--- url: 'https://www.corbado.com/de/blog/revolut-passkeys-analyse' title: 'Revolut Passkeys: Mutiger Schritt mit Verbesserungspotenzial' description: 'Revolut führt Passkeys stillschweigend ein. Erfahren Sie in unserer umfassenden Analyse mehr über die Auswirkungen auf die Banksicherheit, die Benutzererfahrung und das Verbesserungspotenzial.' lang: 'de' author: 'Vincent Delitz' date: '2025-07-15T13:16:59.437Z' lastModified: '2026-10-03T06:01:47.416Z' keywords: 'Revolut, Passkeys, WebAuthn, Banking-Sicherheit, passwortlose Authentifizierung, Neo-Banking' category: 'Passkeys Reviews' --- # Revolut Passkeys: Mutiger Schritt mit Verbesserungspotenzial ## Key Facts - **Revolut Business** zeigt beim Login einen prominenten Button "Mit Passkey fortfahren"; die Passkey-API des Privatkontos gab HTTP 403 zurück, was auf einen unvollständigen schrittweisen Rollout hindeutet. - Die Erstellung eines Passkeys war während der Tests nur auf **Windows 11** mit Chrome erfolgreich; native iOS- und Android-Apps für beide Kontotypen unterstützen noch keine Passkeys. - Revolut ist potenziell die größte Bank, die Passkeys einführt, und damit ein **Neo-Banking-Pionier** vor anderen Finanzinstituten in diesem Sektor. - Fehlende **Conditional UI** bedeutet, dass beim Passkey-Login von Revolut weiterhin ein Benutzername eingegeben werden muss, wodurch eine vollständig benutzernamenlose Authentifizierung in der aktuellen Implementierung nicht realisiert wird. - Die **Revolut Business apple-app-site-association**-Datei enthält bereits eine webcredentials-Konfiguration, was signalisiert, dass native Passkey-Unterstützung für iOS geplant sein könnte. ## 1. Einführung Beim digitalen [Banking](https://www.corbado.com/de/blog/finom-passkeys-banking) hat das Bedürfnis nach starker [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden) ohne Einbußen bei der Benutzererfahrung zu innovativen Lösungen geführt. Darunter stechen Passkeys als neuer Standard für die Benutzerauthentifizierung hervor. [Revolut](https://www.corbado.com/blog/revolut-passkeys), eine führende Neo-Bank mit Sitz in London, hat kürzlich und stillschweigend damit begonnen, **Passkeys für Privat- und Business-Konten** einzuführen. Dieser strategische Schritt entspricht nicht nur der wachsenden Nachfrage nach sichereren und komfortableren digitalen Erlebnissen, sondern positioniert [Revolut](https://www.corbado.com/blog/revolut-passkeys) auch als **Pionier bei der Einführung von Passkeys im Bankensektor**. Mit der Einführung von Passkeys folgt [Revolut](https://www.corbado.com/blog/revolut-passkeys) dem Trend der Tech-Giganten, wobei [Coinbase](https://www.corbado.com/blog/coinbase-passkey), [WhatsApp](https://www.corbado.com/blog/whatsapp-passkeys), [Nintendo](https://www.corbado.com/blog/nintendo-passkeys) und [Uber](https://www.corbado.com/blog/uber-passkeys) die Passkey-Welle anführen. Im Finanzsektor ist Revolut eine der ersten Banken, wenn nicht sogar die bisher größte Bank, die Passkeys einführt. ![Revolut Passkeys Willkommensbildschirm](https://www.corbado.com/website-assets/65c3b888ccc7572c702533f6_revolut_business_passkeys_windows_11_chrome_login_1f03b1c7fa.jpg) _Haftungsausschluss: Wir gehen davon aus, dass Passkeys in den kommenden Wochen schrittweise in größerem Umfang eingeführt und Fehler behoben werden. Wir werden den Beitrag entsprechend aktualisieren. Die aktuelle Version ist vom 7. Februar 2024._ ## 2. Das Wesen von Passkeys und ihre Bedeutung Passkeys stellen die nächste Stufe der passwortlosen [Authentifizierung](https://www.corbado.com/de/blog/passkey-fallback-recovery) dar und bieten Benutzern eine nahtlose, aber sichere Möglichkeit, auf ihre Konten zuzugreifen. Im Gegensatz zu herkömmlichen Passwörtern entfällt bei Passkeys die Notwendigkeit, sich komplexe Passwörter zu merken. Stattdessen basieren sie auf asymmetrischer Kryptografie mit Schlüsseln, die für jeden Benutzer und jedes Gerät einzigartig sind. Diese Methode erhöht nicht nur die [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden), indem sie das Risiko von [Phishing](https://www.corbado.com/glossary/phishing)-Angriffen und Datenlecks verringert, sondern