Leuten "falsche" Gedanken und Vorstellungen

Du hast noch keinen Beweis gebracht, dass es falsch ist.

Ich hab aber einen Vorschlag für Dich: Schreib es doch mal besser auf. Schreibst ja insgesamt ne Menge Kommentare...

 

[M@rsupil@mi]

Geschätzt 99% der reinen User verliert man grundsätzlich bei einer Erklärung, wenn die mehr als 1-2 Zeilen lang ist. Insbesondere wenn es technische Aspekte betrifft, da dürfte für den User die Nutzung / Probleme / Gefahr doch wichtiger und auch verständlicher sein.

Bezüglicher verständliche Beschreibung: Ich finde den in Beitrag #2 verlinkten Text vom BSI durchaus ganz gut gemacht / verständlich für Otto-Normalverbraucher, die sich dafür interessieren / angehen wollen.

 

[cyberpirate]

Danke. Lese Ich mich auch mal ein. Bisher nutze Ich sowas noch gar nicht.

 

[nutrix]

Was ist ein Kennwort? Was ist ein Schlüssel? Bring mir mal eine Defintion die semantisch, globalgültig differneziert. Es sind beides Informationen die eine Authentifizierung ermöglichen.

Das ist jetzt beileibe nicht böse gemeint, aber wenn Du schon diese Fragen so stellst, merkt man doch recht schnell, daß Du das Thema - so wie vermutet - nicht so richtig verstanden hast.

Ein Kennwort ist eine direkte Authentifizierung, das Du meistens durch Bekanntgeben per Tippen oder sagen (diverse Onlineanbieter) mußt. Ein Schlüssel ist eine indirekte Authentifizierung mittels Abgleichen von privatem zu öffentlichen Schlüssel, was durchaus physisch ungefähr mit Schloß und Schlüssel zu vergleichen ist. Das eventuelle Kennwort des Schlüssel gibst Du an, damit Du den geheimen Schlüssen nutzen kannst, der aber für den Schlüsselabgleich mit externen Systemen irrelevant ist. Der Schlüssel ist fertig hinterlegt, hier muß - bis auf dem Abgleich - vom Benutzer nichts weiter gemacht werden.

Daher ist Kennwort IMMER != Schlüssel. Das sind 2 vollkommen verschiedene Verfahren. Das Kennwörter intern wiederum mit Schlüsseln (Salt, HASH usw.) intern abgelegt werden, ist hier ebenso nicht vergleichbar wie der Abgleich über asymmetrische Schlüssel. Ein Kennwort kannst Du frei wählen, ein Schlüssel wird mittels diverser mathematischer Verfahren generiert, Du hast (bis auf die Wahl der Schlüssellänge und das Verfahren (DSA, RSA, ED15227..) keine Einflußmöglichkeiten, wie das Ding erzeugt wird und was da drinnen steht.

Du hast noch keinen Beweis gebracht, dass es falsch ist.

Jetzt wirds seltsam. Gut, Du hast anscheinend noch nicht Menschen aus- und weitergebildet, damit Du genau diesen Punkt verstehen kannst. Und und das andere habe ich Dir jetzt ausführlich erklärt, warum Deine bisherige Erklärung dazu falsch ist. Hier auch wieder mein Eindruck, wenn Du mal ernsthaft die Sache genauer beleuchtet hättest, hättest Du es - wenn Du es richtig verstanden hättest - selbst merken müssen, daß so Deine Erklärung überhaupt nicht paßt oder passen kann.

Ich hab aber einen Vorschlag für Dich: Schreib es doch mal besser auf. Schreibst ja insgesamt ne Menge Kommentare...

Your topic, your problem. Du hast um Kritik gebeten

Feedback immer gerne.

ich habe sie geliefert, der Rest ist Dein Ding. Feedback heißt nicht, daß ich Dir weiter die Arbeit dazu abnehme.

Daher, geh einfach mal in Dich, arbeite das mit der oben verlinkten Dokus nochmal durch, und leg Deinen Text mal einen oder mehreren unbedarften Menschen direkt vor und geh das mit ihm gemeinsam so durch, ob er das wirklich so auf Anhieb verstehen kann.

Ergänzung (Montag um 16:52)

Bezüglicher verständliche Beschreibung: Ich finde den in Beitrag #2 verlinkten Text vom BSI durchaus ganz gut gemacht / verständlich für Otto-Normalverbraucher, die sich dafür interessieren / angehen wollen.

