Passwörter gehören für viele Menschen zum digitalen Alltag. Gleichzeitig verursachen sie zahlreiche Probleme: Sie werden vergessen, mehrfach verwendet, zu einfach gewählt oder durch Phishing-Angriffe gestohlen. Passkeys gelten deshalb als sichere und nutzerfreundliche Alternative zu Passwörtern.
Für E-Commerce-Unternehmen ist diese Entwicklung besonders relevant. Jeder zusätzliche Schritt zwischen dem Aufrufen eines Onlineshops und dem abgeschlossenen Kauf kann den Bezahlvorgang erschweren. Passkeys ermöglichen Kund:innen einen komfortablen Zugang zu ihren Konten und können gleichzeitig die Sicherheit erhöhen.
Was ist ein Passkey?
Ein Passkey ist ein digitaler Berechtigungsnachweis, der ein klassisches Passwort ersetzt. Er besteht aus einem kryptografischen Schlüsselpaar: Der öffentliche Schlüssel wird beim jeweiligen Onlinedienst gespeichert, während der private Schlüssel auf deinem Gerät verbleibt.
Was ist die Passkey-Authentifizierung und wie funktioniert sie?
Die Passkey-Authentifizierung ist ein Anmeldeverfahren, das ohne die klassische Kombination aus Benutzernamen und einem Passwort auskommt. Der passwortlose Login wird stattdessen über ein registriertes Gerät bestätigt. Dazu verwendest du beispielsweise einen Fingerabdruck, die Gesichtserkennung, eine Geräte-PIN, die Bildschirmsperre, Windows Hello oder Touch ID.
Bei der Erstellung eines Passkeys wird ein kryptografisches Schlüsselpaar erzeugt:
- Der öffentliche Schlüssel wird beim jeweiligen Onlinedienst gespeichert.
- Der private Schlüssel verbleibt auf deinem Gerät oder in einem geschützten Passwort-Manager.
Möchtest du dich mit einem Passkey anmelden, sendet der Dienst eine digitale Anfrage an dein Gerät. Nachdem du es entsperrt hast, signiert der private Schlüssel die Anfrage. Beim Login prüft der Anbieter diese Signatur mithilfe des öffentlichen Schlüssels. Stimmen die Informationen überein, wird die Anmeldung bestätigt.
Biometrische Daten wie dein Fingerabdruck oder deine Gesichtsdaten werden dabei nicht an den Onlinedienst übertragen. Sie dienen ausschließlich dazu, den privaten Schlüssel auf deinem Gerät freizugeben. Die biometrischen Daten verbleiben somit in der geschützten Umgebung des Geräts.
Abhängig vom jeweiligen Dienst können Passkeys die Passworteingabe bei der Anmeldung sowie einen zusätzlichen Einmalcode ersetzen.
Welche Vorteile bieten Passkeys?
Die Vorteile von Passkeys betreffen sowohl die Sicherheit als auch die Nutzerfreundlichkeit. Passkeys bieten Schutz vor mehreren Schwachstellen klassischer Zugangsdaten:
- Schutz vor Phishing: Passkeys sind an eine bestimmte Website oder App gebunden. Gefälschte Seiten können sie daher nicht einfach abfragen. Die Sicherheit von Passkeys hängt somit weniger davon ab, ob Nutzer:innen eine betrügerische Website rechtzeitig erkennen.
- Keine wiederverwendeten Zugangsdaten: Für jeden Dienst wird ein eigenes Schlüsselpaar erstellt. Selbst wenn Zugangsdaten eines Anbieters kompromittiert werden, lassen sie sich nicht für andere Konten verwenden.
- Kein geheimes Passwort auf dem Server: Anbieter speichern nur den öffentlichen Schlüssel. Dieser reicht allein nicht aus, um sich anzumelden oder gültige Zugangsdaten abzuleiten.
- Einfache Bestätigung: Passkeys ermöglichen die Anmeldung per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Sie müssen deshalb weder auswendig gelernt noch regelmäßig geändert werden.
Passkeys gegenüber klassischen Passwörtern zu bevorzugen, schützt jedoch nicht vor jedem denkbaren Angriff. Geräte sollten weiterhin mit einer sicheren PIN, Bildschirmsperre oder biometrischen Erkennung geschützt werden.
Passkeys im E-Commerce
Im E-Commerce beeinflusst die Anmeldung sowohl die Kontosicherheit als auch das Einkaufserlebnis. Die Nutzung von Passkeys kann Unterbrechungen durch vergessene Zugangsdaten und zusätzliche Bestätigungsschritte reduzieren:
- Schnellere Anmeldung: Kund:innen müssen kein Passwort suchen, eingeben oder zurücksetzen. Haben sie bereits einen Passkey eingerichtet, reicht häufig eine kurze Bestätigung per Fingerabdruck oder Gesichtserkennung.
- Weniger Kaufabbrüche: Ein Passwort-Reset unterbricht den Einkauf und kann dazu führen, dass Kund:innen den Kauf nicht abschließen. Passkeys ersetzen einen Teil dieser fehleranfälligen Schritte und erleichtern besonders auf Mobilgeräten den Weg zum Checkout.
- Gute Bedienbarkeit auf Smartphones: Kompatible Betriebssysteme und Passwort-Manager können Passkeys automatisch erkennen. Dadurch entfällt die umständliche Eingabe langer Passwörter auf kleinen Bildschirmen.
