Was ist heute passiert?
Nicht jeder Security-Tag bringt eine neue Schwachstelle, die für eine breite Zielgruppe unmittelbaren Handlungsbedarf auslöst. CERT.at listet derzeit als jüngste öffentliche Warnung die bereits am 15. September 2026 veröffentlichte und hier behandelte Schwachstelle im Cisco Secure Email Gateway; die jüngsten verfügbaren CERT.at-Tagesberichte reichen bis zum 17. September. Für den heutigen Beitrag wurde daher bewusst kein künstlicher „Alarm“ konstruiert.
Stattdessen lohnt sich ein Blick auf ein Schutzthema, das sowohl Privatpersonen als auch Unternehmen dauerhaft betrifft: die sichere Anmeldung bei E-Mail-Konten, Cloud-Diensten, Online-Shops, sozialen Netzwerken und geschäftlichen Anwendungen.
Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass selbst eine klassische Zwei-Faktor-Authentisierung nicht automatisch vor Phishing schützt. Wird beispielsweise neben dem Passwort auch ein Einmalcode auf einer täuschend echt nachgebauten Webseite eingegeben, können Angreifer unter Umständen beide Informationen unmittelbar weiterverwenden. Als sichere Alternative nennt das BSI ausdrücklich Passkeys.
Wer profitiert von Passkeys?
Grundsätzlich alle Nutzer:innen, deren Dienste Passkeys unterstützen. Besonders sinnvoll ist der Einsatz bei Konten, deren Übernahme erhebliche Folgen hätte: E-Mail, Cloudspeicher, Administrationskonten, Unternehmensportale, Fernzugänge oder Konten, über die weitere Passwörter zurückgesetzt werden können.
Ein Passkey ersetzt das klassische Passwort durch ein kryptografisches Schlüsselpaar. Vereinfacht gesagt besitzt der jeweilige Onlinedienst nur den öffentlichen Teil des Schlüssels; der private Teil bleibt beim Gerät beziehungsweise im dafür vorgesehenen sicheren Schlüsselspeicher. Beim Anmelden bestätigt das Gerät gegenüber dem Dienst, dass der passende Schlüssel vorhanden ist.
Für Nutzer:innen fühlt sich das häufig einfacher an als ein Passwort: Die Anmeldung wird beispielsweise mit Geräte-PIN, Fingerabdruck oder Gesichtserkennung freigegeben. Entscheidend ist jedoch nicht die Bequemlichkeit, sondern die technische Bindung des Passkeys an den richtigen Dienst.
CISA empfiehlt für besonders schützenswerte Konten phishing-resistente Authentifizierung auf Basis von FIDO/WebAuthn. FIDO-basierte Passkeys gelten dabei als geeignete Form phishing-resistenter Authentifizierung. Klassische SMS-Codes oder Einmalcodes aus Authenticator-Apps bieten zwar zusätzlichen Schutz gegenüber einem Passwort allein, sind aber selbst nicht vollständig phishing-resistent.
Warum schützt das besser vor Phishing?
Bei einem klassischen Phishing-Angriff versuchen Kriminelle, Nutzer:innen auf eine gefälschte Anmeldeseite zu locken. Wird dort ein Passwort eingegeben, kann es unmittelbar abgegriffen werden. Dasselbe gilt bei bestimmten Angriffen auch für zeitlich begrenzte Einmalcodes.
Ein korrekt implementierter Passkey funktioniert anders: Er ist technisch an die echte Webseite beziehungsweise den echten Dienst gebunden. Eine gefälschte Seite erhält deshalb nicht einfach einen verwendbaren Zugangscode, den sie anschließend an den echten Dienst weiterreichen könnte.
Das BSI weist außerdem darauf hin, dass Phishing längst nicht nur per E-Mail stattfindet. Manipulierte Links werden auch über SMS, QR-Codes, Messenger oder Suchmaschinen verbreitet. Gleichzeitig werden betrügerische Nachrichten immer professioneller und können durch den Einsatz generativer KI sprachlich überzeugender wirken.
Genau deshalb ist es sinnvoll, Sicherheit nicht allein davon abhängig zu machen, ob ein Mensch eine gefälschte Nachricht rechtzeitig erkennt. Technische Schutzmechanismen wie Passkeys können dabei eine zusätzliche Barriere schaffen.
Was sollte man daraus ableiten?
Passkeys sind kein Grund, bestehende Sicherheitsmaßnahmen abzuschaffen. Nicht jeder Dienst unterstützt sie bereits, und viele Organisationen werden für eine Übergangszeit verschiedene Anmeldeverfahren parallel betreiben müssen.
