Sync-Fabric ist kein reines Passkey-Risiko

Kritiker sagen oft, synchronisierte Passkeys legten zu viel Vertrauen in eine Anbieter-Cloud. Die Sorge ist berechtigt—aber sie gilt nicht nur für Passkeys. Passwortmanager, E-Mail-Einmalcodes und synchronisierte Authenticator-Apps hängen bereits von ähnlichen Konto-Fabrics ab.

Das britische NCSC-Papier zum Vergleich traditioneller Credentials und FIDO2 für den privaten Gebrauch (23. April 2026) macht diese Parallele explizit: Sync-Risiko gibt es schon in der alltäglichen MFA—die richtige Antwort ist, die Fabric abzuhärten, nicht Passkeys als Sonderversagen zu behandeln.

Die Kritik: synchronisierte Passkeys vertrauen der Anbieter-Cloud

Ein synchronisierter Passkey ist eine FIDO2-Credential, die über eine Anbieterplattform—die Sync-Fabric—gesichert und auf anderen Geräten verfügbar gemacht wird. Übernimmt ein Angreifer dieses Konto, kann er am Ende nutzbare Credentials auf einem neuen, von ihm kontrollierten Gerät erhalten.

Das ist eine faire Bedrohung. Unfair ist die Darstellung, Passwort-plus-Codes würden Cloud-Vertrauen irgendwie vermeiden. Für die meisten Menschen hält dasselbe Apple-, Google-, Microsoft- oder Manager-Konto bereits die Geheimnisse, die alles andere entsperren.

Sie synchronisieren bereits Passwörter, TOTP-Seeds und E-Mail

Das NCSC-Papier hält fest, dass Credential-Synchronisation oft kritisiert wird, wenn sie an Passkeys hängt—obwohl dieselben Prinzipien und manchmal dieselben Fabrics auch für traditionelle MFA gelten.

Eigenständige und browserintegrierte Passwortmanager synchronisieren den Tresor typischerweise über eine Anbieter-Cloud. Darin gespeicherte TOTP-Seeds wandern mit. E-Mail-OTP „synchronisiert“ überall, wo Sie im Postfach angemeldet sind. Diese Mail-Konten sind oft dieselbe Identität, mit der der Tresor wiederhergestellt wird.

SMS-Codes und Hardware-TOTP-Token nutzen denselben Sync-Pfad nicht—bleiben aber auf andere Weise phishbar. Cloud-Sync zu vermeiden heißt nicht automatisch stärkere Authentifizierung.

Wiederverwendete, gemerkte Passwörter sind eine schlechtere Form von „Sync“

Wenn Sie ein Passwort merken und überall wiederverwenden, synchronisieren Sie dieses Geheimnis faktisch zu jedem Dienst, der es speichert. Ein Leak auf einer unwichtigen Seite wird zum Schlüssel für E-Mail, Banking oder Arbeit.

Diese menschliche „Sync-Fabric“ hat weder Origin-Bindung noch die Per-Account-Einzigartigkeit von FIDO2. Credential Stuffing lebt davon. Gegenüber einem geschützten Tresor mit einzigartigen Geheimnissen ist Wiederverwendung das schwächere Vertrauensmodell—nicht das sicherere.

Was das NCSC zu First-Party-Fabrics beobachtet hat

Die FIDO2-Spezifikationen beschreiben eine Sync-Fabric, lassen Sicherheitsanforderungen aber den Anbietern. In seiner Review 2025 der First-Party-Fabrics (Apple, Google, Microsoft) stellte das NCSC fest, dass alle MFA vorschrieben, um Passkeys zu speichern, und Passkeys oder andere phishing-resistente Authentifizierung für das Fabric-Konto selbst unterstützten.

Diese Kombination zählt: Ist der Tresor-Login phishing-resistent, wird „Phishing der Sync-Fabric“ deutlich schwerer als bei einem nur passwortgeschützten Tresor. First-Party-Ökosysteme sind nicht perfekt, setzen aber eine höhere Latte als „irgendein Cloud-Backup“.

Drittanbieter-Manager variieren—wählen Sie sorgfältig

Drittanbieter-Fabrics sind uneinheitlicher. Fabian Baders Disobey-Vortrag 2026 Are passkeys as secure as you think? (vom NCSC zitiert) berichtete, dass mehrere bekannte Drittanbieter-Credential-Manager MFA nicht verlangten, nur um Passkeys zu erzeugen oder zu speichern—was das Risiko erhöht, Passkeys hinter einem Sync-Konto zu schützen, das noch nur ein Passwort braucht.

Dieser Befund betrifft Kontorichtlinien und Produktdefaults, nicht die Behauptung, Passkeys seien kaputt. Er bedeutet auch nicht, jeder Drittanbieter-Manager sei schwach. Praktisch: Bevor Sie einen Tresor für Passkeys nutzen, prüfen Sie, ob das Tresorkonto starke MFA oder einen Passkey unterstützt—und ob MFA Pflicht ist, nicht nur optional.

Praktische Checkliste für Sync-Fabric-Sicherheit

Behandeln Sie das Konto, das Ihre Credentials synchronisiert, als Kronjuwel-Login. Härten Sie es wie die E-Mail-Wiederherstellung.

• Aktivieren Sie phishing-resistente Authentifizierung (Passkey oder Hardware-FIDO-Schlüssel) für das Tresor-/Plattformkonto, sobald das Produkt es erlaubt.
• Bevorzugen Sie Manager und OS-Tresore, die MFA zum Enrollen oder Synchronisieren verlangen—nicht nur optionale MFA hinterher.
• Stellen Sie sicher, dass Recovery bewusst und dokumentiert ist: Recovery-Codes, vertrauenswürdige Geräte oder Abläufe, die Sie verstehen, bevor Sie sie brauchen.
• Bevorzugen Sie OS-integrierte oder hardwaregestützte Credential-Speicherung, wenn Malware-Resistenz zählt—besonders auf dem Desktop.
• Nutzen Sie einzigartige, generierte Passwörter für Dienste ohne Passkeys—Sync entschuldigt keine Wiederverwendung.

Single-Device-FIDO vermeidet Sync-Phishing—verschiebt aber das Risiko

Hardware-FIDO-Token und andere Single-Device-Credentials, die den Authenticator nicht verlassen können, sind nicht exponiert, wenn jemand ein Sync-Fabric-Konto phisht. Das ist ein echter Vorteil für den hochsensiblen privaten Einsatz.

Der Kompromiss ist Verfügbarkeit: Verlieren Sie den einzigen eingeschriebenen Schlüssel ohne Backup-Authenticator, landen Sie in der Kontowiederherstellung bei jeder Relying Party. Sync ist Usability und Recovery; Single-Device-Speicher ist Eindämmung. Wählen Sie nach Kontowert und Backup-Disziplin—nicht nach Slogans über „nie der Cloud vertrauen“.