vereinfacht auch den Login-Prozess, da Benutzer lediglich [Face ID](https://www.corbado.com/faq/is-face-id-passkey), Touch ID oder [Windows Hello](https://www.corbado.com/glossary/windows-hello) verwenden müssen, was die allgemeine Benutzererfahrung verbessert. ## 3. Revoluts Passkey-Rollout: Eine Mischung aus Innovation und Herausforderungen Revolut folgt einer schrittweisen Einführung von Passkeys und führt Funktionen auch nicht gleichzeitig für Business- und Privatkonten ein. Die wichtigsten Unterschiede, die uns während unserer Recherche aufgefallen sind, werden in der folgenden Tabelle beschrieben: | Funktion | Revolut Personal | Revolut Business | | -------------------------------------------------------------------- | ------------------------------------------------------------- | ----------------------------------------------------------------------------- | | Passkey-Login-Button auf der Login-Seite angezeigt | Nein | Ja | | Werbe-Passkey-Popup nach erfolgreichem Login auf neuem Gerät | Ja, aber auf allen Geräten erfolglos | Ja, auf allen Geräten, aber Passkey-Erstellung nur auf Windows 11 erfolgreich | | Passkey-Einstellungen in den Kontosicherheitseinstellungen verfügbar | Ja, es gibt jedoch keinen Button zum Erstellen eines Passkeys | Nein | | Native iOS- / Android-App-Unterstützung für Passkeys | Nein | Nein | ### 3.1 Vorteile von Revoluts Passkey-Integration Die folgenden Aspekte sind bei der Passkey-Integration von Revolut positiv hervorzuheben: - **Sichere digitale Marktführerschaft im Bankensektor:** Indem Revolut bei der Einführung von Passkeys vorangeht, sichert das Unternehmen nicht nur seine Position als digitaler Marktführer in der [Banking](https://www.corbado.com/de/blog/finom-passkeys-banking)-Landschaft, sondern ermutigt auch andere Finanzinstitute, diesem Beispiel zu folgen. - **Verbesserung der Benutzererfahrung:** Passkeys sind die einfachste Form der Benutzerauthentifizierung, da Benutzer kein zweites Gerät für [MFA](https://www.corbado.com/de/blog/medibank-datenleck) benötigen und sich keine komplexen Passwörter merken müssen. - **Einsparung von SMS-OTP-Kosten:** Eine der treibenden Kräfte hinter Passkey-Initiativen auf Unternehmensebene sind oft nicht nur UX-Verbesserungen und Sicherheitsvorteile, sondern auch die Einsparung enormer Kosten für veraltete und eher unsichere SMS-OTPs (die bei Banken immer noch weit verbreitet sind). ### 3.2 Verbesserungspotenzial Während Revoluts mutiger Schritt in Richtung Passkey-Integration lobenswert ist, verlief der Rollout nicht ohne Mängel. - **Mangel an informativen Passkey-Ressourcen:** Das Fehlen offizieller Passkey-FAQs oder -Anleitungen für Nutzer (wir haben keine gefunden) deutet auf eine Lücke in der Kommunikation des Rollouts hin, auch wenn den Nutzern Funktionen angeboten werden. Die Bereitstellung einer detaillierten Dokumentation kann helfen, Passkeys zu entmystifizieren und allen Nutzern einen reibungsloseren Übergang zu ermöglichen. - **Inkonsistente Passkey-UX:** Beobachtungen zeigen, dass die Verfügbarkeit und Funktionalität von Passkey-Funktionen je nach Gerät und Plattform variieren. Die Gewährleistung einer konsistenten Benutzererfahrung, bei der Passkey-Einstellungen zuverlässig angezeigt werden und Passkey-Werbe-Popups zu echten Passkey-Erstellungszeremonien führen (bei unseren Tests funktionierte dies nur auf [Windows 11](https://www.corbado.com/blog/passkeys-windows-11)), würde das Vertrauen der Benutzer stärken. - **Fehlende Conditional UI:** Die Einführung von [Conditional UI](https://www.corbado.com/glossary/conditional-ui) könnte ein Game-Changer sein. Die Steigerung der Benutzererfahrung durch das Angebot nicht nur passwortloser, sondern auch benutzernamenloser Logins würde den Login-Prozess weiter optimieren und intuitiver machen. - **Keine native App-Integration:** Derzeit erstreckt sich Revoluts Mobile-First-Ansatz nicht auf die Passkey-Unterstützung innerhalb seiner nativen [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)- und [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android)-Anwendungen. Die Integration von Passkeys in [native