Ab sofort melden Sie sich in ameax per Fingerabdruck, Gesichtserkennung oder Geräte-PIN an — ohne ein Passwort einzutippen. Auf der Anmeldeseite finden Sie dafür die Schaltfläche „Login über Passkey": ein Klick, die Bestätigung im Fenster Ihres Geräts, und Sie sind drin.
Ein Passkey ist ein Schlüsselpaar, das Ihr Gerät für ameax erzeugt. Der private Teil verlässt das Gerät nie — er wird von Fingerabdruck, Gesicht oder PIN geschützt und signiert bei jeder Anmeldung eine einmalige Aufgabe des Servers. ameax speichert nur den öffentlichen Teil. Es gibt damit kein Geheimnis mehr, das sich erraten, abfangen oder wiederverwenden ließe.
Einen Passkey anlegen
Jeder Benutzer verwaltet seine Passkeys selbst, unter Einstellungen → Meine Passkeys. Ein Klick auf „Passkey hinzufügen", die Bestätigung im Fenster Ihres Geräts — danach geben Sie dem Passkey einen Namen, damit Sie ihn später wiedererkennen. Vorschläge wie „Laptop Büro", „Handy privat" oder „Sicherheitsschlüssel" stehen bereit; Sie können den Namen jederzeit ändern.
In der Liste sehen Sie zu jedem Passkey, wo er liegt — dieses Gerät, Handy oder Tablet, Sicherheitsschlüssel per USB, NFC oder Bluetooth — sowie wann er angelegt und zuletzt verwendet wurde. Dazu eine Kennzeichnung, die im Alltag den Unterschied macht:
- Synchronisiert — über Ihr Apple- oder Google-Konto gesichert. Der Passkey bleibt nutzbar, wenn Sie das Gerät verlieren oder wechseln.
- Nur auf diesem Gerät — er liegt ausschließlich dort. Geht das Gerät verloren, ist auch dieser Passkey verloren.
Solange Sie nur einen einzigen Passkey haben, weist die Seite Sie darauf hin und empfiehlt einen zweiten auf einem anderen Gerät. Der Hinweis verschwindet erst, wenn es ihn gibt — und er lässt sich bewusst nicht wegklicken.
Anmelden — auf zwei Wegen
Neben der Schaltfläche auf der Anmeldeseite bietet Ihr Browser den passenden Passkey auch direkt im E-Mail-Feld an, sobald Sie hineinklicken. Sie wählen ihn aus der Vorschlagsliste, bestätigen auf dem Gerät — und überspringen die Passworteingabe ganz.
Die Anmeldung mit E-Mail und Passwort bleibt unverändert bestehen, ebenso die Anmeldung über Google. Ein Passkey kommt hinzu, er ersetzt nichts. Wenn einmal etwas klemmt, nehmen Sie einfach wieder das Passwort; nach dem zweiten abgebrochenen Versuch blendet die Seite diesen Hinweis von sich aus ein.
Browser, die keine Passkeys beherrschen, zeigen die Schaltfläche gar nicht erst — die Anmeldeseite sieht dort aus wie bisher.
Passkey statt Code: die Zwei-Faktor-Abfrage entfällt
Ein Passkey verlangt bei jeder Anmeldung zwei Dinge gleichzeitig: das Gerät und Biometrie oder PIN. Er ist damit bereits ein zweiter Faktor. Deshalb gibt es in den Systemeinstellungen unter „Sicherheit" den neuen Schalter „Passkey-Anmeldung erfüllt die Zwei-Faktor-Anforderung".
Ist er aktiv, entfällt für alle per Passkey angemeldeten Benutzer die zusätzliche Code-Abfrage — auch dann, wenn die Zwei-Faktor-Authentifizierung für jeden Benutzer erzwungen ist. Wer sich mit Passwort anmeldet, wird weiterhin nach dem Code gefragt. Die Einstellung wirkt sofort: Schalten Sie sie ab, greift die Code-Abfrage beim nächsten Seitenaufruf, nicht erst bei der nächsten Anmeldung.
Zusätzliche Bestätigung für sensible Aktionen
Eine laufende Sitzung sagt nur, dass sich irgendwann jemand angemeldet hat. Für Aktionen, die einen dauerhaften Zugang schaffen, ist das zu wenig — deshalb fragt ameax dafür jetzt noch einmal nach. Das betrifft vier Vorgänge:
- einen Passkey anlegen
- die Zwei-Faktor-Authentifizierung ändern
- ein API-Token erzeugen
- ein Webhook-Token erzeugen
Bestätigt wird mit dem Passkey, wenn Sie einen haben — sonst mit dem Passwort. Die Bestätigung trägt fünf Minuten und gilt nur für den einen Zweck: Wer „Passkey anlegen" bestätigt hat, hat damit nicht „API-Token erzeugen" freigeschaltet. Die Abfrage nennt jeweils den konkreten Grund, statt pauschal auf Sicherheit zu verweisen.
Für Administratoren
In der Benutzermaske sehen Sie die Passkeys eines Benutzers mit Gerät, Sicherungsstatus und letzter Verwendung. Es gibt dort genau eine Aktion: alle Passkeys entfernen — der richtige Griff, wenn ein Gerät abhandengekommen ist oder jemand das Unternehmen verlässt.
Anlegen kann ein Administrator keinen Passkey; das geht technisch nur am Gerät des Benutzers selbst. Nach dem Entfernen meldet sich der Benutzer weiterhin mit E-Mail und Passwort an und kann sich jederzeit einen neuen Passkey einrichten.
Was den Passkey gegen Phishing schützt
Ein Passkey ist fest mit der Internet-Adresse verknüpft, für die er angelegt wurde. Auf einer nachgebauten Seite bietet der Browser ihn schlicht nicht an — und ohne Browser gibt es nichts, was ein Benutzer dort versehentlich eintippen könnte. Genau die Angriffsform, gegen die ein Passwort samt Code-Generator nur begrenzt hilft, läuft damit ins Leere.
Die übrigen Schutzmechanismen bleiben in Kraft: Auch der Passkey-Weg unterliegt der Sperre nach mehreren fehlgeschlagenen Versuchen (15 Minuten), dem IP-Filter und der Protokollierung der Anmeldungen.
Verfügbarkeit
Die Passkey-Anmeldung steht ab sofort allen Mandanten unter ihrer ameax-Adresse zur Verfügung und ist in allen Versionen enthalten. Sie muss nicht gebucht werden — jeder Benutzer legt sich unter „Meine Passkeys" selbst einen an.