Passkeys nur in der Theorie gut?

[fieserfisch]

Wozu noch PC? Das geht doch alles in der Banking App. Dafuer ist die doch da.

Bei meiner Bank kann man Beträge über 20.000 nicht in der App überweisen. Außerdem lassen sich keine Exporte der Umsätze vornehmen.

Das ist nicht notwendig.

Danke!.

Du kannst deine Passkeys auch selbst verwalten, Apple und Google haben nur eben bereits eine implementierung in Android/iOS. Musst du aber nicht nutzen.

Ich weiß, denn genau an die will ich mich dahingehend nicht binden. Backups sind gut und schön aber die macht man nicht jeden Tag und nach Myrphy passiert einem das eben vielleicht grade wenn man ein wichtiges Konto umgestellt hat und den neuen Schlüssel noch nicht gesichert hat. Sicherlich nur entscheidend wenn man das Passwort auch löscht, aber wenn man den Verfechtern glaubt, dann ist es ja wirklich nur sicherer, wenn man nach Key Erstellung auch das PW löscht.

Die Frage ist doch, warum du auf deinem Arbeits-PC deine privaten Einträge brauchst. Das sollte eigentlich nicht so sein. Arbeitskram bleibt in der Arbietswelt, Privatkram bleibt in der Privatwelt.

Ganz einfach, weil ich viele meiner Privaten Dienste und Konten auch für die Arbeit nutze, ich möchte meine private Key Datei aber nicht auf den Servern der Firma liegen haben.

Verstehe ich nicht. Man muss doch nicht zwingend Google oder sonst irgendein Big Tech Unternehmen für Passkeys nutzen. Die meisten Leute werden es zwar aus Bequemlichkeit tun, aber das ist dann deren freie Entscheidung und kein Zwang.

Nein muss man nicht, wie gesagt ich bin Keepass Nutzer. Die großen hätten jedoch den Vorteil, dass wenn man bspw. alles im Google Konto speichert, dass auch über alle Geräte gesynct wird und eine Anmeldung dann Problemlos mit einem Chrome möglich wäre, wenn man dort bspw. sein privaten Google Acc nutzt. Aber erstens will ich wie gesagt meine Passkeys nicht bei Google hosten und zweitens kann ich mich auf Arbeit weder bei MS noch bei Google anmelden. Das ist gesperrt.

In den meisten Fällen stimme ich dir da zu. Es ist dennoch recht unbequem, extra zu einem zweiten Gerät greifen zu müssen, um an das nötige OTP für den Login ran zu kommen. Ich glaube das ist auch der Grund dafür, weshalb man Passkeys gerne verbreitet haben will. Die Lösung mit den OTPs ist den meisten Leuten eben einfach zu umständlich, weshalb sich das auch nicht gut durchsetzt.

Ganz ehrlich, wenn ich in der Kombination aus Keepass und Handy bloß einen QR Code bei einem Dienst auf dem PC scannen müsste um mich in einem Konto anzumelden hätte ich damit überhaupt kein Problem. Wie gesagt die Lösung von bspw. Whatsapp oder meiner Bank App finde ich Klasse. Leider ist das zu wenig verbreitet. Zumindest bei meinen Diensten.


Also kann man zusammenfassend sagen. Wenn man nicht ausschließlich Geräte nutzt auf denen man die Kontrolle hat, also nicht auf Arbeit oder PCs von Freunden, dann sind Passkeys in ihrer restriktiven Form (PW aus dem Konto löschen) nicht wirklich praktikabel.

 

[Vexz]

Ganz ehrlich, wenn ich in der Kombination aus Keepass und Handy bloß einen QR Code bei einem Dienst auf dem PC scannen müsste um mich in einem Konto anzumelden hätte ich damit überhaupt kein Problem. Wie gesagt die Lösung von bspw. Whatsapp oder meiner Bank App finde ich Klasse. Leider ist das zu wenig verbreitet. Zumindest bei meinen Diensten.

Ja, das mag in deinem Fall natürlich schon so sein, aber bei anderen Leuten sieht die Sache wieder anders aus. Ich z. B. habe gerne die beste Kombination aus Sicherheit und Bequemlichkeit. Passkeys treffen da wohl so ziemlich den Sweet Spot. Mir ist es zu nervig, extra ein zweites Gerät in die Hand nehmen zu müssen.

Also kann man zusammenfassend sagen. Wenn man nicht ausschließlich Geräte nutzt auf denen man die Kontrolle hat, also nicht auf Arbeit oder PCs von Freunden, dann sind Passkeys in ihrer restriktiven Form (PW aus dem Konto löschen) nicht wirklich praktikabel.

