Passwortlose Anmeldung

Mit einem Passkey melden Sie sich ohne Passwort an. Statt etwas einzutippen, bestätigen Sie die Anmeldung auf Ihrem Gerät mit Fingerabdruck, Gesichtserkennung oder PIN. Das ist bequemer als ein Passwort und gleichzeitig die sicherste Anmeldemethode, die wir an der UniBE anbieten.

Was ist ein Passkey?

Ein Passkey ist ein digitaler Schlüssel, der aus zwei zusammengehörenden Teilen besteht:

• Privater Schlüssel: Er wird bei der Einrichtung auf Ihrem Gerät erzeugt und verlässt dieses nie. Niemand ausser Ihrem Gerät kennt ihn, auch die UniBE nicht.
• Öffentlicher Schlüssel: Er wird bei der UniBE hinterlegt. Mit ihm lässt sich prüfen, ob eine Anmeldung von Ihrem Gerät stammt. Für eine Anmeldung taugt er nicht.

Der Passkey ist ausserdem fest an die Adresse der Anmeldeseite gebunden. Er funktioniert nur auf der echten Anmeldeseite von Microsoft für die UniBE und nirgends sonst.

Wie funktioniert die Anmeldung?

1. Sie rufen eine Applikation der UniBE auf und wählen die Anmeldung mit Passkey.
2. Der Anmeldedienst schickt Ihrem Gerät eine einmalige Aufgabe.
3. Sie entsperren den Passkey mit Fingerabdruck, Gesichtserkennung oder PIN. Diese Merkmale bleiben auf Ihrem Gerät und werden nie übertragen.
4. Ihr Gerät löst die Aufgabe mit dem privaten Schlüssel. Der Anmeldedienst prüft die Lösung mit dem öffentlichen Schlüssel und meldet Sie an.

Melden Sie sich an einem Computer an und liegt der Passkey auf Ihrem Smartphone, zeigt der Computer einen QR-Code an. Diesen scannen Sie mit dem Smartphone. Dabei muss auf beiden Geräten Bluetooth eingeschaltet sein, damit geprüft werden kann, dass sich das Smartphone tatsächlich in der Nähe befindet.

Warum ist ein Passkey sicherer als ein Passwort?

• Nichts zu verraten: Es gibt kein Geheimnis, das Sie eintippen, aufschreiben oder versehentlich weitergeben könnten.
• Schutz vor Phishing: Weil der Passkey an die echte Anmeldeseite gebunden ist, funktioniert er auf einer gefälschten Seite schlicht nicht. Ein Code aus einer App oder per SMS lässt sich dagegen auf einer gefälschten Seite eingeben und missbrauchen.
• Kein Risiko durch Datenlecks: Bei der UniBE ist nur der öffentliche Schlüssel gespeichert. Selbst wenn dieser in falsche Hände geriete, liesse sich damit keine Anmeldung durchführen.
• Nicht erratbar und nicht wiederverwendet: Jeder Passkey ist einzigartig und gilt nur für einen Dienst.
• Zwei Faktoren in einem Schritt: Für die Anmeldung braucht es Ihr Gerät (Besitz) und dessen Entsperrung mit Biometrie oder PIN (Sein oder Wissen). Ein Passkey ist damit bereits eine vollwertige Multi-Faktor-Authentisierung.

Gerätegebundene und synchronisierte Passkeys

Passkeys gibt es in zwei Varianten. Sie unterscheiden sich darin, wo der private Schlüssel gespeichert ist.

	Gerätegebundener Passkey (device-bound)	Synchronisierter Passkey (syncable)
Speicherort	Auf genau einem Gerät, z. B. in Microsoft Authenticator oder auf einem Sicherheitsschlüssel	In einem Cloud-Konto, z. B. iCloud-Schlüsselbund, Google Passwortmanager oder ein Passwortmanager eines anderen Anbieters
Kopien	Keine, der Schlüssel kann das Gerät nicht verlassen	Auf allen Geräten, die mit dem Cloud-Konto verbunden sind
Sicherheit hängt ab von	Ihrem Gerät und dessen Entsperrung	Zusätzlich vom Schutz Ihres privaten Cloud-Kontos
An der UniBE	zugelassen Green	nicht zugelassen Red

Warum synchronisierte Passkeys ein Risiko sind

Ein synchronisierter Passkey ist nur so sicher wie das private Konto, in dem er gespeichert ist. Dieses Konto liegt ausserhalb der UniBE: Wir können weder prüfen noch durchsetzen, wie gut es geschützt ist, etwa mit welchem Passwort, mit welcher MFA-Methode oder über welchen Weg es sich wiederherstellen lässt.