Apps](https://www.corbado.com/de/blog/webauthn-relying-party-id-rpid-passkeys) würde die hohe Passkey-Bereitschaft von [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)- und [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android)-Geräten nutzen. - **Keine einheitliche Authentifizierung über Plattformen hinweg:** Die Überbrückung der Lücke zwischen Web- und nativer App-Passkey-[Authentifizierung](https://www.corbado.com/de/blog/passkey-fallback-recovery) stellt eine komplexe Herausforderung dar (lesen Sie diesen Blogbeitrag für weitere technische Details zu einem Beispiel-Setup). Die Schaffung eines einheitlichen Authentifizierungsmechanismus, der gemeinsam genutzte Passkeys zwischen der Web-App, [iOS](https://www.corbado.com/blog/how-to-enable-passkeys-ios)-App und [Android](https://www.corbado.com/blog/how-to-enable-passkeys-android)-App ermöglicht, könnte jedoch die [Sicherheit](https://www.corbado.com/de/blog/vollstaendig-passwortlos-werden) und den Benutzerkomfort erhöhen. Im Folgenden gehen wir näher auf Revolut Personal- und Business-Konten ein und wie Passkeys auf ausgewählten Geräten und Plattformen eingeführt werden. ## 4. Revolut Business Passkeys Analyse Wir beginnen die Analyse der Revolut Business Passkeys mit einem genaueren Blick auf die Webanwendung, bevor wir die nativen Apps analysieren. ### 4.1 Revolut Business Webanwendung _Um die Dinge im Folgenden präzise zu halten, heben wir nur bestimmte Plattform-, Geräte- und Browser-Kombinationen hervor._ Beachten Sie, dass Sie das Passkey-Popup von Revolut nur einmal erhalten, nachdem Sie sich erfolgreich mit den vorhandenen Authentifizierungsmethoden angemeldet haben. Um das Popup erneut auszulösen, müssen Sie entweder die Revolut-Cookies löschen oder im Inkognito- / privaten Browsermodus auf die Website zugreifen. Wenn Sie die Login-Seite für Revolut Business aufrufen, fällt Ihnen sofort eine neue prominente Login-Option auf, die sich unter dem E-Mail-Eingabefeld und über den sozialen Logins von Google / Apple befindet. Sie trägt die Bezeichnung: **Continue with passkey.** #### 4.1.1 Windows 11 + Chrome Das Werbe-Passkeys-Popup sieht wie folgt aus: ![Revolut Passkeys aktivieren](https://www.corbado.com/website-assets/65c3b8cae9ae134686b7a7a6_revolut_business_passkeys_windows_11_chrome_enable_passkeys_816d565f16.jpg) Interessanterweise sind die Passkeys bei Revolut Business an die Telefonnummer gebunden, obwohl die primäre Benutzerkennung die E-Mail-Adresse ist. Wahrscheinlich liegt das daran, dass Revolut Personal-Konten zunächst mit einer Telefonnummer erstellt werden. ![Revolut Passkeys Verwaltung Windows](https://www.corbado.com/website-assets/65c3bc1bc999dbf2a3fa1b3c_revolut_business_passkeys_windows_11_passkey_management_0203d132d5.png) Nachdem Sie nun erfolgreich einen Passkey auf [Windows 11](https://www.corbado.com/blog/passkeys-windows-11) und [Chrome](https://www.corbado.com/de/blog/digital-credentials-api) erstellt haben, können Sie sich abmelden und auf der Login-Seite auf **Continue with passkey** klicken. Anschließend erscheint die Browser-UI für die Passkey-Authentifizierung: ![Revolut Passkeys Browser UI](https://www.corbado.com/website-assets/65c3b8e80638518c07855cc9_revolut_business_passkeys_windows_11_chrome_passkey_ui_f9cd335201.jpg) Im Gegensatz zum aktuellen Login-Verfahren für Revolut Business, bei dem Sie ein Passwort angeben und Ihre [Identität](https://www.corbado.com/de/blog/digital-credentials-api) per Push-Benachrichtigung in der nativen App oder per E-Mail-Magic-Link als zweiten Faktor bestätigen müssen, ist für Passkey-Logins keine zusätzliche Authentifizierungsmethode erforderlich, da Passkeys von Natur aus als [2FA](https://www.corbado.com/blog/psd2-passkeys/are-passkeys-two-factor-authentication) dienen. Dies stellt eine deutliche Verbesserung der Benutzererfahrung dar, insbesondere auf Desktop-Geräten, da der Kontextwechsel oder die Verwendung eines zweiten Geräts entfällt. #### 4.1.2 Android + Chrome Auf Android 14 und in [Chrome](https://www.corbado.com/de/blog/digital-credentials-api) 121 ist der **Continue with passkey**-Login-Button sehr prominent. ![Revolut Passkeys Android