Das stimmt zwar, aber dann dürfte man auch keine Passwortmanager nutzen, sondern gleich nur noch Benutzerdaten, die man im Kopf behält. Weil nicht auf jedem Gerät kannst und willst du deine KeePass Datenbank gespeichert haben (z. B. ein Rechner in einem Klassenraum in der Schule). Außer du kannst dir wirklich jedes Passwort merken. Ich habe in Bitwarden über 300 Einträge und alle davon haben mindestens 20 Zeichen lange Passwörter, die aus wirren Zeichenketten aus Groß- und Kleinbuchstaben, sowie Zahlen und Sonderzeichen bestehen. Absolut unmöglich, sich ohne fotografisches Gedächtnis das zu merken. Solange man einen Passwortmanager nutzt, sehe ich nicht mehr Umstand, sondern unter Umständen soger weniger.

Die Telekom hat Passkeys in ihrem neuen Portal schön integriert. Da gehe ich auf die Loginseite, sofort öffnet sich das kleine Fenster von Bitwarden, wo ich nur noch auf den Bestätigen-Button klicken muss und schon bin ich eingelogt. Leider verlangen die meisten Websites (warum auch immer) trotzdem noch die Eingabe von Benutzername und Passwort zusätzlich zum Passkey.

 

[AI-Nadja]

Nicht alles ist gleich eine Verschwörung. Passkeys sind in vielen Fällen ein realer Zugewinn an Sicherheit für den durchschnittlichen Nutzer, weils keine doppelt genutzten Passwörter mehr gibt, kein "Fußballverein123" und man seine Passwörter auch nicht einfach so am Telefon durchgeben kann.

Ich habe es auch nicht als Verschwörung dargestellt. Das ist ein ganz normales Ziel nahezu aller Unternehmen, was in außerordentlichem Maße für Monopolisten wie Google gilt.

Ja und jetzt frag mal in deinem Freundes- und Bekanntenkreis rum wie viele das rigoros durchziehen.

Das sind alles erwachsene Menschen und wenn die überall "Passwort123" als Passwort setzen, ist es deren gutes Recht und es geht weder mich noch sonst jemanden etwas an.

Die Sache ist, dass es alle wissen und trotzdem ignorieren.
Genauso wie alle wissen, dass Rauchen, Alkohol, viel Zucker, wenig Bewegung, usw. schädlich ist und es trotzdem ignorieren.

Verstehe ich nicht. Man muss doch nicht zwingend Google oder sonst irgendein Big Tech Unternehmen für Passkeys nutzen. Die meisten Leute werden es zwar aus Bequemlichkeit tun, aber das ist dann deren freie Entscheidung und kein Zwang.

Ganz genau. Aber diese Bequemlichkeit wird natürlich immer ausgenutzt und genau so entstehen bzw. halten sich auch viele Monopolstellungen.
Erwachsene Menschen können es - wie erwähnt - selbst entscheiden.

Das alles war einfach nur meine Meinung dazu. 😉

 

[onemaster]

Ich bin technisch ja nicht unbedingt unbegabt und nutze seit 26 Jahren Windows PCs etc….
Aber diese Passkey Geschichte ist für mich ein Buch mit 7 Siegeln.

Auf wenigen Seiten funktionierts, auf den meisten aber nicht. Deshalb abgeschaltet und weiterhin Passwort plus 2FA. Wenn man nur ein Gerät nutzt mag es vielleicht klappen, aber bei Handy, Tablet und PC zusammen einfach nur Chaos und nichts funktioniert.
Idee gut, Umsetzung noch sehr schlecht.
Und wie anfangs erwähnt bin ich jetzt wirklich kein Anfänger. Da frag ich mich wie das die Ottonormalverbraucher hinbekomme sollen.

 

[Oli_P]

Ich hab die Anmeldung über Passkey beim Forum mal probiert in Zusammenspiel mit einem YubiKey 5 Nano. Also die Einrichtung war eigentlich recht simpel. Aber um das dauerhaft nutzen zu können, müsste ich noch einen zweiten YubiKey haben. Erstmal als "Backup" und zweitens, um mich z.B. auch am Handy anmelden zu können. Stell ich mir nicht so kompliziert vor. Schiele schon auf einen Yubikey 5 NFC. Habs auch mal erfolgreich bei Amazon ausprobiert. Nur unterstützen glaub ich noch viel zu wenig Seiten diesen Dienst. Mal sehen, wie sich das entwickelt mit der Zeit. Aber anmelden bei Amazon oder auch hier im Forum ohne Benutzername/Login ist nicht möglich. Eigentlich hatte ich mir das von Passkey erhofft Ist "nur" ein 2FA dann.

