Passkeys ohne Biometrie? Funktioniert das?

Ja, Passkeys können ohne Biometrie funktionieren, indem sie lokale Authentifikatoren wie PINs, Muster oder Gerätepasswörter verwenden. Diese Methoden bieten eine sichere Authentifizierung, wenn biometrische Optionen wie Fingerabdruck- oder Gesichtserkennung nicht verfügbar sind. Passkeys stützen sich auf den lokalen Authentifikator des Geräts, der vom Benutzer eingerichtet und nicht von der Relying Party kontrolliert wird.

---

Passkeys basieren auf WebAuthn, einem Standard für die passwortlose Authentifizierung. Typischerweise verwenden Passkeys einen lokalen Authentifikator zur Benutzerverifizierung. Wenn Biometrie wie Fingerabdruck- oder Gesichtserkennung nicht verfügbar ist, bietet der lokale Authentifikator eine alternative Authentifizierungsmethode.

Ein lokaler Authentifikator ist ein Mechanismus auf Ihrem Gerät, der Ihre Identität überprüft. Beispiele hierfür sind (alle nicht-biometrisch):

• PIN-Codes – Ein numerischer Code, den Sie zum Entsperren Ihres Geräts eingeben.
• Muster – Ein Wischmuster, das auf einem Touchscreen gezeichnet wird.
• Gerätepasswörter – Alphanumerische Passwörter, die für den Gerätezugriff verwendet werden.
• Bildschirmsperren – Jeder andere Mechanismus, der den Gerätezugriff einschränkt.

1. Benutzereinrichtung: Der Benutzer konfiguriert seinen lokalen Authentifikator auf seinem Gerät.
2. Passkey-Erstellung: Das Gerät generiert während der Kontoeinrichtung ein kryptografisches Schlüsselpaar.
   • Der private Schlüssel wird sicher auf dem Gerät gespeichert.
   • Der öffentliche Schlüssel wird mit dem Dienst (Relying Party) geteilt.
3. Authentifizierung: Wenn der Benutzer versucht, sich anzumelden:
   • Die Relying Party sendet eine Challenge an das Gerät.
   • Das Gerät verwendet den privaten Schlüssel, um die Challenge zu signieren.
   • Der lokale Authentifikator (z. B. PIN, Muster) überprüft die Identität des Benutzers vor dem Signieren.

• Zugänglichkeit: Ermöglicht Benutzern ohne biometriefähige Geräte die Verwendung von Passkeys.
• Sicherheit: Lokale Authentifikatoren sind an das Gerät gebunden und können nicht aus der Ferne abgefangen werden.
• Benutzerkontrolle: Benutzer können die Methode wählen, mit der sie sich am wohlsten fühlen, was die Akzeptanzraten erhöht.

Nein, Entwickler und Relying Parties können die Art des verwendeten lokalen Authentifikators nicht direkt steuern. Dies wird durch die Geräteeinrichtung des Benutzers bestimmt. Entwickler können jedoch User Flows entwerfen, die den Prozess klar erklären und Benutzer anleiten, einen lokalen Authentifikator einzurichten, falls noch keiner konfiguriert ist.

Passkeys ohne Biometrie bieten Inklusivität und Flexibilität. Nicht alle Benutzer haben Zugang zur neuesten biometrischen Technologie, aber sie können dennoch von der Sicherheit und dem Komfort der passwortlosen Authentifizierung durch Alternativen wie PINs und Muster profitieren.

---