Gelingt es einer angreifenden Person, Ihr privates Apple-, Google- oder Passwortmanager-Konto zu übernehmen, erhält sie eine Kopie Ihres Passkeys. Damit kann sie sich als Sie an der UniBE anmelden, ohne je Zugriff auf eines Ihrer Geräte gehabt zu haben. Bei manchen Anbietern lassen sich Passkeys zudem mit anderen Personen teilen.

Aus diesen Gründen akzeptiert die UniBE nur gerätegebundene Passkeys. Der Versuch, einen synchronisierten Passkey zu registrieren, wird abgelehnt.

Achtung

Bietet Ihnen Ihr Smartphone oder Ihr Browser bei der Einrichtung an, den Passkey im iCloud-Schlüsselbund, im Google Passwortmanager oder in einem anderen Passwortmanager zu speichern, wählen Sie stattdessen Microsoft Authenticator oder Ihren Sicherheitsschlüssel.

Passkeys an der UniBE

An der UniBE werden folgende gerätegebundene Passkeys unterstützt:

• Passkey in Microsoft Authenticator (iOS und Android)
• Zugelassene Sicherheitsschlüssel (FIDO2), z. B. als USB- oder NFC-Schlüssel

Passkeys werden schrittweise freigeschaltet. Ob die Option für Ihren Account bereits verfügbar ist, sehen Sie auf der Seite Sicherheitsinformationen: Wird beim Hinzufügen einer Anmeldemethode ein Passkey angeboten, können Sie ihn einrichten.

Passkey in Microsoft Authenticator einrichten

1. Installieren Sie Microsoft Authenticator auf Ihrem Smartphone, falls noch nicht geschehen.
2. Öffnen Sie am Computer die Seite Sicherheitsinformationen und melden Sie sich mit Ihrem Campus Account an.
3. Wählen Sie «Anmeldemethode hinzufügen» und dann die Option für den Passkey in Microsoft Authenticator.
4. Folgen Sie den Anweisungen am Bildschirm und auf dem Smartphone. Schalten Sie Bluetooth auf beiden Geräten ein, wenn Sie dazu aufgefordert werden.
5. Testen Sie den neuen Passkey, indem Sie sich ab- und wieder anmelden und dabei «Anmeldeoptionen» bzw. die Anmeldung mit Passkey wählen.

Häufige Fragen

Brauche ich mein Passwort weiterhin?

Ja. Ihr Passwort bleibt bestehen und wird von einzelnen Diensten weiterhin benötigt. Bewahren Sie es deshalb wie bisher sicher auf.

Was mache ich, wenn ich mein Smartphone oder meinen Sicherheitsschlüssel verliere?

Melden Sie sich mit einer anderen hinterlegten Methode an und entfernen Sie den verlorenen Passkey auf der Seite Sicherheitsinformationen. Haben Sie keine andere Methode, erhalten Sie beim Service Desk der Informatikdienste einen befristeten Zugangscode (Temporary Access Pass), siehe ca :: Multi-Faktor-Authentisierung.

Wird der Passkey beim Wechsel auf ein neues Smartphone übernommen?

Nein. Ein gerätegebundener Passkey kann das Gerät nicht verlassen, das ist gerade seine Stärke. Richten Sie auf dem neuen Smartphone einen neuen Passkey ein und entfernen Sie danach den alten.

Kann ich den Passkey aus dem iCloud-Schlüsselbund oder Google Passwortmanager verwenden?

Nein. Synchronisierte Passkeys sind an der UniBE nicht zugelassen, siehe Warum synchronisierte Passkeys ein Risiko sind.