News Radikaler Wechsel: Microsoft geht dem Passwort an den Kragen - Passkeys neuer Standard

[PCGH-Redaktion]

Microsoft hat eine große Änderung an den eigenen Accounts vorgenommen: Ab sofort sollen diese ohne Passwort, sondern nur noch mit Passkey erstellt werden. Auch bestehende Accounts sollen migrieren, um Passwörter komplett loszuwerden.

Was sagt die PCGH-X-Community zu Radikaler Wechsel: Microsoft geht dem Passwort an den Kragen - Passkeys neuer Standard

Bitte beachten: Thema dieses Kommentar-Threads ist der Inhalt der Meldung. Kritik und allgemeine Fragen zu Online-Artikeln von PC Games Hardware werden hier gemäß der Forenregeln ohne Nachfrage entfernt, sie sind im Feedback-Thread besser aufgehoben.

 

[Lord-Haelmchen]

Mein MS-Account ist schon seit längerem Passwortlos. Die vielen LogIn-Versuche aus dem Ausland (Russland, Indien, China scheitern wegen der Eingabe eines falschen Passwortes.......

Identifizierung erfolgt über Passkey bzw MS-Authenticator-App. Mir ist nur nicht ganz klar, was ich machen soll bzw kann, wenn der Zugriff auf die App nicht klappt (Handy defekt/geklaut/Akku leer....) und ich mich auf nem neuen Gerät anmelden will. Oder die Authenticator-App auf nem neuen Handy einrichten will - ohne Zugriff auf ein bereits verknüpftes Gerät zu haben.

Also kurz gefragt: Wie bekomme ich Zugriff auf mein MS-Konto auf einem neuen Gerät ohne Smartphone, ohne Email, ohne auf dem neuen Gerät bei WindowsHello angemeldet/eingerichtet zu sein?

 

[Parrallax]

Mein MS-Account ist schon seit längerem Passwortlos. Die vielen LogIn-Versuche aus dem Ausland (Russland, Indien, China scheitern wegen der Eingabe eines falschen Passwortes.......

Identifizierung erfolgt über Passkey bzw MS-Authenticator-App. Mir ist nur nicht ganz klar, was ich machen soll bzw kann, wenn der Zugriff auf die App nicht klappt (Handy defekt/geklaut/Akku leer....) und ich mich auf nem neuen Gerät anmelden will. Oder die Authenticator-App auf nem neuen Handy einrichten will - ohne Zugriff auf ein bereits verknüpftes Gerät zu haben.

Also kurz gefragt: Wie bekomme ich Zugriff auf mein MS-Konto auf einem neuen Gerät ohne Smartphone, ohne Email, ohne auf dem neuen Gerät bei WindowsHello angemeldet/eingerichtet zu sein?

is doch ganz einfach. gar nicht.

 

[Lord-Haelmchen]

is doch ganz einfach. gar nicht.

Genau mit dieser Antwort hab ich gerechnet......... die hättest Du Dir sparen können.

 

[zombie82]

ich hänge meine Accounts ungern an ein Gerät welches kaputt oder verloren gehen kann.

 

[Lord-Haelmchen]

ich hänge meine Accounts ungern an ein Gerät welches kaputt oder verloren gehen kann.

Hmm, auch "brain.exe" geht kaputt. Demenz, Tod, oder sonst was. Auch das Hirn "läuft" auf ner "Maschine" bzw einem "Gerät". Aber back to topic: Gibt´s da ne Lösung?

 

[xXFiskXx]

Also kurz gefragt: Wie bekomme ich Zugriff auf mein MS-Konto auf einem neuen Gerät ohne Smartphone, ohne Email, ohne auf dem neuen Gerät bei WindowsHello angemeldet/eingerichtet zu sein?

Von Passkeys muss man anscheinend Backups machen und die in einem anderen Dienst oder Fido Stick speichern.

 

[Incredible Alk]

Hmm, auch "brain.exe" geht kaputt. Demenz, Tod, oder sonst was.

Das stimmt - aber wenn das passieren sollte brauchste dein Microsoft-Passwort auch eher nicht mehr.

MS mag damit Recht haben, dass Passwörter unsicherer sind als Passkeys, das liegt aber nicht an der technik sofern gut umgesetzt sondern an den Menschen die schlechte Passwörter wählen, sie vergessen oder verraten.
Nur Passwörter haben einen riesigen Vorteil: Sie funktionierten ohne technische Hilfsmittel. Ich brauche keinen Mailaccount, kein Smartphone, keine App, ggf. nicht mal eine Internetverbindung. Das ist für mich (der Passwörter so erstellt und nutzt dass man es als sicher ansehen kann) weitaus wichtiger als die per passkey eliminierte Chance, dass ein indischer Scammer mein 20+ stelliges Passwort erraten könnte.

Von Passkeys muss man anscheinend Backups machen und die in einem anderen Dienst oder Fido Stick speichern.

Na ganz toll. Derjenige der es schafft an meine Passwörter zu kommen (was physischen Zugang zu einem analogen Zettel erfordert der weder legal für Fremde erreichbar noch besonders leicht zu finden ist) kann wahlweise auch den Backup-Stick klauen.

Und das beste: Nur die unwichtig(er)en Passwörter stehen überhaupt auf einem solchen Zettel (ok, da gehört das MS-Konto dazu ), was wirklich wichtig ist steht nirgends außer in meinem (hoffentlich noch lange funktionsfähigen) Hirn. Letzteres kann aber keine Passkeys speichern.