Richtig, warum das Rad hier nochmal erfinden? Ich würde die beiden Links versenden, und den Leuten, die Fragen dazu haben, zur Verfügung stehen.

 

[DFFVB]

Geschätzt 99% der reinen User verliert man grundsätzlich bei einer Erklärung, wenn die mehr als 1-2 Zeilen lang ist. Insbesondere wenn es technische Aspekte betrifft, da dürfte für den User die Nutzung / Probleme / Gefahr doch wichtiger und auch verständlicher sein.

Die Gefahr besteht, aber wie machst Du es anders? Das Thema ist nicht trivial, und bisher bin ich so gut gefahren.

: Ich finde den in Beitrag #2 verlinkten Text vom BSI durchaus ganz gut

Ist in der Tat gut gemacht, hätte ich mir die Tipperei sparen können, wenngleich die Chance bei etwas persönlich Geschriebenem ungleich höher ist, als bei einem Link.

Ein Schlüssel ist eine indirekte Authentifizierung mittels Abgleichen von privatem zu öffentlichen Schlüssel, was durchaus physisch ungefähr mit Schloß und Schlüssel zu vergleichen ist.

Falsch, es gibt auch symmetrische Schlüssel. Du interpretierst dass ein Schlüssel immer asymetrisch sein muss. Am Ende vom Tag ist es Semantik und ich hatte Dich nach einer gültigen Definition gefragt. Die gibt es nicht.

Jetzt wirds seltsam.

In der Tat selstam da Du den vermeintlichen Beleg für Deine Aussage erst im letzten Post getoffen hast. Abgesehn davon war es keine Kritik, sondern unbelegte Behauptungen. Kritik hat @M@rsupil@mi geübt. Er hat den durchaus berechtigten EInwand gebracht, dass lange Texte Menschen abhängen. Du hingegen hast die Behautpung aufgestellt, dass es "vollkommen falsch" wäre, bist aber nicht in der Lage dies zu belegen. Wenn Du etwas Ahnung hättest wüsstest Du dass Schlüssel der Überbegriff sind, und für Passwörter (oder Kennwörter?) oder maschinengenerierte Schlüssel verwendet wird. Umgangssprachlich sind Shclüssel meist länger und eben maschingeneriert. Dann kann man sagen dass meine Aussage ungenau ist, was ich aber bewusst gemacht habe, um nicht zu verwirren, da der Zweck letzten Endes der gleiche ist. Du aber sagst, dass es vollkommenfalsch ist, was etwas anderes als ungenau ist, daher liegst am Ende Du falsch.

 

[nutrix]

Falsch, es gibt auch symmetrische Schlüssel. Du interpretierst dass ein Schlüssel immer asymetrisch sein muss.

Jetzt reiten wir aber auf Details rum, die hier irrelevant sind. Ja, gibt es auch.

Am Ende vom Tag ist es Semantik und ich hatte Dich nach einer gültigen Definition gefragt. Die gibt es nicht.

Ich kann doch erwarten, daß Du selbst lesen und recherieren kannst.
https://de.wikipedia.org/wiki/Passwort

Alternativen​

Anstatt Passwörter manuell eingeben zu lassen, können Schlüssel auch in einer Schlüsseldatei abgelegt werden.

Wenn Schlüssel als Alternative zu einem Kennwort genannt werden, muß daß ja irgendwie anders sein, oder nicht?

Passkeys sind super starke Passwörter die sich der Computer überlegt

Wenn Du das jetzt immer nicht verstanden hast... Und ich hab Dir gleich in meiner ersten Entgegnung genau gesagt, was der Unterschied ist. 🙄

Dann kann man sagen dass meine Aussage ungenau ist, was ich aber bewusst gemacht habe, um nicht zu verwirren, da der Zweck letzten Endes der gleiche ist.

Nicht ungenau, sondern absolut und total falsch!

Du aber sagst, dass es vollkommenfalsch ist, was etwas anderes als ungenau ist, daher liegst am Ende Du falsch. Jeder Azubi im ersten Lehrjahr bzw. mit IT-Grundkenntnissen hätte es besser gemacht. Aber das willst Du ja nicht hören, sondern beißt nur sinnlos um Dich.

Jetzt reden wir die Sache für uns schön oder wie? Ok, hab verstanden, Feedback ist doch unerwünscht, wenn es nicht in den eigenen Kram paßt.

