Suchen Sie nach "YubiKey vs. Passkey" und Sie finden reichlich Artikel, die einen Sieger küren. Die ehrliche Antwort lautet: Der Vergleich ist falsch gestellt, denn ein YubiKey ist einer der Orte, an denen ein Passkey leben kann. Sie sind keine Konkurrenten. Sobald das klar ist, wird die Entscheidung, vor der Sie tatsächlich stehen, deutlich leichter.
Sie laufen auf demselben Standard
Sowohl Passkeys als auch Hardware-Sicherheitsschlüssel setzen FIDO2/WebAuthn um. Das ist wichtig, weil die Sicherheitseigenschaft, auf die es den Leuten ankommt, aus dem Standard stammt und nicht aus dem Plastik.
Ein Passkey ist eine Public-Key-Anmeldeinformation: Die private Hälfte bleibt bei Ihnen, die öffentliche Hälfte liegt beim Dienst. Es gibt kein gemeinsames Geheimnis zu stehlen, also gibt ein Datenleck beim Dienst nichts Wiederverwendbares preis. Und die Anmeldeinformation ist an den Origin gebunden, das heißt, sie präsentiert sich keiner nachgebauten Domain, wie überzeugend die Seite auch sein mag. Genau das macht sie phishing-resistent.
Ein YubiKey macht exakt dasselbe, denn er ist ein FIDO2-Authenticator. Wenn also jemand fragt, was phishing-resistenter sei, lautet die korrekte Antwort: beides, durch denselben Mechanismus.
Die eigentliche Frage: Wo lebt die Anmeldeinformation?
Das ist die Entscheidung, die Ihre Erfahrung tatsächlich verändert. Ein Passkey kann an drei Orten gespeichert werden.
In der sicheren Hardware Ihres Geräts (die Secure Enclave Ihres Smartphones, das TPM Ihres Notebooks). Null Einrichtung, entsperrt durch die Biometrie, die Sie ohnehin verwenden. Die Anmeldeinformation ist an das Ökosystem dieser Plattform gebunden.
In einem Passwortmanager. Der Tresor hält den Passkey und folgt Ihnen über Betriebssysteme hinweg, was das Ökosystem-Problem vollständig beseitigt.
Auf einem Hardware-Schlüssel. Die Anmeldeinformation lebt auf einem Gerät, das Sie physisch mitführen und einstecken oder auflegen. Es funktioniert auf jedem Rechner, auch auf einem fremden, und synchronisiert sich nirgendwohin.
Beachten Sie: Nur der dritte Fall betrifft einen YubiKey, und er ist eine Speicherentscheidung, keine andere Technologie.
Der ehrliche Nachteil synchronisierter Passkeys
Die Reibung ist ökosystemübergreifend. Ein in Apple Keychain erstellter Passkey synchronisiert sich nicht nativ mit Google Password Manager oder mit einem Windows-Rechner. Wenn Sie auf einer Plattform leben, werden Sie das nie bemerken. Wenn Sie ein iPhone mit einem Windows-PC kombinieren, kann eine Anmeldeinformation genau dort stranden, wo Sie nicht darankommen, und zwar in dem Moment, in dem Sie sich anmelden müssen.
Das ist der praktische Grund, warum viele Menschen Passkeys stattdessen in einen plattformübergreifenden Passwortmanager legen: Der Tresor reist mit Ihnen statt mit dem Betriebssystem.
Bewahren Sie Ihre Passkeys in einem Tresor auf, der Ihnen folgtProton Pass speichert und verwaltet Passkeys über Browser und Plattformen hinweg, damit eine auf einem Gerät erstellte Anmeldeinformation nicht auf einem anderen strandet.→Der ehrliche Nachteil von Hardware-Schlüsseln
Nichts synchronisiert sich, was zugleich der Sinn und der Preis ist.
- Sie müssen ihn mitführen. Kein Schlüssel, keine Anmeldung.
- Sie müssen zwei kaufen. Ein einzelner Hardware-Schlüssel ist ein Single Point of Failure; ihn zu verlieren kann Sie aus genau den Konten aussperren, die Sie am sorgfältigsten geschützt haben. Registrieren Sie ein Backup und bewahren Sie es getrennt auf.
- Er kostet Geld, während Plattform-Passkeys kostenlos sind.
Im Gegenzug erhalten Sie eine Anmeldeinformation, die kein Cloud-Konto hält, die auf jedem Rechner funktioniert und die unabhängig davon ist, welches Ökosystem Sie gerade nutzen.
Wie Sie wählen
- Sie bleiben in einem Ökosystem und wollen null Aufwand. Nutzen Sie den integrierten Plattformspeicher. Er ist wirklich gut, und kostenlos.
