Passkeys für Krypto: Als Faktor ideal, als einziger Schlüssel riskant

Eine Wallet-App bietet „Mit Passkey anmelden“ an, und schon nach einer Berührung mit dem Fingerabdruck sind Ihre Guthaben zu sehen. Kein Passwort, keine Seed-Phrase zum Aufschreiben, nichts, was verloren gehen kann. Es fühlt sich an wie die Verbesserung, auf die die Selbstverwahrung gewartet hat. Die entscheidende Frage liegt eine Ebene tiefer: Wenn diese eine Berührung genügt, was schützt Ihr Geld dann, wenn das Telefon weg ist, jemand Ihr Konto übernimmt oder der Cloud-Dienst, der den Passkey synchronisiert, Sie aussperrt?

Passkeys gehören zu den besten Authentifizierungsmethoden, die seit Jahren im breiten Einsatz angekommen sind. In der Kryptowelt werden sie jedoch oft missverstanden. Denn der Unterschied zwischen einem Passkey als einem Faktor und einem Passkey als einzigem Schlüssel entscheidet darüber, ob die Wallet gut abgesichert ist oder eine einzelne Schwachstelle hat.

Was ein Passkey eigentlich ist

Ein Passkey ist ein Anmeldemittel auf Grundlage von FIDO2/WebAuthn, dem modernen Standard für passwortloses Anmelden. FIDO2 ist der Oberbegriff; WebAuthn ist die Browser- und Web-API, und CTAP ist das Protokoll für die Kommunikation mit externen Authentifikatoren. In der Praxis besteht ein Passkey aus einem öffentlichen und einem privaten Schlüssel, die auf Ihrem Gerät erzeugt werden.

Der private Schlüssel wird in einem sicheren Element erzeugt und verlässt dieses niemals: in der Secure Enclave oder dem TPM Ihres Telefons oder in einem speziellen Hardware-Sicherheitsschlüssel. Der Dienst, bei dem Sie sich anmelden (die „vertrauende Partei“), speichert ausschließlich Ihren öffentlichen Schlüssel. Bei der Authentifizierung signiert das sichere Element eine Anfrage; der private Schlüssel selbst bleibt, wo er ist.

Zwei Eigenschaften machen Passkeys so leistungsfähig. Erstens ist der private Schlüssel an die Hardware gebunden und nicht exportierbar; er ist kein Passwort in einer Datenbank. Zweitens ist jeder Passkey an die Kennung einer vertrauenden Partei gebunden, also an eine bestimmte Domain (Origin). Ein für example.com erstellter Passkey wird auf examp1e.com schlicht nicht angeboten. Diese Bindung an den Ursprung macht Passkeys von vornherein resistent gegen Phishing.

Warum Passkeys die Sicherheit tatsächlich erhöhen

Die meisten Menschen verlieren ihre Kryptowährungen nicht durch exotische Angriffe auf die Kryptografie. Sie fallen den alltäglichen Angriffen zum Opfer, die sich leicht skalieren lassen: Phishing-Seiten, wiederverwendete Passwörter, automatisierte Anmeldeversuche mit Zugangsdaten aus älteren Datenlecks und gestohlene Passwörter auf Servern. Diese Angriffe machen den größten Teil der Angriffsfläche im Kryptobereich aus, und Passkeys wehren sie alle auf einmal ab.

Es gibt kein gemeinsames Geheimnis, das sich durch Phishing abgreifen ließe, denn der private Schlüssel wird nie übertragen. Es gibt kein Passwort, das wiederverwendet, gestohlen oder für automatisierte Anmeldeversuche missbraucht werden könnte. Eine vertrauende Partei kann außerdem eine Nutzerverifizierung verlangen. So muss bei einem gestohlenen, bereits entsperrten Gerät weiterhin Ihr biometrisches Merkmal oder Ihre PIN bestätigt werden, bevor der Passkey signiert. Im Vergleich zu einem eingetippten Passwort oder einer Seed-Phrase, die jemand in ein gefälschtes Formular zur „Wallet-Verifizierung“ kopieren könnte, ist das eine erhebliche, konkrete Verbesserung.

Deshalb ist die Einordnung so wichtig. Das Problem ist nie, dass der Passkey seine Aufgabe erfüllt. Das Problem entsteht, wenn ein einzelner Passkey die Wallet sein soll.

Die Besonderheit bei Krypto: die falsche Kurve

Hier liegt ein technisches Detail, das Einsteiger oft überrascht. WebAuthn verwendet häufig ES256, also ECDSA über der NIST-Kurve P-256 (auch secp256r1 oder prime256v1 genannt). Bitcoin und die Ausführungsebene von Ethereum prüfen Signaturen dagegen über secp256k1, einer ganz anderen Kurve.

