Betriebssysteme - Windows-Angemeldet bleiben, Homepage von Dieter Mann

Der Authenticator erstellt ein kryptografisches Schlüsselpaar bestehend aus einem privatem und öffentlichem Schlüssel, leitet den öffentlichen Schlüssel an den Server des Online-Dienstes weiter und speichert den privaten Teil je nach Authenticator-Variante auf dem Gerät.
Hier gibt es je nach Hersteller Unterschiede:

Apple
Apple nutzt für die Verwaltung der privaten Schlüssel die betriebssystemeigene Schlüsselverwaltung, d.h. der Passkey-Authenticator ist der bereits bekannte "iCloud-Schlüsselbund".
Die privaten Schlüssel werden in der Cloud von Apple gespeichert.
Damit ist die Passkey-Verwaltung in der Regel nicht ganz so sicher, aberdie Passkeys sind automatisch auf allen Apple-Geräten verfügbar.
Neue Apple-Geräte können relativ einfach mit dem iCloud-Schlüsselbund synchronisiert werden, sodass auch das neue Apple-Gerät auf die dort gespeicherten Passkeys zugreifen kann.

Google
Bei Android-Geräten und Rechnern mit ChromeOS werden die Passkeys in Googles betriebssystemeigenem Passwortmanager verwaltet.
Dabei werden die beiden kryptografischen Schlüsselpaare (privater und öffentlicher Schlüssel) auf dem Gerät generiert.
Der private Schlüssel wird dann in der Herstellercloud sicher Ende-zu-Ende verschlüsselt gespeichert und kann durch die Cloud-Lösung mit anderen Android-Geräten synchronisiert werden.
Damit stehen die im Google-Passwortmanager gespeicherten Passkeys allen Android-Geräten zur Verfügung, die den Google Passwortmanager verwenden. Dazu müssen Sie nur mit Ihrem entsprechenden Google-Konto angemeldet sein.

Microsoft
Bei Microsoft kommt der Authentifizierungsdienst "Windows Hello" zum Einsatz.
Das Hardwaremodul des Rechners TPM (Trusted Plattform Modul) übernimmt die Funktion des Authenticators und speichert auch den Passkey.
Anders als bei Apple und Google werden die Passkeys lokal abgelegt, was zwar mehr Sicherheit aber auch weniger Komfort bietet.
Eine Synchronisation der Passkeys über mehrere Geräte hinweg ist nicht möglich. Die im Hardwaremodul gespeicherten Passkeys können nur am jeweiligen Rechner genutzt werden.
Verlieren Sie den Zugriff auf Ihre Passkeys, etwa wenn das Gerät gestohlen wird, besteht keine Möglichkeit zur Wiederherstellung.
Eine Fallback-Lösung könnte das alte Passwort beim jeweiligen Webdienst sein.
Falls Sie mehr Flexibilität bei der Nutzung der im Windows Rechner gespeicherten Passkeys haben möchten, können Sie das Smartphone ähnlich wie bei Apple und Google als externen Passkey-Authenticator nutzen, um sich per QR-Code-Scan an fremden Geräten anzumelden.

Ausblick
Microsoft plant offenbar, Passkeys künftig über den MS-Account zwischen Geräten zu synchronisieren.
Außerdem ist eine Drittanbieter API geplant, mit der in Windows Hello erstellte Passkeys auch in einem Passwortmanager gespeichert werden können.
Damit würde Microsoft mit Apple und Google gleichziehen.

FIDO2-Sicherheitsschlüssel
Der Klassiker unter den Passkey-Authenticatoren ist der FIDO2-Sicherheitsschlüssel (Hardware-Token).
Er sieht aus wie ein USB-Stick und lässt sich auch ähnlich nutzen. Der Stick kann per USB oder über Bluetooth verbunden werden.
Die Passkeys werden sicher im Sicherheitschip des FIDO2-Sticks gespeichert.
Bei der Erstellung eines Passkeys sowie der spätere Anmeldung erfolgt die Freigabe per Druck auf den Knopf am FIDO2-Stick oder durch die Eingabe einer PIN.
FIDO2-Sicherheitsschlüssel können in der Regel bis zu 30 Passkeys speichern, bei mehr Passkeys benötigt man weitere Sticks.
Empfehlenswert ist es auch, zu jedem Stick einen zweiten als Backup zu haben, falls der erste verloren geht.
Weil jeder Stick ein Unikat ist und nicht kopiert werden kann, müssen Backup-Sticks bei jedem Online-Dienst als eigenes vertrauenswürdiges Gerät registriert werden.

Passwortmanager
Passkeys können auch in einem Passwortmanager eines Drittanbieters verwaltet werden. Wie bei Apple und Google werden bei den meisten Passwortmanagern von Drittanbietern die Passkeys verschlüsselt in der Cloud des Herstellers gespeichert.
Wer Passwortmanager für die Verwaltung seiner Passkeys nutzt, kann die dort gespeicherten Passkeys nahtlos auf mehreren Geräten einsetzen. Dafür muss lediglich die jeweilige Passwortmanager-App auf dem entsprechenden Gerät installiert werden. Damit ist auch die Nutzung der Passkeys auf betriebssystemfremden Geräten möglich, sofern das jeweilige Betriebssystem von der App unterstützt wird.

Passkey, Windows Hello und Co.