Sind Passkeys wirklich Multi-Faktor-Authentifizierung?

Ein vertrauter Einwand gegen Passkeys lautet: „Alles passiert auf meinem Telefon—das ist nur ein Faktor, keine echte MFA.“ Die Intuition ist verständlich. MFA wurde jahrelang als „Passwort plus etwas auf einem anderen Gerät“ verkauft.

Das NCSC-Papier zu klassischen Credentials und FIDO2 für den privaten Gebrauch ist klarer: Ein FIDO2-Credential mit User Verification gilt als äquivalent zur Multi-Faktor-Authentifizierung. Die Faktoren sind der kryptografische Schlüssel in Ihrem Besitz und die PIN oder Biometrie, die ihn freigibt—nicht die Pflicht, dass diese Faktoren auf getrennten Geräten liegen.

Der Einwand: „gleiches Gerät, also keine zwei Faktoren“

Viele hören „Multi-Faktor“ und stellen sich zwei getrennte Dinge vor: irgendwo ein Passwort, dann Code oder Push auf dem Telefon. Liegt der Passkey auf demselben Telefon und entsperrt mit Face ID oder Geräte-PIN, fühlt es sich wie eine Geste auf einem Gerät an—also „keine MFA“.

Dieser Einwand vermischt zwei Ideen: wie viele Authentifizierungsfaktoren beteiligt sind, und wie viele physische Geräte. Standards kümmern sich um Ersteres. Alltagsmarketing hat oft Letzteres suggeriert.

Was „Faktoren“ wirklich bedeuten

Authentifizierungsfaktoren sind Kategorien von Beweisen, keine Checkliste getrennter Gadgets:

• Etwas, das Sie haben — ein Gerät, Sicherheitsschlüssel oder kryptografisches Credential unter Ihrer Kontrolle.
• Etwas, das Sie wissen — ein Passwort, eine PIN oder ein anderes Geheimnis.
• Etwas, das Sie sind — eine Biometrie wie Fingerabdruck oder Gesichtserkennung.

Wie Passkeys auf diese Faktoren abbilden

Ein Passkey ist ein FIDO2-/WebAuthn-Public-Key-Credential. Der private Schlüssel bleibt auf dem Authenticator (Telefon, Laptop oder Hardware-Key). Besitz dieses Schlüssels zu beweisen ist etwas, das Sie haben. Verlangt die Relying Party User Verification, fordert der Authenticator zusätzlich eine lokale PIN oder Biometrie, bevor er signiert— etwas, das Sie wissen oder etwas, das Sie sind.

Zusammen ist das Multi-Faktor-Authentifizierung im Sinne des NCSC und im Einklang damit, wie FIDO User Verification beschreibt. Sie tippen nicht nur „Freigeben“: Der kryptografische Nachweis läuft erst nach erfolgreicher lokaler UV.

Für einen praktischen Überblick zu Registrierung und Alltag siehe unseren Passkeys-Überblick.

Die Same-Device-Kritik schneidet in beide Richtungen

Würde „zwei Faktoren auf einem Telefon“ MFA disqualifizieren, scheiterten die meisten realen Setups. Passwortmanager, SMS-Codes, Authenticator-Apps und Push-Freigaben liegen oft auf demselben Handset, mit dem man surft.

Ein auf dem Telefon getipptes Passwort plus SMS auf demselben Telefon gilt trotzdem als MFA—weil die Faktoren unterschiedlich geartet sind, auch wenn der Lieferkanal dasselbe Gerät ist. Passkeys mit User Verification folgen derselben Logik, mit deutlich besserer Phishing-Resistenz als SMS oder TOTP.

Wann User Verification zählt

FIDO2 kann in manchen Flows auch ohne User Verification laufen (nur Presence, z. B. kurzes Antippen). Dann beweisen Sie vor allem Besitz des Authenticators. Die MFA-Äquivalenz, die das NCSC für FIDO2 im privaten Gebrauch vertritt, setzt voraus, dass User Verification greift, wenn die Seite sie anfordert.

Praktisch verlangen große Consumer-Plattformen UV beim Passkey-Login: Entsperren per Biometrie oder Geräte-PIN, dann signiert der Authenticator die Challenge. Bevorzugen Sie Dienste, die Passkeys als primären, UV-gestützten Login behandeln—nicht als schwaches „einmal bestätigen“ ohne lokale Hürde.

Was das für private Konten bedeutet

Verwerfen Sie Passkeys nicht als „Einzelfaktor“, nur weil sie sich wie ein Entsperren anfühlen. Bevorzugen Sie sie für E-Mail, Banking, Cloud und andere kritische Konten, sobald sie angeboten werden. Sie kombinieren Besitz eines privaten Schlüssels mit lokaler User Verification und binden den Login an die echte Origin—anders als Codes, die sich über einen Proxy phishen lassen.

Behalten Sie starke einzigartige Passwörter und klassische MFA nur dort, wo Passkeys noch fehlen. Existieren beide, ist der phishing-resistente Passkey-Pfad die bessere Standardwahl für den privaten Gebrauch.

Kurz gesagt

Multi-Faktor heißt mehrere Arten von Beweisen—nicht zwingend mehrere Geräte. Ein Passkey mit User Verification ist etwas, das Sie haben, plus etwas, das Sie wissen oder sind. Deshalb behandelt das NCSC FIDO2 mit UV als MFA-äquivalent für den privaten Gebrauch—und „alles ist auf meinem Telefon“ ist kein guter Grund, bei Passwort und SMS zu bleiben.