Chrome](https://www.corbado.com/website-assets/65c3b8fa021051059c632846_revolut_business_passkeys_android_14_chrome_login_c152d499f1.jpg) #### 4.1.3 iOS + Safari Unter [iOS 17](https://www.corbado.com/blog/apple-passkeys-integration).3 und in [Safari](https://www.corbado.com/de/blog/digital-credentials-api) ist der **Continue with passkey**-Login-Button ebenfalls sehr prominent. ![Revolut Passkeys iOS Safari](https://www.corbado.com/website-assets/65c3b90cabca352530f53042_revolut_business_passkeys_ios_17_safari_login_6f95d7d56b.jpg) ### 4.2 Revolut Business Native Anwendung Die nativen iOS- und Android-Apps für Revolut Business unterstützen noch keine Passkeys. Daher gibt es keine Passkey-Option im Bereich "Sicherheit & Datenschutz" der iOS- (siehe Screenshot) oder Android-App: ![Revolut Passkeys Android App](https://www.corbado.com/website-assets/65c3b92c21b43984c8f2acb8_revolut_business_passkeys_ios_17_app_security_settings_fb27d19770.jpg) ## 5. Revolut Personal Einer der ersten Unterschiede, die man beachten sollte, ist, dass Revolut Personal die Telefonnummer als primäre Benutzerkennung verwendet. Anstelle eines Passworts erfolgt die [Authentifizierung](https://www.corbado.com/de/blog/passkey-fallback-recovery) über einen 6- bis 12-stelligen Passcode, während Revolut Business einen 4-stelligen Passcode verwendet und beim Standard-Login-Prozess auf das Passwort zurückgreift. ### 5.1 Revolut Personal Webanwendung _Um die Dinge im Folgenden präzise zu halten, heben wir nur bestimmte Plattform-, Geräte- und Browser-Kombinationen hervor._ #### 5.1.1 macOS + Safari Das folgende Werbe-Passkey-Popup wird beim ersten Login (oder nach dem Löschen Ihrer Cookies / im privaten Browsermodus) angezeigt: ![Revolut Personal Passkeys ](https://www.corbado.com/website-assets/65c3b9e2044d802d3ab75eec_revolut_personal_passkeys_macos_sonoma_safari_enable_passkeys_9256638f1c.jpg) Aus irgendeinem Grund wurden wir nach dem Klick auf **Add passkey** im vorherigen Bildschirm direkt zur eingeloggten Seite weitergeleitet, ohne die Möglichkeit zu haben, die [Passkey-Erstellung](https://www.corbado.com/de/blog/passkey-erstellung-optimieren) mit Touch ID zu initiieren. Bei der Untersuchung des Problems fanden wir den entsprechenden API-Aufruf ([https://sso.revolut.com/api/challenges /webauthn](https://sso.revolut.com/api/challenges/webauthn)) im Netzwerk-Tab der Entwicklertools von [Safari](https://www.corbado.com/de/blog/digital-credentials-api). Dieser API-Aufruf gab jedoch den HTTP-Statuscode 403 zurück, was darauf hindeutet, dass die Funktion offenbar noch nicht vollständig eingeführt wurde. ![Revolut Passkeys API Aufruf](https://www.corbado.com/website-assets/65c3b9f87c1d6ae785f1528f_revolut_personal_passkeys_macos_sonoma_safari_webauthn_api_call_cab7c3b36a.jpg) ![Revolut Passkeys API Aufruf Antwort](https://www.corbado.com/website-assets/65c3ba03549be8bcd841b9b2_revolut_personal_passkeys_macos_sonoma_safari_webauthn_api_call_response_218269af50.jpg) Im Gegensatz zum Revolut Business-Konto enthalten die Kontoeinstellungen in Revolut Personal einen Bereich für Passkeys: ![Revolut Passkeys Einstellungen](https://www.corbado.com/website-assets/65c3ba1ae8267aff467b3715_revolut_personal_passkeys_macos_sonoma_chrome_app_settings_6889d2614f.jpg) #### 5.1.2 iOS + Safari Das folgende Werbe-Passkey-Popup wird beim ersten Login (oder nach dem Löschen Ihrer Cookies / im privaten Browsermodus) angezeigt: ![Revolut Passkeys Passkeys aktivieren iOS](https://www.corbado.com/website-assets/65c3ba2ef21b5e046c52036d_revolut_personal_passkeys_ios_17_safari_enable_passkeys_cd37a4b676.jpg) ### 5.2 Revolut Personal Native Anwendung Die nativen iOS- und Android-Apps für Revolut Personal unterstützen noch keine Passkeys. Sowohl die iOS-App als auch die Android-App (siehe Screenshots unten) verfügen jedoch über einen Sicherheitseinstellungsbereich für Passkeys: ![Revolut Passkeys Einstellungen iOS](https://www.corbado.com/website-assets/65c3ba4433ad6d255220a15f_revolut_personal_passkeys_android_14_app_security_settings_b52e5aff3c.jpg) ![Revolut Passkeys Liste iOS App](https://www.corbado.com/website-assets/65c3ba55f51cdfaa99af30f6_revolut_personal_passkeys_android_14_app_passkey_settings_82635975d6.jpg) ## 