<![CDATA[Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch.]]>Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. Ja, ich kann sie mit KeePassDX und KeePassXC auf Smartphone und Desktop verwalten, und der erhöhte Schutz vor Phishing ist unbestritten. Trotzdem will der Funke nicht überspringen.

Wie seht ihr das? Nutzt ihr Passkeys bereits aktiv, oder lasst ihr die Finger davon? Und wenn ja: wo landen eure Keys – beim Hersteller, im eigenen Passwortmanager, oder ganz woanders?

/kuk

]]>https://board.circlewithadot.net/topic/990b03c8-6a0e-4058-930a-968b2701ff9f/ich-spiele-seit-ein-paar-tagen-wieder-mit-passkeys-herum-und-irgendwie-bleibe-ich-skeptisch.RSS for NodeFri, 15 May 2026 02:46:47 GMTMon, 11 May 2026 09:20:22 GMT60<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Tue, 12 May 2026 13:32:34 GMT]]>@kuketzblog Passkeys sind in ihrer Umsetzung leider ein einziger Clusterfuck. Vom Prinzip eher super., aber da alle es willkürlich umsetzen, ich die Benutzbarkeit insbesondere für Menschen in reinen FOSS- und Selfhosting-Umgebungen eine Zumutung: Nintendo: Oh schade, dein Browser wird nicht unterstützt. PayPal: Oh blöd, das geht leider nur mit Chrome auf Mobilgeräten. Und so weiter. Laien können teilweise 3 Optionen wählen. Wer soll da durchblicken? Im Google-Konto, lokal auf dem Gerät oder doch bei AP Es ist zum Heulen

Noch ein Problem: Passkeys sind mit ihrem asymmetrischen Verfahren und relativ komplexen Technik im Hintergrund furchtbar abstrakt. Wie Passwörter funktionieren – ein gemeinsames Geheimnis – verstehen Menschen viel leichter. Hängen bleibt oft: Es ist kompliziert.

Immerhin: Wenn sie unterstützt werden, läuft es super, egal ob mit KeepassXC/DX, BitWarden oder Security-Token (Yubi- odr Nitrokey).

]]>https://board.circlewithadot.net/post/https://fedifreu.de/users/cryptgoat/statuses/116561854751225464https://board.circlewithadot.net/post/https://fedifreu.de/users/cryptgoat/statuses/116561854751225464Tue, 12 May 2026 13:32:34 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Tue, 12 May 2026 13:25:25 GMT]]>@kuketzblog ähnlich. Habe an ein paar Stellen Passkeys in KeePassXC. Benutzen tu' ich sie nicht.

]]>https://board.circlewithadot.net/post/https://darmstadt.social/users/claudius/statuses/116561826637697014https://board.circlewithadot.net/post/https://darmstadt.social/users/claudius/statuses/116561826637697014Tue, 12 May 2026 13:25:25 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Tue, 12 May 2026 07:35:02 GMT]]>@NcamGnrvngu @kuketzblog Man muss ja nicht übertreiben. Ich habe zum Beispiel einen an meinem Schlüsselbund und der andere liegt Zuhause im Schrank.

Neue Accounts mache ich meist Zuhause und da habe ich ja dann beide Schlüssel parat. ^^

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116560448859449113https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116560448859449113Tue, 12 May 2026 07:35:02 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Tue, 12 May 2026 06:19:06 GMT]]>@kuketzblog
Die Angst, dass man den Passkey "verliert" kann ich nicht teilen. Zumindest wenn man über keepassXC /DX arbeitet. Der Zugang über Passwort bleibt ja weiterhin möglich. Allerdings weiß ich bei passkey, dass ich nicht auf einer phishing Seite gelandet bin. Lediglich der aufpoppende windows Dialog für passkey nervt. Den kriege ich aktuell nicht deaktiviert.

