Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit der Technischen Richtlinie TR-03188 in Version 1.0 erstmals eine umfassende Orientierungshilfe für den Einsatz von Passkey-Servern vorgelegt. Das Dokument richtet sich an alle Betreiberinnen und Betreiber von Webseiten und Online-Diensten und soll ihnen helfen, Passkeys sicher zu implementieren.

Damit reagiert die Behörde auf einen Trend, der sich in der IT-Sicherheit seit Jahren abzeichnet: Passwörter gelten zunehmend als Schwachstelle, Passkeys hingegen als robuste Alternative. Mit der neuen Richtlinie erklärt das BSI Passkeys offiziell zum Stand der Technik und will sie als gängiges Verfahren für die Zwei-Faktor-Authentisierung etablieren.

Passwörter zu unsicher

Der Hintergrund dafür liegt in den bekannten Schwächen klassischer Passwörter. Kurze oder leicht zu erratende Kombinationen lassen sich automatisiert knacken, mehrfach verwendete Passwörter werden bei Datenlecks zum Sicherheitsrisiko und selbst komplexe Zeichenfolgen fallen Phishing-Angriffen zum Opfer.

Auch Einmalcodes als zusätzlicher Faktor schützen nicht zuverlässig vor sogenanntem Real-Time-Phishing, bei dem Angreifende abgefangene Daten in Echtzeit weiterverwenden. Passkeys setzen stattdessen auf ein kryptografisches Challenge-Response-Verfahren: Anstelle eines festen Passworts signieren Nutzende einen zufällig erzeugten Einmalwert, was das Verfahren gegenüber skalierbaren Phishing-Angriffen widerstandsfähig macht.

Drei Vertrauensniveaus

Kern der TR-03188 ist eine systematische Bestandsaufnahme der verschiedenen Implementierungsarten von Passkey-Servern, auch FIDO2-Server genannt, sowie der Konfigurationsmöglichkeiten, welche die WebAuthn-Spezifikation bietet. Daraus leitet das BSI eine gestaffelte Sicherheitsempfehlung ab, die sich an drei Vertrauensniveaus orientiert: normal, substanziell und hoch.

Je nach angestrebtem Niveau verlangt die Richtlinie unterschiedlich strenge Maßnahmen – auf höheren Stufen etwa den verpflichtenden Einsatz von User Verification oder ausschließlich geräteweise gebundene, also nicht cloud-synchronisierte Passkeys. Auf diese Weise sollen Betreibende in die Lage versetzt werden, eigenständig fundierte Entscheidungen zur Konfiguration ihres Passkey-Servers zu treffen, anstatt sich blind auf Standardeinstellungen zu verlassen.

Hilfe bei der Auswahl

Neben der Sicherheitsempfehlung liefert die Richtlinie auch eine praktische Handlungsempfehlung für die Auswahl einer geeigneten Integrationslösung. Das BSI unterscheidet dabei vier Kategorien: FIDO2-Bibliotheken zur Einbindung in bestehende Anwendungen, eigenständige Stand-alone-Server, Module innerhalb bestehender IAM-Frameworks sowie cloudbasierte Services.

Verglichen werden unter anderem der Integrationsaufwand, die Konfigurierbarkeit, der Funktionsumfang und die Kosten – wobei sich sowohl Open-Source-Lösungen als auch proprietäre Angebote im Vergleichsfeld finden. Die Bandbreite reicht dabei von wenigen Stunden bis zu mehreren Tagen Implementierungsaufwand und von geringen bis zu sechsstelligen jährlichen Lizenzkosten, abhängig von Nutzerzahl und gewähltem Modell.

Mit der TR-03188 schließt das BSI eine Lücke, die viele Webseitenbetreibende bislang vor eine Herausforderung stellte: die Frage, wie sich FIDO2 korrekt und sicher konfigurieren lässt, ohne selbst tief in die technischen Details der WebAuthn-Spezifikation einsteigen zu müssen. Die Richtlinie liefert damit sowohl kleinen und mittleren Unternehmen als auch größeren Organisationen eine Entscheidungsgrundlage für die Einführung von Passkeys – ein Schritt, der angesichts wachsender Phishing-Bedrohungen und der Grenzen klassischer Passwortverfahren zunehmend an Bedeutung gewinnt.