6. Technische Analyse Im Folgenden gehen wir genauer auf einige technische Aspekte ein. ### 6.1 Unterschiedliche Login-Optionen im Revolut SSO für Kontotypen Wir haben die technischen Implementierungsdetails untersucht. In erster Linie wird jedes Mal, wenn die Login-Seite geladen wird, eine _client_id_ an das Backend gesendet, das dann basierend auf dem Kontotyp unterschiedliche Authentifizierungsoptionen zurückgibt: - **Business-Konto:** Apple, Google, Passkeys (WebAuthn) Login - **Personal-Konto:** Apple, Google Login ![Revolut Login Anpassung Business](https://www.corbado.com/website-assets/65c3ba70d75d3c460ac37cc5_revolut_business_passkeys_windows_11_chrome_login_methods_f72de374e8.jpg) Interessanterweise wurde die Passkey-Option für Revolut Personal-Konten vorbereitet, ist aber noch nicht aktiviert (siehe Screenshot unten). Dies deutet darauf hin, dass ein Rollout unmittelbar bevorstehen und zügig umgesetzt werden könnte, um auch für Privatkonten einen **"Continue with passkey"**-Button zu ermöglichen. ![Revolut Login Anpassung Personal](https://www.corbado.com/website-assets/65c3ba7f3c0cd0f4c6b948ab_revolut_personal_passkeys_windows_11_chrome_login_methods_ee1e19921f.jpg) Die Entscheidung über die Anzeige der Login-Optionen basiert auf der _client_id_. Zum Beispiel: [https://sso.revolut.com/signin?client_id=o3r08ao16zvdlf2y5fde ](https://sso.revolut.com/signin?client_id=o3r08ao16zvdlf2y5fde) Zu experimentellen Zwecken haben wir die _client_id_ in einen zufälligen Wert geändert. Dadurch wurden auf [Windows 11](https://www.corbado.com/blog/passkeys-windows-11) mit [Chrome](https://www.corbado.com/de/blog/digital-credentials-api) alle Login-Optionen (inkl. der Möglichkeit, zwischen Telefonnummer und E-Mail als Login-Kennung zu wechseln) angezeigt. ![Revolut Passkey alle Login-Methoden](https://www.corbado.com/website-assets/65c3ba901e297f9c44a384ef_revolut_passkeys_windows_11_chrome_all_login_methods_9e1c0162d2.png) ### 6.2 Analyse der PublicKeyCredential-RequestOptions Während des Logins haben wir die [PublicKeyCredentialRequestOptions](https://www.corbado.com/glossary/publickeycredentialrequestoptions) analysiert. Auffällig war, dass [allowCredentials](https://www.corbado.com/glossary/allowcredentials) nicht gesetzt wurde, während die [Relying Party](https://www.corbado.com/glossary/relying-party) ID als "[sso](https://www.corbado.com/blog/passkeys-single-sign-on-sso).revolut.com" festgelegt wurde. Die [userVerification](https://www.corbado.com/glossary/user-verification) auf preferred zu setzen, ist aus Sicherheitssicht eine sinnvolle Wahl. ```json filename="publicKeyCredentialRequestOptions.json" { "allowCredentials": [], "challenge": "WHAxZnJDaDB1VnNXMmlOQW1hVndqdTYzSzF3emR3b3gtRFRCWHVxRjJYRQ", "rpId": "sso.revolut.com", "userVerification": "preferred" } ``` ### 6.3 Analyse von Association-Dateien Wir haben auch analysiert, wie ein Rollout auf die nativen iOS- und Android-Apps aussehen könnte. Dazu haben wir die [Relying Party](https://www.corbado.com/glossary/relying-party) ID [sso](https://www.corbado.com/blog/passkeys-single-sign-on-sso).revolut.com verwendet und die Pfade zur assetlinks.json (Android) und apple-app-site-association (iOS) Datei angehängt, um zu sehen, welche Informationen diese Dateien möglicherweise bereits bezüglich des Passkey-Rollouts enthalten. #### 6.3.1 assetlinks.json Der Versuch, auf [https://sso.revolut.com/.well-known/assetlinks.json](https://sso.revolut.com/.well-known/assetlinks.json) zuzugreifen, führt zu einem 404-Fehler von Nginx, was auf die Verwendung eines Reverse-Proxys für die Dateiverwaltung hindeutet. Durch Verwendung der Domain [https://app.revolut.com](https://app.revolut.com) haben wir die assetlinks.json unter [https://app.revolut.com/.well- known/assetlinks.json](https://app.revolut.com/.well-known/assetlinks.json) lokalisiert, welche aufschlussreiche Informationen für Revolut Personal lieferte: ```json filename="assetlinks.json" [ { "relation": ["delegate_permission/common.handle_all_urls"], "target": { "namespace": "android_app", "package_name": "com.revolut.revolut", "sha256_cert_fingerprints": [ "9C:9B:E0:71:35:E9:72:78:02:82:C2:E5:D2:7D:A0:6E:CB:8E:E3:AD:FC:75:30:39:17:DD:F6:6D:6F:AA:EF:A4", "11:F2:5B:D6:30:60:CE:B4:EF:EC:48:7C:C8:1F:6D:3D:D0:3A:75:C3:E9:D2:C5:32:3D:69:55:9D:C1:7F:6A:23" ] } }, { "relation": ["delegate_permission/common.handle_all_urls"], "target": { "namespace": "android_app", "package_name": "com.revolut.revolut.test", "sha256_cert_fingerprints": [ "90:EC:5D:75:11:4E:67:B7:F1:3F:C0:D0:57:85:9B:78:0D:A0:BA:49:E2:22:4C:60:42:7E:D2:EA:00:84:D1:B7" ] } } ] ``` Über [https://well-known.dev](https://well-known.dev) haben wir auch die Association-Datei für Revolut Business unter [https://business.revolut.com/.well-known/assetlinks.json](https://business.revolut.com/.well-known/assetlinks.json) entdeckt: ```json filename="assetlinks.json" [ { "relation": ["delegate_permission/common.handle_all_urls"], "target": { "namespace": "android_app", "package_name": "com.revolut.business", "sha256_cert_fingerprints": [ "9C:9B:E0:71:35:E9:72:78:02:82:C2:E5:D2:7D:A0:6E:CB:8E:E3:AD:FC:75:30:39:17:DD:F6:6D:6F:AA:EF:A4", "9F:07:80:54:0F:3A:C9:6F:D7:26:02:8A:37:C5:CD:48:DB:A3:67:EE:2D:93:B3:9D:DE:51:BC:F2:2E:7F:B1:88", "F8:F5:95:3A:C3:85:DB:0D:85:C3:56:E9:9B:37:BD:CA:4D:EE:B0:D2:52:C6:2A:36:4F:BA:C8:3B:C6:AF:3A:C2" ] } } ] ``` Da sich weder die assetlinks.json-Datei für Revolut Personal noch diejenige für Revolut Business auf dem Pfad befindet, der durch die [Relying Party](https://www.corbado.com/glossary/relying-party) ID für die Verknüpfung der nativen Android-App mit der Web-App vorgesehen ist, bleibt es spannend, welche Änderungen erforderlich sind, damit Passkeys über Web- und native Android-Apps hinweg funktionieren. #### 6.3.2 apple-app-site-association Die apple-app-site-association-Datei für Revolut Personal ist unter [https://revolut.com/.well-known/apple-app-site-association](https://revolut.com/.well-known/apple-app-site-association) abrufbar. Bisher wurden keine Details zu Web Credentials hinzugefügt: ```json filename="apple-app-site-association" { "applinks": { "apps": [], "details": [ { "appID": "QUZEZSEARC.com.revolut.revolut", "paths": ["/app/*"] }, { "appID": "QUZEZSEARC.com.revolut.test", "paths": ["/app/*"] } ] } } ``` Im Gegensatz dazu enthält die Revolut Business apple-app-site-association-Datei umfassendere Informationen, insbesondere zu Web Credentials. Dies deutet darauf hin, dass die iOS-App QUZEZSEARC.com.revolut.business so konfiguriert ist, dass sie Anmeldeinformationen mit der Revolut Business-Webanwendung teilt. Sie ist unter [https://business.revolut.com/.well-known/apple-app-site-association](https://business.revolut.com/.well-known/apple-app-site-association) abrufbar. ```json { "applinks": { "apps": [], "details": [ { "appID": "QUZEZSEARC.com.revolut.business", "paths": [ "/", "/accept-payments/in-person", "/accept-payments/online-requests", "/accept-payments/web-integrations", "/accounts", "/accounts/connect-external", "/accounts/connect-external/*", "/accounts/new", "/accounts/transactions", "/account-transactions/*", "/action/confirm", "/add-card-to-wallet", "/advances", "/advances/manual-repayment", "/app/*", "/application", "/approvals/requests", "/article/*", "/articles/*", "/bug-report", "/card-reader/order", "/cards", "/cards/*", "/cards/*/sca-counters-exceed", "/cards/*/sca-counters-warn", "/cards/*/security", "/cards/*/settings", "/cards/*/transactions", "/cashback", "/catalogue/manage", "/challenges/*", "/consumer-tickets/*", "/crypto", "/e-commerce", "/exchange", "/expense-documents/*", "/expenses", "/expenses/*", "/faq", "/faq/*", "/favourites", "/form", "/form/*", "/help-centre", "/help-centre/topic/*", "/hub/integrations", "/insurance", "/invoices", "/invoices/*", "/marketplace", "/merchant", "/merchant/*", "/new-card-acceptance-pricing", "/offboarding", "/open-onboarding-application-next-step", "/orders", "/pay-in-store/order/*", "/payments", "/payments/scheduled", "/payments/transfers", "/plan/subscriptions", "/points", "/pricing-plans", "/qr-code-sign-in/*", "/referrals", "/referrals/invite-contacts", "/referrals/invitee-details/*", "/request-info", "/request-info/merchant", "/requests", "/requests/request