]]>https://board.circlewithadot.net/post/https://layer8.space/users/Layer8/statuses/116560150304213589https://board.circlewithadot.net/post/https://layer8.space/users/Layer8/statuses/116560150304213589Tue, 12 May 2026 06:19:06 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 23:24:33 GMT]]>@kuketzblog Baue gerade eine Web-App mit „Passkey Only“. Ist wie mit Karten- vs. Barzahlung: Es dauert eine Weile bis die Leute in der Fläche kapieren, dass das die Zukunft ist. 🤷

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/speisekarte/statuses/116558520211076355https://board.circlewithadot.net/post/https://troet.cafe/users/speisekarte/statuses/116558520211076355Mon, 11 May 2026 23:24:33 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 22:43:07 GMT]]>@kuketzblog
Passkeys. Im Passwortmanager oder Yubikey.

]]>https://board.circlewithadot.net/post/https://mastodontech.de/users/mahabit/statuses/116558357272504624https://board.circlewithadot.net/post/https://mastodontech.de/users/mahabit/statuses/116558357272504624Mon, 11 May 2026 22:43:07 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 21:50:36 GMT]]>@liamthexpl0rer @kuketzblog Was ich bei Hardware bisher immer Schwierig fand ist die Wiederherstellung. Ich hätte gerne ein zweites Token an einem sicheren Ort, mit dem ich im Zweifel auch rein kann. Das mit dem sicheren Ort wird aber schwieriger, wenn ich dafür bei jedem neuen Account an den Schlüssel muss

]]>https://board.circlewithadot.net/post/https://nerdculture.de/users/NcamGnrvngu/statuses/116558150963586225https://board.circlewithadot.net/post/https://nerdculture.de/users/NcamGnrvngu/statuses/116558150963586225Mon, 11 May 2026 21:50:36 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 21:44:31 GMT]]>@kuketzblog 2 Probleme: 1. der Tresor ist nun viel gefährlicher da er direkten Zugang ermöglicht und die Integration von passkeys ist unterirdisch im allgemeinen. Funktionieren teilweise wie Passwörter, teilweise kann man sie per SMS zurücksetzen oder man braucht trotzdem 2FA. Die Umsetzung ist insgesamt so schlecht dass es einfach nicht brauchbar ist. Für den DAU, was die meisten User sind, ist es selbst in dieser schlechten Form ein unglaubliches Upgrade für die Sicherheit.

]]>https://board.circlewithadot.net/post/https://mastodon.world/users/mono/statuses/116558126901647453https://board.circlewithadot.net/post/https://mastodon.world/users/mono/statuses/116558126901647453Mon, 11 May 2026 21:44:31 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 21:36:39 GMT]]>@NcamGnrvngu @kuketzblog Ich finde Passkeys, egal welcher Art besser als Benutzername und Passwort. Als das ganze losging habe ich mir halt angeschaut, was für Möglichkeiten der Authentifizierung dadurch entstehen und mittlerweile nurnoch mit Hardware Schlüsseln unterwegs.

Ein PW Manager ist keine schlechte Wahl, nur gibt es dort wieder einige Aspekte mehr, die man sich anschauen sollte. Einem Cloud Anbieter würde ich das nicht mehr anvertrauen, da man nie weiß, ob er nicht doch mitlesen kann.

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116558095917004489https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116558095917004489Mon, 11 May 2026 21:36:39 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 21:30:30 GMT]]>@NcamGnrvngu @kuketzblog Das macht, meine ich, keinen Unterschied. Die Frage ist dann halt, ob du noch sicherer unterwegs sein willst oder ob dir ein synchronisierter Passkey reicht.

Es besteht halt jederzeit die Möglichkeit, dass dein Passkey durch eine Sicherheitslücke gekapert wird (oder jemand mitliest). Bei einer selber gehosteten Lösung, die man nur Intern (VPN) erreichen kann ist natürlich wieder was anderes. Ich habe bei meinem Kommentar eher an die nicht so affinen Leute gedacht.