- Weniger Supportaufwand: Die Verwendung von Passkeys reduziert Probleme durch vergessene Passwörter und kann dadurch Supportanfragen sowie Wiederherstellungsprozesse verringern.
Welche Arten von Passkeys gibt es und wo werden sie gespeichert?
Gerätegebundene Passkeys
Ein Passkey kann fest an ein einzelnes Gerät gebunden sein. In diesem Fall ist der private Schlüssel lokal gespeichert und steht nicht automatisch auf anderen Smartphones, Tablets oder Computern zur Verfügung.
Diese Variante kann für besonders sensible Zugänge sinnvoll sein. Sie erschwert jedoch den Zugriff, wenn das betreffende Gerät verloren geht, beschädigt oder ersetzt wird. Außerdem solltest du keinen Passkey auf einem gemeinsam genutzten und unzureichend geschützten Gerät hinterlegen.
Unter bestimmten Bedingungen lässt sich möglicherweise kein Passkey erstellen, beispielsweise wenn das verwendete Betriebssystem, der Browser oder das Gerät die erforderlichen Standards nicht unterstützt.
Synchronisierte Passkeys
Bei synchronisierten Passkeys wird der private Schlüssel verschlüsselt über einen Cloud-Schlüsselbund oder einen kompatiblen Passwort-Manager auf mehreren Geräten bereitgestellt. Dadurch kannst du denselben Zugang geräteübergreifend verwenden, sofern du mit demselben geschützten Konto angemeldet bist.
Die Passkeys werden dabei verschlüsselt synchronisiert und nicht als frei lesbare Zugangsdaten zwischen den Geräten übertragen. Große Anbieter wie Google, Apple und Microsoft haben Passkey-Funktionen in ihre Betriebssysteme, Browser und Kontodienste integriert. Zu den bekannten Lösungen zählen der iCloud-Schlüsselbund, der Google Password Manager und verschiedene externe Passwort-Manager.
Welche Speicherlösung ist geeignet?
Passkeys speichern kannst du über die entsprechende Funktion deines Betriebssystems, Browsers oder Passwort-Managers. Welche Lösung sinnvoll ist, hängt unter anderem davon ab:
- welche Geräte und Betriebssysteme du verwendest
- ob der Passkey lokal oder synchronisiert verfügbar sein soll
- wie du verlorene Geräte absicherst
- welche Wiederherstellungsoptionen der Dienst anbietet
Ein plattformübergreifender Passwort-Manager kann hilfreich sein, wenn du unterschiedliche Betriebssysteme nutzt. Auf geschäftlich verwalteten Geräten können Unternehmensrichtlinien die Synchronisierung von Passkeys oder den Einsatz bestimmter Passwort-Manager einschränken.
Welche Einschränkungen gibt es?
Ältere Geräte, Browser und Anwendungen unterstützen Passkeys teilweise noch nicht. Onlineshops und andere Dienste sollten deshalb weiterhin alternative Anmeldewege anbieten. Das gilt besonders für Kund:innen, die ältere Geräte verwenden oder ihre Zugangsdaten nicht synchronisieren möchten.
Passkeys können bereits viele alltägliche Anmeldesituationen vereinfachen. Vor einem vollständigen Wechsel solltest du dennoch prüfen, welche alternativen Anmelde- und Wiederherstellungsmethoden verfügbar sind.
Passkey-Authentifizierung bei Shopify
Shopify nutzt Passkeys sowohl für Kund:innen als auch für Händler:innen und Mitarbeiter:innen. Über Shop Pay können sich Kund:innen mit einem Passkey authentifizieren, ohne bei unterstützten mobilen Einkäufen ein Passwort oder einen zusätzlichen Zwei-Faktor-Code eingeben zu müssen.
Nach der erfolgreichen Authentifizierung lassen sich gespeicherte Rechnungs-, Liefer- und Zahlungsinformationen automatisch in den Checkout übernehmen. Dadurch reduziert sich die Zahl der Eingabeschritte und der Bezahlvorgang kann schneller abgeschlossen werden.
Auch für die Anmeldung beim eigenen Shopify-Konto können Passkeys eingerichtet werden. Statt eines Passworts bestätigen Händler:innen und Mitarbeiter:innen ihre Identität beispielsweise per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das verringert das Risiko durch vergessene oder falsch eingegebene Passwörter und vereinfacht den Zugriff auf den Shopify-Adminbereich.
Fazit
Die Passkey-Authentifizierung ist eine sichere und nutzerfreundliche Alternative zu klassischen Passwörtern. Sie reduziert Risiken wie Phishing, wiederverwendete Zugangsdaten und vergessene Passwörter. Gleichzeitig wird die Anmeldung per Fingerabdruck, Gesichtserkennung oder Geräte-PIN einfacher.
Für E-Commerce-Unternehmen können Passkeys Login-Hürden senken, den Checkout beschleunigen und den Supportaufwand reduzieren. Shopify nutzt Passkeys sowohl in Shop Pay als auch für die Anmeldung zum Shopify-Konto.
Da noch nicht alle Geräte und Browser Passkeys vollständig unterstützen, sollten alternative Anmelde- und Wiederherstellungsmöglichkeiten vorerst bestehen bleiben.