- Sie wechseln zwischen Betriebssystemen. Nutzen Sie einen plattformübergreifenden Passwortmanager, damit der Tresor reist, statt dass die Anmeldeinformation strandet.
- Sie wollen die Anmeldeinformation gerätegebunden, oder Sie melden sich auf fremden Rechnern an, oder Sie brauchen zusätzliche Protokolle wie die PIV-Smartcard. Nutzen Sie einen Hardware-Schlüssel wie einen YubiKey, und kaufen Sie einen zweiten.
Für die meisten Menschen liegt der größte Sicherheitsgewinn schlicht darin, von SMS-Codes und wiederverwendeten Passwörtern auf irgendeinen Passkey umzusteigen. Die Speicherfrage zählt, aber sie zählt weniger als dieser erste Schritt.
Das Fazit
Hier gibt es kein Duell zu entscheiden. Passkey beschreibt die Anmeldeinformation; YubiKey beschreibt einen Ort, um sie aufzubewahren. Beide besiegen Phishing durch dieselbe Origin-Bindung in FIDO2/WebAuthn. Was Sie wirklich wählen, ist synchronisierter Komfort gegen gerätegebundene Kontrolle, und was Sie auch nehmen: Registrieren Sie eine zweite Anmeldeinformation, damit der Verlust eines Geräts Sie nicht aussperrt.
Erklärstück auf Basis des dokumentierten Verhaltens des FIDO2/WebAuthn-Standards und der von den Plattformen veröffentlichten Passkey-Fähigkeiten, einschließlich der von Proton Pass dokumentierten plattformübergreifenden Passkey-Unterstützung. Wir haben keine Praxistests einzelner Geräte durchgeführt und nennen keine Benchmark-Zahlen. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann anfallen, ohne Mehrkosten für Sie und ohne Einfluss auf die Empfehlungen.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Ein Manager mit integrierter 2FA & Passkeys → NordPassTOTP & Passkeys speichern · XChaCha20 · Gratis-Tarif→Häufig gestellte Fragen
Ist ein YubiKey besser als ein Passkey?
Die Frage funktioniert so nicht ganz, denn ein YubiKey ist einer der Orte, an denen ein Passkey gespeichert werden kann. Beide beruhen auf demselben FIDO2/WebAuthn-Standard und beide sind phishing-resistent, weil die Anmeldeinformation an die echte Adresse der Website gebunden ist. Die eigentliche Wahl betrifft den Ort, an dem die Anmeldeinformation lebt: auf einem Hardware-Schlüssel, den Sie mitführen, in der sicheren Hardware Ihres Smartphones oder Notebooks oder in einem Passwortmanager. Diese Entscheidung verändert Portabilität und Wiederherstellung, nicht die zugrunde liegende Kryptografie.
Sind Passkeys genauso phishing-resistent wie ein Hardware-Schlüssel?
Ja, speziell für den Phishing-Fall. Beide sind an den Origin gebunden, das heißt, die Anmeldeinformation präsentiert sich schlicht nicht auf einer gefälschten Domain, wie überzeugend die Seite auch aussehen mag. Genau diese Eigenschaft besiegt Phishing, und sie stammt aus dem FIDO2/WebAuthn-Standard und nicht aus der Hardware. Unterschiede zwischen beiden zeigen sich bei Portabilität, Wiederherstellung und Kontrolle, nicht bei der Widerstandsfähigkeit gegen eine Phishing-Seite.
Was ist der wirkliche Nachteil synchronisierter Passkeys?
Reibung zwischen Ökosystemen. Ein in Apple Keychain erstellter Passkey synchronisiert sich nicht nativ mit Google Password Manager oder mit einem Windows-Rechner, sodass Menschen, die Plattformen mischen, eine Anmeldeinformation dort gestrandet vorfinden können, wo sie nicht darankommen. Passkeys in einem plattformübergreifenden Passwortmanager zu speichern, vermeidet das, weil der Tresor Ihnen folgt statt dem Betriebssystem.
Sollte ich für Passkeys einen Hardware-Schlüssel, mein Smartphone oder einen Passwortmanager nutzen?
Nutzen Sie einen Hardware-Schlüssel, wenn Sie die Anmeldeinformation gerätegebunden und auf jedem Rechner nutzbar haben wollen, auch auf fremden, oder wenn Sie zusätzlich Protokolle wie die PIV-Smartcard brauchen. Nutzen Sie den integrierten Speicher Ihres Smartphones oder Notebooks, wenn Sie in einem Ökosystem bleiben und null Einrichtungsaufwand schätzen. Nutzen Sie einen plattformübergreifenden Passwortmanager, wenn Sie zwischen Betriebssystemen wechseln und überall einen Tresor wollen. Was Sie auch wählen: Registrieren Sie eine zweite Anmeldeinformation als Backup.