 

[fieserfisch]

Das stimmt zwar, aber dann dürfte man auch keine Passwortmanager nutzen, sondern gleich nur noch Benutzerdaten, die man im Kopf behält. Weil nicht auf jedem Gerät kannst und willst du deine KeePass Datenbank gespeichert haben (z. B. ein Rechner in einem Klassenraum in der Schule). Außer du kannst dir wirklich jedes Passwort merken. Ich habe in Bitwarden über 300 Einträge und alle davon haben mindestens 20 Zeichen lange Passwörter, die aus wirren Zeichenketten aus Groß- und Kleinbuchstaben, sowie Zahlen und Sonderzeichen bestehen. Absolut unmöglich, sich ohne fotografisches Gedächtnis das zu merken. Solange man einen Passwortmanager nutzt, sehe ich nicht mehr Umstand, sondern unter Umständen soger weniger.

Wieso muss ich meine Keepass Datenbank denn auf allen Rechnern haben? Es reicht doch bspw. das ich sie im Handy habe und dann tippe ich es eben ab. Sicher nicht sehr komfortabel, aber vollkommen ausreichend.

Die geschickte mit komplexen Passwörtern ist ja nun schon lange widerlegt und daher vollkommen unnötig. Einzig die Länge ist entscheidend, daher sind meine Passwörter lang, aber gut zu tippen. Daher kann man sie auch an fremden PC gut ein- bzw. abtippen. Mit Passkeys hab ich da gar keine Möglichkeiten, da müsste ich auf jeden Fall immer meine Datei mit den gespeicherten Zugangsdaten auf dem fremden Rechner ablegen oder mich wenn, ich es nutzen würde, eben im Browser meinen Google Account anmelden um die Ausfüllfunktion zu nutzen.


Mir wurde hier bestätigt, dass zumindest für meine Anwendungsfälle Passkeys, wenn man sie denn richtig einsetzt. Also ganz ohne Passwort. Keine Option sind.

 

[Vexz]

Wieso muss ich meine Keepass Datenbank denn auf allen Rechnern haben? Es reicht doch bspw. das ich sie im Handy habe und dann tippe ich es eben ab. Sicher nicht sehr komfortabel, aber vollkommen ausreichend.

Na, wenn du Spaß daran hast, jedes Mal ein so langes Passwort abzutippen, dann freut mich das für dich. Ich würde aber wetten, dass mindestens 90% es lieber gleich lassen würden.

Die geschickte mit komplexen Passwörtern ist ja nun schon lange widerlegt und daher vollkommen unnötig. Einzig die Länge ist entscheidend, daher sind meine Passwörter lang, aber gut zu tippen.

So ganz stimmt das nicht. Beides ist relevant, aber die länge des Passworts bringt insgesamt mehr Sicherheit. Das Passwort "11111111111111111111" ist 20 Zeichen lang, wird mit Bruteforce aber sicherlich dennoch sehr leicht und schnell geknackt werden, weil es nicht komplex ist. Hingegen das Passwort "CjXZ^)(pEF)bL" wird länger dauern zu knacken, obwohl es nur 13 Zeichen lang ist. Also klar kannst du ein simpleres aber längeres Passwort benutzen, aber dabei sparst du eben Sicherheit ein. Ob dir das recht ist, musst du selbst entscheiden. Ich persönlich habe gerne das Beste aus beiden Welten (also Länge und Komplexität).

Daher kann man sie auch an fremden PC gut ein- bzw. abtippen. Mit Passkeys hab ich da gar keine Möglichkeiten, da müsste ich auf jeden Fall immer meine Datei mit den gespeicherten Zugangsdaten auf dem fremden Rechner ablegen oder mich wenn, ich es nutzen würde, eben im Browser meinen Google Account anmelden um die Ausfüllfunktion zu nutzen.

Das stimmt, aber grundsätzlich gebe ich sehr ungerne auf fremden Geräten meine Passwörter ein. Ich kenne diese Geräte nicht und weiß nicht, ob die irgendwas (z. B. durch Keylogger) mitloggen. Grundsätzlich gerate zumindest ich sehr selten in eine solche Situation, wo ich das bräuchte. Ich kann da aber auch nur von mir selbst reden. Bei anderen Leuten mag das schon wieder ganz anders aussehen.

Mir wurde hier bestätigt, dass zumindest für meine Anwendungsfälle Passkeys, wenn man sie denn richtig einsetzt. Also ganz ohne Passwort. Keine Option sind.

Zumindest für dich und deinen Anwendungsfall. Klar, nicht jede Lösung ist für jede Person gut geeignet. Bestimmt wird sowieso noch lange Benutzername + Passwort als Option bleiben. Man braucht also sicherlich keine Angst zu haben, dass alle Authentifizierungsmethoden auf rein Passkeys umgestellt werden.