 

[DFFVB]

Jetzt reiten wir aber auf Details rum, die hier irrelevant sind. Ja, gibt es auch.

LOL - also bei mir sind es essentielle Details die falsch sind, bei Dir ist es aber egal? Pipi Langstrumpf bist Du es?

Ich kann doch erwarten, daß Du selbst lesen und recherieren kannst.

Wenn Schlüssel als Alternative zu einem Kennwort genannt werden, muß daß ja irgendwie anders sein, oder nicht?

Natürlich kannst Du das. Lass mich auch Wiki zitieren:

Im einfachsten Fall, bei den meisten symmetrischen Verfahren der klassischen Kryptographie wie beispielsweise der Vigenère-Chiffre oder dem Playfair-Verfahren, handelt es sich dabei um ein Kennwort, das benutzt wird, um einen Klartext zu verschlüsseln und so einen Geheimtext zu erhalten. Umgekehrt wird dieses Kennwort erneut als Schlüssel benötigt, um aus dem Geheimtext durch Entschlüsselung wieder den Klartext zu gewinnen. Bei modernen, computerbasierten symmetrischen und auch asymmetrischen Verfahren ist der Schlüssel hingegen eine Bitfolge.

Damn da steht Kennwort. Also kann ein Kennwort auch ein Schlüssels sein? Oder erklärst Du mir noch den Unterschied zwischen Passwort und Kennwort?

Nicht ungenau, sondern absolut und total falsch!

Was Du nicht beweisen kannst, weil es keien globale Defintion gibt. Bzw. Wiki was anderes sagt. Den elementaren Kern bist Du nicht in der Lage zu begreifen. In beiden Fällen habe ich eine geheime Information mit welcher ich mich legitimiere. Ob ich es Schlüssel oder Kennwort nenne ist gänzlich einerlei, denn das Ergebnis ist das gleiche. Daher kann meine Aussage nicht falsch sein. Dass sie ungenau ist bin ich dabei, da umgangsprachlich Kennwort und Schlüssel zweierlei sind. Aber umgangsprachlich hilft uns a) nicht weiter und b) war es eine bewusste Verkürzung.

Jetzt reden wir die Sache für uns schön oder wie? Ok, hab verstanden, Feedback ist doch unerwünscht, wenn es nicht in den eigenen Kram paßt.

Falsch, weil Du keien Kritik übst sondern eien Falschaussage. Du sagst meine Aussage wäre falsch, ich sage dir dass sie beuwssst verkürzt ist, weil das Ergebnis das gleiche ist. Das muss man verstehen können. Und nun viel Spaß auf der Igno Liste

 

[M@rsupil@mi]

wie machst Du es anders? Das Thema ist nicht trivial, und bisher bin ich so gut gefahren.

Wenn es für dich / deine Support-Fälle funktioniert, dann ist es doch schon ein gutes System. Will dir da dann auch auf keinen Fall einreden was anders zu machen.

Hast du mal die Probe gemacht und bei dir in der Familie nach X Tagen gefragt, was die Personen noch von der Erklärung wussten bzw. ob sich was im Bezug auf Logins & Sicherheit geändert hat?

Speziell bei PK würde ich es sehr viel simpler (in der Erklärung) angehen: Etwa PW muss man nur wissen / nachschauen + eintippen, bei 2FA neben dem PW einen Code eingeben, den man auf dem Telefon per SMS oder App angezeigt bekommt und mit PK reicht ein Passwort / Pin für die App und man hat sich angemeldet. Ganz ohne technische Beschreibungen oder Details und z.T. extrem vereinfacht / 'hingebogen' und ohne Alternativen (wie geht auch ohne App, etc.), aber da würde dann Otto-Normaluser zumindest auch Problemquellen ggf. selbst sehen (-> etwa alles hängt vom Zugriff auf den Passkey / das Telefon ab).

Allerdings sehe ich zumindest aktuell noch sehr viele Probleme bei den PK und Otto-Normalerbraucher. Fängt ja schon mit den unterschiedlichen PK-Ökosystemen an und was wohin synchronisiert / gesichert werden kann und was nicht.

