NCSC will Passkeys künftig als bevorzugte Anmeldemethode empfehlen, sofern verfügbar

Das britische National Cyber Security Centre (NCSC) hat angekündigt, künftig die Verwendung von Passkeys zu empfehlen, sofern Onlinedienste diese unterstützen. Die zweistufige Verifizierung (2SV) bleibt die Ausweichoption, wenn Passkeys nicht verfügbar sind. Die Änderung wurde auf der CYBERUK 2026 in Glasgow angekündigt und soll nach und nach in die Leitlinien der Behörde einfließen, statt in einem einzigen Schritt eingeführt zu werden.

Das NCSC erklärte, die Aktualisierung folge auf umfangreiche Zusammenarbeit mit Website-Betreibern, App-Entwicklern, Technologieunternehmen und der FIDO Alliance sowie auf technische und sozialwissenschaftliche Untersuchungen dazu, wie Menschen Anmeldesysteme tatsächlich nutzen.

Warum die Leitlinien geändert werden

In einem zeitgleich mit der Ankündigung veröffentlichten Dokument verglich die Behörde gängige Anmeldemethoden aus der Perspektive einzelner Nutzer. Dabei betrachtete sie den gesamten Lebenszyklus von Zugangsdaten, einschließlich Erstellung, Speicherung, Nutzung, Synchronisierung, Wiederherstellung und Widerruf, und bewertete die Arten von Angriffen, die bei realen Vorfällen am häufigsten beobachtet werden.

Das NCSC erklärte, dass herkömmliche Formen der Multi-Faktor-Authentifizierung, etwa Passwörter in Kombination mit SMS-Codes, per E-Mail versendeten Codes, von Apps generierten Einmalpasswörtern, Hardware-Token und Push-Bestätigungen, weiterhin durch Phishing angreifbar sind. FIDO2-Anmeldedaten, zu denen auch Passkeys gehören, sind dagegen gegen die gängigen Angriffe auf Konten in der Praxis resistent.

Was das NCSC über Passkeys sagt

• Passkeys und andere FIDO2-Anmeldedaten sind bei gängigen Bedrohungen mindestens so sicher wie herkömmliche MFA.
• Wenn eine Nutzerverifizierung erforderlich ist, kann FIDO2 als Multi-Faktor-Authentifizierung gelten.
• Da Passkeys nicht ohne Weiteres kopiert oder weitergeleitet werden können, sind groß angelegte Angriffe nach dem Muster von Phishing deutlich weniger wirksam.
• Wo Passkeys unterstützt werden, sollten sie für Nutzer grundsätzlich die erste Wahl sein.

Die Behörde ging auch auf Bedenken hinsichtlich synchronisierter Passkeys ein und wies darauf hin, dass viele Menschen bereits auf cloudbasierte Synchronisierung für Passwortmanager, E-Mail- und Authenticator-Apps setzen. Entscheidend sei vor allem, ob das Konto, das diese Synchronisierung schützt, ausreichend abgesichert ist.

Das NCSC ergänzte, dass die herkömmliche 2SV weiterhin als Backup für Dienste wichtig ist, die Passkeys noch nicht eingeführt haben. Für Websites und Apps, die Passkeys unterstützen, ist die Behörde jedoch der Ansicht, dass diese eine praktikable Möglichkeit bieten, die Hürden für Kontoübernahmen und Phishing zu erhöhen.