Wegen dieser Abweichung kann ein Passkey normalerweise nicht als nativer Signierer auf der Blockchain dienen. Lange Zeit war es zwar möglich, eine P-256-Signatur in einem EVM-Vertrag zu prüfen, doch die dafür anfallenden Gasgebühren waren extrem hoch. Ein Passkey konnte ein gewöhnliches Konto daher nicht kostengünstig steuern.

Zwei Entwicklungen ändern das. Die erste ist RIP-7212, eine Spezifikation für einen vorkompilierten Vertrag, der secp256r1- (P-256-)Signaturen auf EVM-Chains und Layer-2-Netzwerken, die sie unterstützen, kostengünstig prüft. Die zweite ist die Kontoabstraktion nach ERC-4337: Dabei ist das Konto selbst ein Smart Contract, der P-256-Signaturen prüfen und eigene Regeln durchsetzen kann. Zusammen ermöglichen diese Entwicklungen, dass ein Passkey Aktionen auf der Blockchain autorisiert, ohne selbst der direkte Schlüssel für Ausgaben zu sein.

Wie Passkeys in der Kryptowelt tatsächlich eingesetzt werden

Wegen des Kurvenproblems kommen Passkeys in der Kryptowelt fast immer über Smart Accounts oder MPC-Systeme zum Einsatz und nur selten als direkter privater Schlüssel.

Bei einem Smart Account autorisiert der Passkey eine Aktion, während ein Vertrag die Regeln durchsetzt: Ausgabenlimits, Zulassungslisten, Wartefristen oder die Vorgabe, dass mehr als ein Signierer zustimmen muss. Bei einem MPC-System ermöglicht der Passkey den Zugriff auf einen Schlüsselanteil, der auf mehrere Parteien verteilt ist. In beiden Fällen ist der Passkey der Türhüter, nicht die Tresortür selbst.

Als Faustregel: Mit einem Passkey lässt sich gut nachweisen: „Ich bin es, jetzt gerade, auf einer echten Website.“ Als einziger Nachweis dafür, dass „dieses Geld für immer mir gehört“, taugt er wenig.

Dieser Unterschied ist das zentrale Argument dieses Artikels und zieht sich durch die gesamte Reihe „Beyond the Seed Phrase“: Jedes Wiederherstellungsmodell tauscht eine Art des Scheiterns gegen eine andere. Sie müssen wissen, welchen Tausch Sie eingehen.

Die Falle: der Passkey als einziger Schlüssel

Gefährlich wird es bei Wallets, bei denen die Anmeldung per Passkey erfolgt und der Passkey selbst oder die Cloud, die ihn synchronisiert, praktisch die einzige Hürde zwischen Angreifern und Ihren Guthaben ist. Dann schrumpft Ihr Bedrohungsmodell unmerklich auf zwei Faktoren zusammen: die Sicherheit Ihres Cloud-Kontos und das Wiederherstellungsverfahren des Anbieters. Vielleicht glauben Sie, den Schlüssel selbst zu verwahren. In Wirklichkeit liegt er in Ihrem iCloud- oder Google-Konto.

Um zu verstehen, warum das riskant ist, müssen Sie zwei Arten von Passkeys unterscheiden.

Synchronisierte Passkeys (iCloud-Schlüsselbund, Google Passwortmanager, 1Password) werden über die Cloud eines Anbieters auf Ihren Geräten abgeglichen. Das ist praktisch und schützt Sie, wenn Sie Ihr Telefon verlieren. Der Synchronisierungsanbieter wird dadurch aber sowohl zur Abhängigkeit als auch zum Angriffsziel:

• Wird das Cloud-Konto übernommen, etwa durch ein Zurücksetzen des Passworts nach einem SIM-Swap oder durch Social Engineering beim Kundendienst, kann der Passkey zusammen mit allem anderen in die Hände von Angreifern gelangen.
• Der Anbieter kann das Konto sperren oder stilllegen und damit auch Ihren einzigen Signierer unzugänglich machen.
• Die Übertragbarkeit zwischen Anbietern verschiedener Ökosysteme ist noch wenig ausgereift. So können Sie an einen einzelnen Anbieter gebunden sein.

Gerätegebundene Passkeys (Hardware-Sicherheitsschlüssel, manche Konfigurationen der Secure Enclave) verlassen nie ein bestimmtes Gerät. Sie umgehen die Cloud vollständig, was sie sehr widerstandsfähig gegen Fernangriffe macht. Dafür entsteht das entgegengesetzte Risiko: Geht das Gerät verloren, ist auch der Schlüssel weg, sofern Sie keine Sicherung registriert haben. Ein einzelner Hardware-Schlüssel ohne zweite Registrierung kann zum klassischen „einmal weg, für immer weg“-Problem werden – wie eine einzige Hardware-Wallet ohne Wiederherstellungsplan.