", "/reset-password", "/rewards", "/sales/revolut-me", "/statements", "/savings", "/send", "/settings/accounts-and-documents", "/settings/business-profile", "/settings/manage-devices", "/settings/merchant-profile", "/settings/merchant-profile/branding", "/settings/notifications", "/settings/personal-profile", "/settings/trusted-merchants", "/settings/vat-number", "/signup/invite", "/stories/*", "/story/*", "/subscriptions", "/team", "/team/approvals", "/team/member/add", "/team/roles", "/tip/settings", "/topup", "/transactions", "/transactions/*/add-expense-info", "/transactions/*/add-info-flow", "/transactions/*/chargeback-status", "/transfers", "/treasury", "/upgrade", "/vouchers" ] } ] }, "webcredentials": { "apps": ["QUZEZSEARC.com.revolut.business"] } } ``` Genauso wie bei Android bleibt es spannend, wie das plattformübergreifende Teilen von Passkeys zwischen den nativen Apps und Web-Apps implementiert werden kann, da die Relying Party ID für die Web-App (sso.revolut.com) die Association-Dateien nicht an den erwarteten Orten aufweist. ## 7. Wie Corbado Ihnen hilft, Passkeys wie Revolut zu implementieren Der Passkey-Rollout von Revolut ist einer der ehrgeizigsten im Bankwesen. Er umfasst Privat- und Business-Konten über Web- und [native Apps](https://www.corbado.com/de/blog/webauthn-relying-party-id-rpid-passkeys) hinweg, und die Analyse oben zeigt, wo diese Größenordnung wehtut: Die Web-Apps kamen zuerst, die beiden Kontotypen verhalten sich unterschiedlich und die nativen Apps blieben auf dem alten Ablauf. Eine Migration in dieser Form zu fahren, ohne den Login für alle zu brechen, die noch nicht dabei sind, ist genau das, was [Corbado Connect](https://www.corbado.com/connect) macht. ### Monitoring auf Geräteebene für groß angelegte Rollouts Revoluts Rollout brachte plattformübergreifende Inkonsistenzen und gerätespezifische Probleme zutage. Die Ansicht Device Health sortiert Marken und Modelle nach Abbruchrate, getrennt für [Passkey-Login](https://www.corbado.com/de/blog/passkey-anmeldung-optimieren) und [Passkey-Erstellung](https://www.corbado.com/de/blog/passkey-erstellung-optimieren), mit Event-Zahlen pro Gerät, damit ein echtes Problem von einer Handvoll Sessions unterscheidbar bleibt. Jede Zeile trägt eine Block-Aktion, sodass ein Gerätemodell, das zuverlässig scheitert, keine Passkeys mehr angeboten bekommt, ohne dass ein App-Release abgewartet werden muss. [Video: Device health](https://www.corbado.com/videos/features/device-health.mp4) ([See how Corbado Connect ships this](https://www.corbado.com/connect)) ### Gradual Rollout für eine schrittweise Migration Revoluts schrittweiser Ansatz, erst Web und später nativ, ist die richtige Strategie, und [Gradual Rollout](https://www.corbado.com/faq/gradual-rollout-support-passkey-adoption) setzt sie als Regeln statt als Releases um. Ein Regelsatz adressiert [Passkey-Login](https://www.corbado.com/de/blog/passkey-anmeldung-optimieren), [Passkey-Erstellung](https://www.corbado.com/de/blog/passkey-erstellung-optimieren) oder [Passkey-Verwaltung](https://www.corbado.com/de/blog/passkey-anbieter), und die Regeln greifen auf das, was der Client tatsächlich ist: Web, [native App](https://www.corbado.com/blog/native-app-passkeys) oder [WebView](https://www.corbado.com/blog/native-app-passkeys), ein OS-Versionsbereich, eine Gerätemarke und ein Modell, ein IP-Bereich oder die Verfügbarkeit von [Conditional Create](https://www.corbado.com/blog/conditional-create-passkeys). Jede Regel erlaubt, blockiert oder lässt einen gesampelten Anteil des Traffics durch, so können Sie mit einer Plattform starten und ausweiten, solange die Zahlen halten. Ein Kill Switch nimmt den ganzen Regelsatz wieder heraus, falls nicht. [Video: Rollout rules](https://www.corbado.com/videos/features/rollout-rules.mp4) ([See how Corbado Connect ships this](https://www.corbado.com/connect)) Ob Sie Revoluts Ansatz „Passkeys as-is“ folgen oder Cookie- und Session-Binding für eine konservativere [SCA](https://www.corbado.com/de/blog/passkeys-fuer-zahlungsanbieter-drittanbieter-sdk)-Auslegung ergänzen: Die Entscheidung bleibt im Regelsatz statt in der App. [Corbado