Wenn du dich mit einem Passkey anmeldest, fragen wir nun keinen zweiten Faktor (TOTP-Code) mehr ab. Die Anmeldung wird dadurch einfacher weil nur ein einziger Schritt notwendig ist. TOTP wird nur noch verlangt, wenn du dich mit Passwort anmeldest.
Warum das dennoch sicher ist
- Passkeys sind phishing-resistent. Ein Passkey ist kryptografisch an die Domain des Dienstes gebunden und funktioniert auf einer gefälschten Seite nicht. TOTP-Codes lassen sich dagegen auf einer Phishing-Seite abgreifen und sofort weiterverwenden. Ein zusätzlicher TOTP-Code würde den Passkey also nicht stärker machen.
- Der private Schlüssel verlässt dein Gerät nicht, und bei uns liegt nur der öffentliche Schlüssel. Ein Datenleck bei uns würde Angreifern nichts nützen.
- Ein Passkey mit User-Verification ist bereits ein Mehr-Faktor-Verfahren. Er kombiniert Besitz (den privaten Schlüssel auf deinem Gerät oder Security-Key) mit Inhärenz oder Wissen (Biometrie oder Geräte-PIN, mit der du die Nutzung freigibst). Ein zusätzlicher TOTP-Code würde keinen neuen Faktor hinzufügen, sondern nur einen weiteren Besitzfaktor.
- Dein Konto bleibt wiederherstellbar. Bei der Registrierung mit Passkey erhältst du stattdessen einmalig Recovery-Codes, die du als gespeichert bestätigen musst.
- Die Wiederherstellung ist stärker abgesichert. Wer ein Konto ohne Passwort per E-Mail wiederherstellen will, braucht zusätzlich einen Recovery-Code. Allein der Zugriff auf dein Postfach reicht nicht. Der verwendete Code wird verbraucht, und alte Passkeys werden entfernt, sobald ein neuer erster Faktor eingerichtet ist.
- Du wirst informiert. Jede Passkey-Anmeldung steht im Audit-Log. Bei Verwendung eines Recovery-Codes, beim Entfernen eines Passkeys und beim Hinzufügen eines Passworts bekommst du eine Benachrichtigung. Den letzten Passkey eines reinen Passkey-Kontos kannst du nicht löschen.
Was sich nicht ändert
- Wer sich mit Passwort anmeldet, braucht weiterhin TOTP.
- Fügst du einem Passkey-Konto später ein Passwort hinzu, richtest du direkt TOTP ein. Das Passwort funktioniert erst, wenn TOTP bestätigt ist.
- Bei bestehenden Konten bleiben TOTP und Recovery-Codes verknüpft, TOTP wird nur bei Passkey-Anmeldung nicht mehr abgefragt.
Liebe Grüße,
Stefan und das netcup eos Team