Die Wiederherstellung ist der eigentliche Schlüssel

Darum geht es im Kern. Für einen Passkey gibt es keine Seed-Phrase, die Sie auf eine Stahlplatte prägen und in einer Schublade einschließen können. Anders als bei einer Seed-Phrase gibt es kein übertragbares Geheimnis, das Sie von Hand sichern können. Wie die Wiederherstellung funktioniert, legt die Wallet oder App fest.

Der Wiederherstellungsweg kann zum Beispiel darin bestehen, den Zugang aus der Synchronisierungs-Cloud wiederherzustellen, sich mit einem zweiten registrierten Passkey zu authentifizieren, den Social-Recovery-Ablauf eines Smart Accounts zu durchlaufen oder einen Schlüsselanteil eines MPC-Schlüssels erneut zu teilen. All diese Verfahren sind legitim. Doch jedes davon ist Ihr eigentlicher Schlüssel – ganz gleich, wie der Anmeldebildschirm aussieht.

Die entscheidende Prüfung für jede Wallet mit Passkey ist einfach: Beenden Sie diesen Satz ehrlich. „Wenn ich mein Telefon verliere, bekomme ich meine Guthaben zurück, indem ich ______.“ Wenn Ihre einzige Antwort „über mein iCloud-Konto“ lautet, dann ist iCloud Ihre Wallet. Ihre Sicherheit ist dann genau so stark wie dieses eine Konto.

Richtig eingesetzt: der Passkey als Faktor

Als einer von mehreren Faktoren sind Passkeys hervorragend. Gute Lösungen haben eines gemeinsam: Ein einzelner Passkey oder eine einzelne Cloud darf nie die ganze Absicherung ausmachen.

1. Registrieren Sie mehrere Passkeys als separate Signierer für dasselbe Konto, zum Beispiel einen auf Ihrem Smartphone und einen gerätegebundenen Hardwareschlüssel. So verlieren Sie bei Verlust eines davon nicht den Zugang.
2. Machen Sie den Passkey zu einem Signierer in einem Quorum, etwa bei einem Smart Account mit 2 von 3 Signierern oder einem MPC-Schwellenwert. So kann kein einzelner Berechtigungsnachweis allein Guthaben bewegen.
3. Kombinieren Sie die Autorisierung per Passkey mit einem Richtlinienvertrag, der Ausgabenlimits oder Wartezeiten durchsetzt. So wird ein gestohlener Faktor zu einem begrenzten Vorfall statt zu einem Totalverlust.
4. Halten Sie einen unabhängigen Wiederherstellungsweg bereit, der nicht allein von der Synchronisierungs-Cloud abhängt – etwa einen zweiten Hardware-Signierer, festgelegte Wiederherstellungskontakte oder einen offline aufbewahrten Ersatz-Berechtigungsnachweis.

Ein verbreitetes Beispiel für eine gelungene Umsetzung ist Coinbase Smart Wallet. Dabei dient ein Passkey als Signierer für ein Smart Account nach ERC-4337, dessen Regeln durch einen Vertrag durchgesetzt werden. Das Wiederherstellungsmodell wird in Teil 4 zur Wiederherstellung über Vertrauenspersonen behandelt. Die zentrale Erkenntnis ist genau die hier beschriebene: Der Passkey ist der bequeme Zugang; den tatsächlichen Schutz der Guthaben bieten der Vertrag und das Wiederherstellungskonzept.

Die wichtigsten Erkenntnisse

• Ein Passkey ist ein phishingresistenter FIDO2/WebAuthn-Berechtigungsnachweis, dessen privater Schlüssel ein sicheres Element nie verlässt. Damit eignet er sich hervorragend als Authentifizierungsfaktor.
• Er wehrt die Angriffe ab, durch die den meisten Nutzern Guthaben entwendet werden: Phishing, die Wiederverwendung von Passwörtern, das Ausprobieren gestohlener Zugangsdaten und Datenlecks auf Servern.
• Passkeys verwenden die Kurve P-256 (secp256r1), nicht die von Bitcoin und Ethereum verwendete Kurve secp256k1. In der Kryptowelt funktionieren sie daher über Smart Accounts (ERC-4337, RIP-7212) oder MPC und nicht als direkter Ausgabeschlüssel.
• Gefährlich ist es, wenn ein einzelner Passkey oder die Cloud, die ihn synchronisiert, als einzige Instanz Ihr Guthaben schützt. Dann hängt Ihre tatsächliche Sicherheit nur noch von Ihrem Cloud-Konto und dem Wiederherstellungsverfahren des Anbieters ab.
• Behandeln Sie den Passkey als einen Faktor: Registrieren Sie mehrere Signierer, binden Sie ihn in ein Quorum oder einen Richtlinienvertrag ein und halten Sie einen Wiederherstellungsweg bereit, der nicht allein von der Synchronisierungs-Cloud abhängt.