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116558071770224550https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116558071770224550Mon, 11 May 2026 21:30:30 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 20:45:39 GMT]]>@kuketzblog bei Proton Pass

]]>https://board.circlewithadot.net/post/https://mastodon.de/users/MikaMeck17/statuses/116557895398245229https://board.circlewithadot.net/post/https://mastodon.de/users/MikaMeck17/statuses/116557895398245229Mon, 11 May 2026 20:45:39 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 20:44:50 GMT]]>@liamthexpl0rer @kuketzblog Hmm wenn ich aber statt einem Passkey eh mein Passwort und Username synchronisiere, dann macht das ja keinen Unterschied, oder?

]]>https://board.circlewithadot.net/post/https://nerdculture.de/users/NcamGnrvngu/statuses/116557892297397830https://board.circlewithadot.net/post/https://nerdculture.de/users/NcamGnrvngu/statuses/116557892297397830Mon, 11 May 2026 20:44:50 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 20:27:48 GMT]]>@NcamGnrvngu @kuketzblog Ich vertraue da noch nicht einmal meinem lokalen Vaultwarden Passkeys an. xD

Das Problem was ich halt sehe, ist nicht das speichern von Passkeys in Software per se, sondern dass man die bei manchen Diensten dann noch synchronisieren kann (was eigentlich nicht das Ziel war). Ich sage nur Apple und Google. 😉

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116557825231545979https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116557825231545979Mon, 11 May 2026 20:27:48 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 20:20:47 GMT]]>@kuketzblog Ich entferne übrigens auch jegliche Wiederherstellungsoptionen für meine Accounts. Sonst hat das ganze auch keinen Sinn, da der Angreifer dann trotzdem meist nur Zugriff auf dein E-Mail Postfach oder SMS braucht um Zugriff zu bekommen.

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116557797596630494https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116557797596630494Mon, 11 May 2026 20:20:47 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 19:49:17 GMT]]>@kuketzblog ich sehe das auch ambivalent. Ich hatte bereits vor Passkeys einen Fido Stick und fand es irgendwie schick. Aber solange man nur einen hat, bleibt das Risiko sich auszusperren. Defacto braucht man also mehr als einen, das geht aber ins Geld. Da sind Passkeys doch ganz nett. Da aber praktisch kein Dienst den Login mit Passwort verhindert, wenn man Passkeys hat, bleibt die Unsicherheit bestehen und dann ist es fast nutzlos.

]]>https://board.circlewithadot.net/post/https://det.social/users/flori_man/statuses/116557673757206334https://board.circlewithadot.net/post/https://det.social/users/flori_man/statuses/116557673757206334Mon, 11 May 2026 19:49:17 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 19:37:23 GMT]]>@liamthexpl0rer @kuketzblog @nitrokey Hmm ich finde ein Passkey ergibt auch sinn, wenn er ein Passwort aus dem Passwortmanager ersetzt. Eine anständige 2FA brauchts dann aber natürlich auch noch.

]]>https://board.circlewithadot.net/post/https://nerdculture.de/users/NcamGnrvngu/statuses/116557626933316507https://board.circlewithadot.net/post/https://nerdculture.de/users/NcamGnrvngu/statuses/116557626933316507Mon, 11 May 2026 19:37:23 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 19:33:21 GMT]]>@kuketzblog Ich finde, Passkeys ergeben nur Sinn, wenn man einen Hardware-Schlüssel wie den @nitrokey hat. Man sollte aber dann zwei haben, falls man einen verliert und den aus allen Accounts entfernen muss.

]]>https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116557611088286880https://board.circlewithadot.net/post/https://troet.cafe/users/liamthexpl0rer/statuses/116557611088286880Mon, 11 May 2026 19:33:21 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 19:19:54 GMT]]>@kuketzblog
Ich nutze PassKey sehr gern. Da ich die Keys auf meinem Vaultwarden speichere (selbst geghostet) denke ich, dass sie ganz gut in meiner Hand liegen.

Selbstverständlich habe ich aber auch nicht den Security-Überblick wie du.

Mein größter Benefit: sollte ich mich doch mal auf fremder Hardware iwo anmelden muß, beleibt die Eingabe der Passwörter aus.