Wo Passkeys noch nicht verfügbar sind, bleibt Mehrfaktor-Authentifizierung wichtig. Das BSI empfiehlt grundsätzlich, Zwei-Faktor-Authentisierung zu aktivieren, sobald ein Dienst sie anbietet. Hardwaregestützte Verfahren bieten dabei ein besonders hohes Sicherheitsniveau.
Für Unternehmen und kommunale Einrichtungen ist außerdem der Wiederherstellungsweg entscheidend. Ein sicherer Passkey hilft wenig, wenn sich ein Konto anschließend über eine schwach geschützte Ersatz-E-Mail-Adresse oder einen einfachen SMS-Reset übernehmen lässt.
Besonders schützenswerte Konten wie E-Mail, Administration, Cloud-Dienste oder Fernzugänge sollten deshalb zuerst betrachtet werden. In komplexeren IT-Umgebungen empfiehlt sich eine schrittweise Einführung mit klaren Regeln für Registrierung, Ersatzgeräte, Kontowiederherstellung und das Ausscheiden von Mitarbeiter:innen.
Auch für Betreiber von Energie- und Digitalinfrastruktur ist dieser Ansatz relevant: Viele technische Angriffe beginnen nicht direkt an einer Steuerungsanlage, sondern mit kompromittierten Benutzer- oder Administrationskonten. Starke, phishing-resistente Anmeldung reduziert damit eine wichtige Angriffsmöglichkeit, ohne Aussagen über eine konkrete Infrastruktur oder ein bestimmtes Unternehmen zu treffen.
Handlungsempfehlungen
- Passkey-Unterstützung prüfen: Bei wichtigen E-Mail-, Cloud-, Banking- und Geschäftskonten kontrollieren, ob Passkeys angeboten werden.
- Kritische Konten zuerst umstellen: E-Mail-Konten, Administratorzugänge, Cloud-Dienste und Fernzugänge sollten bei der Einführung Priorität erhalten.
- MFA weiterhin aktivieren: Wo Passkeys nicht verfügbar sind, mindestens eine Zwei- oder Mehrfaktor-Authentifizierung einsetzen.
- SMS möglichst nicht als stärkstes Verfahren betrachten: Für besonders schützenswerte Konten bevorzugt phishing-resistente Verfahren auf Basis von FIDO/WebAuthn einsetzen.
- Wiederherstellungswege absichern: Ersatz-E-Mail-Adressen, Telefonnummern, Recovery-Codes und Support-Prozesse dürfen nicht zum einfacheren Umweg am starken Login vorbei werden.
- Mehr als ein vertrauenswürdiges Gerät einplanen: Bei der Einrichtung prüfen, wie ein sicherer Zugang möglich bleibt, wenn Smartphone, Notebook oder Sicherheitsschlüssel verloren gehen oder defekt sind.
- Unternehmensweit klare Regeln definieren: Bei geschäftlicher Nutzung sollten Registrierung, Gerätewechsel, Offboarding und Notfallwiederherstellung organisatorisch geregelt sein.
Quellen
„E-Mail-Sicherheit: Mythen im Faktencheck“ – Bundesamt für Sicherheit in der Informationstechnik (BSI).
Das BSI erläutert unter anderem, warum klassische Zwei-Faktor-Authentisierung nicht jeden Phishing-Angriff verhindert und nennt Passkeys als sichere Alternative zu Passwort und Einmalcode.
BSI: E-Mail-Sicherheit – Mythen im Faktencheck
„Zwei-Faktor-Authentisierung“ – Bundesamt für Sicherheit in der Informationstechnik (BSI).
Das BSI empfiehlt die Nutzung von Zwei-Faktor-Authentisierung und weist auf das hohe Sicherheitsniveau hardwaregestützter Verfahren hin.
BSI: Zwei-Faktor-Authentisierung
„Implementing Phishing-Resistant MFA“ – Cybersecurity and Infrastructure Security Agency (CISA).
CISA beschreibt FIDO/WebAuthn als weit verbreitete phishing-resistente Authentifizierung und empfiehlt deren Einsatz insbesondere für schützenswerte Konten.
CISA: Implementing Phishing-Resistant MFA
„Mobile Communications Best Practice Guidance“ – Cybersecurity and Infrastructure Security Agency (CISA).
CISA empfiehlt FIDO-basierte Authentifizierung und weist darauf hin, dass SMS-basierte MFA sowie klassische Authenticator-Codes nicht phishing-resistent sind.
CISA: Mobile Communications Best Practice Guidance
„Ewig ruft das Passwort“ – CERT.at, 26. August 2025.
CERT.at beschäftigt sich mit Passwortsicherheit, Zugangsschutz und Passkeys als möglichem Weg weg von klassischen Passwörtern.
CERT.at: Ewig ruft das Passwort