(Beispielhafte Übersicht zum ersten Suchergebnis, was ich dazu gefunden habe)

Dann unterstützt nicht jede Seite Passkeys (-> also 2 Login-Wege, die sich der Dau merken und gut absichern muss), meine letzten auch was gelesen zu haben, dass manche Dienste eine bestimmte Authenticator-Variante wollen und am Ende sperrt sich der User selbst aus bzw. wird ggf. ausgesperrt. Zumindest auf all solche Probleme müsste man im Nachhinein hinweisen / durchgehen, wenn Interesse an PK besteht. Da ist IMO viel individuelle Hilfe / nachträgliche Erklärung notwendig.

Ist natürlich auch immer von User zu User unterschiedlich. Manche nutzen X Geräte, andere nicht einmal ein Smartphone und/oder sind mehr oder weniger 'Aufnahmefähig' in Bereich Account-Sicherheit / IT-Nutzung.

Ich setzte zumindest aktuell lieber bei den Basics an, so dass etwa Passwörter gut sind + notiert werden (digital oder auf Papier), ein gewisses Sicherheitsbewusstsein vorhanden ist, für die wichtigsten Konten ausreichend Verifizierungen hinterlegt sind (+ entsprechende Vermerke für Telefonnummern, die aktuell gehalten werden müssen). Für Mail / PP / wichtige Konten gerne auch 2FA, so dass insgesamt eine solide Grundsicherheit vorhanden ist.

Sollte die PK-Zeit kommen, dann schadet IMO so eine Basis nicht, da im Worst-Case die restliche Account-Absicherung sehr wichtig ist (man selbst kommt auf Alternativen rein, aber andere nicht).

 

[nutrix]

Was Du nicht beweisen kannst, weil es keien globale Defintion gibt. Bzw. Wiki was anderes sagt. Den elementaren Kern bist Du nicht in der Lage zu begreifen. In beiden Fällen habe ich eine geheime Information mit welcher ich mich legitimiere. Ob ich es Schlüssel oder Kennwort nenne ist gänzlich einerlei, denn das Ergebnis ist das gleiche.

Nein, weil ein Stuhl auch kein Schrank ist, oder umgekehrt. Es gibt sprachliche Konventionen, nur Du willst sie aushebeln, indem Du Dinge anders benennst, als sie sind.

Daher kann meine Aussage nicht falsch sein. Dass sie ungenau ist bin ich dabei, da umgangsprachlich Kennwort und Schlüssel zweierlei sind. Aber umgangsprachlich hilft uns a) nicht weiter und b) war es eine bewusste Verkürzung.

Du machst das so daraus, Fakt ist, jeder in der IT weiß den Unterschied zwischen Schlüssel und Kennwort, nur Du nicht. Aber ich will Dich gerne mal sehen, wie Du einen Schlüssel interaktiv eintippst. Spätestens dann merkst Du, daß Du mit Deiner Definition falsch liegst.

Falsch, weil Du keien Kritik übst sondern eien Falschaussage. Du sagst meine Aussage wäre falsch, ich sage dir dass sie beuwssst verkürzt ist, weil das Ergebnis das gleiche ist.

Und Rechtschreibfehler sind auch noch dauernd drin. Daher sollte man gewisse Dinge denjenigen überlassen, die das auch können und vor allen Dingen verstehen. Deine Erklärung, mit allem Verständnis, ist einfach nicht tauglich. Anstatt diejenigen zu kritisieren, die es besser können und wissen, und mal danke zu sagen, ich überdenke und überarbeite es, willst Du nur Recht haben. Du kannst ja gerne mal mit Kryptoexperten Dich beraten, ob sie Schlüssel gleich einem Kennwort setzen.

Ergänzung (Montag um 23:02)

Ich setzte zumindest aktuell lieber bei den Basics an, so dass etwa Passwörter gut sind + notiert werden (digital oder auf Papier), ein gewisses Sicherheitsbewusstsein vorhanden ist, für die wichtigsten Konten ausreichend Verifizierungen hinterlegt sind (+ entsprechende Vermerke für Telefonnummern, die aktuell gehalten werden müssen). Für Mail / PP / wichtige Konten gerne auch 2FA, so dass insgesamt eine solide Grundsicherheit vorhanden ist.

Ok, und wer würde sich die Schlüssel notieren oder speichern? Das sollte man bei Passkey an sich auch machen. Gerade wenn der private Schlüssel verschwindet oder beschädigt wird, sollte man hin wieder herstellen können. Sonst gibts keine Zugriffe mehr auf seine mit Passkey genutzten Zugänge.