Observe](https://www.corbado.com/observe) deckt die Frage ab, die diese Analyse nur von außen beantworten konnte, nämlich durch das Betrachten von Revoluts Login-Screens: was der Ablauf für echte Nutzer tut. Observe misst den Login-Funnel, die Subflows für Passkey, Passwort und OTP sowie den Fehlermix in Ihrem bestehenden Login, bevor der erste Passkey ausgeliefert wird und während der Migration. [Kontaktieren Sie uns](https://www.corbado.com/contact), um Ihren Rollout durchzusprechen. ## 8. Fazit Zusammenfassend lässt sich sagen, dass der Passkey-Rollout von Revolut ein bedeutender Schritt hin zur Revolutionierung der Benutzerauthentifizierung im [Banking](https://www.corbado.com/de/blog/finom-passkeys-banking)-Sektor ist. Durch die Einführung von Passkeys verbessert Revolut nicht nur die Sicherheit, indem es sich von herkömmlichen Passwörtern verabschiedet, sondern steigert auch die UX durch einen einfacheren Login-Prozess erheblich. Trotz der Herausforderungen beim anfänglichen Rollout, einschließlich Inkonsistenzen auf verschiedenen Geräten und dem Fehlen der Unterstützung für [native Apps](https://www.corbado.com/de/blog/webauthn-relying-party-id-rpid-passkeys), unterstreichen die Bemühungen von Revolut das Engagement für digitale Innovation und benutzerzentriertes Design. Die technische Analyse zeigt, dass zwar der Grundstein für eine nahtlose Passkey-Integration gelegt ist, es aber noch verbesserungswürdige Bereiche gibt. Die Verbesserung der Kommunikation, die Gewährleistung von plattformübergreifender Konsistenz und die Ausweitung der Unterstützung auf native mobile Anwendungen sind wichtige nächste Schritte. Die Bewältigung dieser Bereiche wird nicht nur die [Implementierung](https://www.corbado.com/de/blog/passkeys-cheat-sheet) von Revolut verfeinern, sondern auch einen Branchenstandard setzen und andere Finanzinstitute ermutigen, bald Passkeys einzuführen (siehe auch unseren Blogbeitrag zur [PSD2](https://www.corbado.com/blog/psd2-passkeys)-Konformität von Passkeys). ## Häufig gestellte Fragen ### Wie verbessert der Passkey-Login von Revolut die bestehende Authentifizierung für Business-Konten? Revolut Business erforderte zuvor bei jedem Login ein Passwort sowie eine Push-Benachrichtigung oder einen E-Mail-Magic-Link als zweiten Faktor. Passkeys ersetzen diesen gesamten Ablauf, da sie von Natur aus als Zwei-Faktor-Authentifizierung dienen und den Wechsel zu einem zweiten Gerät oder einer App während des Logins überflüssig machen. ### Was sind die größten Lücken bei der aktuellen Passkey-Einführung von Revolut, die Nutzer kennen sollten? Native iOS- und Android-Apps sowohl für Privat- als auch für Business-Konten unterstützen noch keine Passkeys, sodass Passkeys derzeit nur im Webbrowser nutzbar sind. Revolut hat außerdem keine offiziellen Passkey-FAQs oder -Anleitungen veröffentlicht, sodass den Nutzern die Dokumentation zum Verständnis der neuen Funktion fehlt. ### Wie ist die WebAuthn-Passkey-Implementierung von Revolut technisch konfiguriert? Revolut setzt seine Relying Party ID auf '[sso](https://www.corbado.com/blog/passkeys-single-sign-on-sso).revolut.com' und konfiguriert [userVerification](https://www.corbado.com/glossary/user-verification) als 'preferred' mit einer leeren [allowCredentials](https://www.corbado.com/glossary/allowcredentials)-Liste. Das leere [allowCredentials](https://www.corbado.com/glossary/allowcredentials)-Feld bedeutet, dass der Browser alle für die Domain verfügbaren Passkeys anzeigt, anstatt nach bestimmten Credentials zu filtern, was eine breitere Passkey-Erkennung unterstützt. ### Plant Revolut, die Passkey-Unterstützung auf seine nativen iOS- und Android-Apps auszuweiten? Die apple-app-site-association-Datei von Revolut Business enthält bereits einen webcredentials-Abschnitt, der die iOS-App mit der Webanwendung verknüpft, was darauf hindeutet, dass eine native Passkey-Unterstützung in Vorbereitung ist. Die assetlinks.json-Dateien für beide Kontotypen befinden sich jedoch nicht im Pfad der Relying Party ID, was bedeutet, dass die plattformübergreifende gemeinsame Nutzung von Passkeys zwischen Web- und nativen Apps noch nicht funktioniert.