]]>https://board.circlewithadot.net/post/https://leipzig.town/ap/users/116526034350162706/statuses/116557558208618855https://board.circlewithadot.net/post/https://leipzig.town/ap/users/116526034350162706/statuses/116557558208618855Mon, 11 May 2026 19:19:54 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 19:17:01 GMT]]>@OlafInDerSchweiz @truhe Geht darum das es nicht praktisch bzw halt nicht wirklich zwei Faktor ist. Klar ist es sicher mit gpg keine Frage.

]]>https://board.circlewithadot.net/post/https://mastodon.social/users/thaodan/statuses/116557546851723528https://board.circlewithadot.net/post/https://mastodon.social/users/thaodan/statuses/116557546851723528Mon, 11 May 2026 19:17:01 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 19:03:07 GMT]]>@thaodan
Das kommt darauf an. Wenn die Mail mit GPG verschlüsselt ist, ist das ein sehr sicherer Weg. Bietet nur so gut wie niemand an.
@truhe

]]>https://board.circlewithadot.net/post/https://social.anoxinon.de/users/OlafInDerSchweiz/statuses/116557492216113881https://board.circlewithadot.net/post/https://social.anoxinon.de/users/OlafInDerSchweiz/statuses/116557492216113881Mon, 11 May 2026 19:03:07 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 18:32:59 GMT]]>RE: https://infosec.exchange/@neilmadden/116557281664023579

@kuketzblog

]]>https://board.circlewithadot.net/post/https://chaos.social/users/ck/statuses/116557373732527742https://board.circlewithadot.net/post/https://chaos.social/users/ck/statuses/116557373732527742Mon, 11 May 2026 18:32:59 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 18:28:31 GMT]]>@kuketzblog Mit diesem Status habe ich dann aufgehört zu probieren. So ergibt das wenig Sinn für mich. Der Vorteil der einfachen Anmeldung ist damit hinfällig, der einzige verbleibende Vorteil wäre die höhere Resistenz gegen Phishing. Das ist mir dann zu wenig.

]]>https://board.circlewithadot.net/post/https://social.anoxinon.de/users/pdl/statuses/116557356188323942https://board.circlewithadot.net/post/https://social.anoxinon.de/users/pdl/statuses/116557356188323942Mon, 11 May 2026 18:28:31 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 18:26:15 GMT]]>@kuketzblog Wenn, dann würde ich einen Hardware-Token zur zum Entsperren meiner Keepass-Datenbank verwenden.
Passkeys in KeepassXC: Habe ich getestet, funktioniert. Ich verwende auf dem Telefon Keepass2Android, das unterstützt Passkeys meines Wissens nicht.
Ich habe Passkeys mit meiner Nextcloud getestet. Funktioniert. Da aber die Passwort-Authentisierung nicht abschaltbar ist, muss aus meiner Sicht 2FA mit TOTP aktiv bleiben. Bei der Anmeldung per Passkey brauche ich dann auch TOTP. (2/3)

]]>https://board.circlewithadot.net/post/https://social.anoxinon.de/users/pdl/statuses/116557347227013649https://board.circlewithadot.net/post/https://social.anoxinon.de/users/pdl/statuses/116557347227013649Mon, 11 May 2026 18:26:15 GMT<![CDATA[Reply to Ich spiele seit ein paar Tagen wieder mit Passkeys herum – und irgendwie bleibe ich skeptisch. on Mon, 11 May 2026 18:21:42 GMT]]>@kuketzblog Meine persönliche Bewertung:
Hardware-Token kommen für mich nicht infrage, weil das Handling zu umständlich ist. Einer für den täglichen Gebrauch, einer als Backup im Tresor. Bei einem neuen Zugang muss ich den Token aus dem Tresor holen, einrichten und wieder wegschließen. Das geht naturgemäß nur zu Hause. Wird ein Token unbrauchbar, muss ich den bei allen Diensten zurückziehen und einen neuen Token kaufen und einrichten. (1/x)

]]>https://board.circlewithadot.net/post/https://social.anoxinon.de/users/pdl/statuses/116557329345497190https://board.circlewithadot.net/post/https://social.anoxinon.de/users/pdl/statuses/116557329345497190Mon, 11 May 2026 18:21:42 GMT