 

[xXFiskXx]

Na ganz toll. Derjenige der es schafft an meine Passwörter zu kommen (was physischen Zugang zu einem analogen Zettel erfordert der weder legal für Fremde erreichbar noch besonders leicht zu finden ist) kann wahlweise auch den Backup-Stick klauen.

Kannst die Passkeys auch einfach in Bitwarden speichern. Da kommt man immer rein durch die Backup Codes, fall man kein 2FA zugriff mehr hat.

 

[Incredible Alk]

Kannst die Passkeys auch einfach in Bitwarden speichern. Da kommt man immer rein durch die Backup Codes, fall man kein 2FA zugriff mehr hat.

Es gibt sicherlich viele Möglichkeiten, das problem an allen davon ist: Ich brauche immer ein System mehr als bisher.

 

[empy]

Es gibt sicherlich viele Möglichkeiten, das problem an allen davon ist: Ich brauche immer ein System mehr als bisher.

Und am Ende verlagert man die Schwachstelle ja doch nur. Entweder es gibt doch wieder ein Passwort oder irgendwas, was in die falschen Hände geraten kann.

 

[chill_eule]

Mein Windows fragt mich jetzt des öfteren nach einer vierstelligen PIN, das ist sicherlich bedeutend sicherer als mein bisheriges 20-stelliges Passwort (inkl. Sonderzeichen, Groß-/Kleinschreibung etc. pp.)

 

[mae1cum77]

das ist sicherlich bedeutend sicherer als mein bisheriges 20-stelliges Passwort

Der PIN, wie auch Fingerabdruck/Gesichtserkennung sind QoL-Aufsätze, heißt, bei mehereren Fehleingaben wird das Passwort verlangt, unumgehbar. Da funktioniert Brute Force nicht, daher recht sicher.

 

[Rollora]

Also kurz gefragt: Wie bekomme ich Zugriff auf mein MS-Konto auf einem neuen Gerät ohne Smartphone, ohne Email, ohne auf dem neuen Gerät bei WindowsHello angemeldet/eingerichtet zu sein?

Das ging bei mir so: "Fragen Wie beim Administrator ihres Unternehmens nach".
Ja, der bin halt ich...

 

[Incredible Alk]

Der PIN, wie auch Fingerabdruck/Gesichtserkennung sind QoL-Aufsätze, heißt, bei mehereren Fehleingaben wird das Passwort verlangt, unumgehbar. Da funktioniert Brute Force nicht, daher recht sicher.

Sicher gegen Bruteforce, ja.
Jemandem eine Sekunde per Zufall dabei zusehen wie er 4 Zahlen eintippt und sich die merken (falls das überhaupt nötig ist da gefühlte 90% der Menschen die ich kenne als Pin ihr Geburtsdatum verwenden) ist dagegen sehr leicht gegenüber dem erkennen/merken eines Passwortes.

Die Pin ist garantiert die unsicherste Methode von allen zum Login.

 

[RyzA]

Und das beste: Nur die unwichtig(er)en Passwörter stehen überhaupt auf einem solchen Zettel (ok, da gehört das MS-Konto dazu ), was wirklich wichtig ist steht nirgends außer in meinem (hoffentlich noch lange funktionsfähigen) Hirn. Letzteres kann aber keine Passkeys speichern.

Bei mir stehen auch alle wichtigen Passwörter auf dem Zettel. Da ich mich nicht nur auf mein Gehirn verlassen kann.
Hatte schon paarmal einen Blackout.

 

[Incredible Alk]

Bei mir stehen auch alle wichtigen Passwörter auf dem Zettel. Da ich mich nicht nur auf mein Gehirn verlassen kann.
Hatte schon paarmal einen Blackout.

Das meiste von mir ja auch. Einige weiß ich auswendig und sie stehen trotzdem aufm Zettel (der Amazon Login beispielsweise) aber manche Zugänge sind nirgendwo notiert. Dazu gehören zum beispiel mein VeraCrypt Passwort für alle verschlüsselten Daten von mir oder auch der Code der mir am Arbeitsplatz Zugang zu ich nenns mal zumindest fürs Unternehmen kritischer Infrastruktur gibt. Das sind nur Sachen die man wenn sein Hirn aus irgendwelchen Gründen grade nicht in der Lage ist eine Zeichenkombination abzurufen besser sowieso nicht anfassen sollte.

 

[Bl4ckR4v3n]

Mein MS-Account ist schon seit längerem Passwortlos. Die vielen LogIn-Versuche aus dem Ausland (Russland, Indien, China scheitern wegen der Eingabe eines falschen Passwortes.......

Identifizierung erfolgt über Passkey bzw MS-Authenticator-App. Mir ist nur nicht ganz klar, was ich machen soll bzw kann, wenn der Zugriff auf die App nicht klappt (Handy defekt/geklaut/Akku leer....) und ich mich auf nem neuen Gerät anmelden will. Oder die Authenticator-App auf nem neuen Handy einrichten will - ohne Zugriff auf ein bereits verknüpftes Gerät zu haben.

Also kurz gefragt: Wie bekomme ich Zugriff auf mein MS-Konto auf einem neuen Gerät ohne Smartphone, ohne Email, ohne auf dem neuen Gerät bei WindowsHello angemeldet/eingerichtet zu sein?

Du kannst mehrere Verfahren aktivieren um in den Account zu kommen. Zweit-Email, Handynummer und mehr. Darüber sollte eine neu-Einrichtung wieder möglich sein.
Ansonsten hast du hoffentlich das gemacht:

Das stimmt - aber wenn das passieren sollte brauchste dein Microsoft-Passwort auch eher nicht mehr.

MS mag damit Recht haben, dass Passwörter unsicherer sind als Passkeys, das liegt aber nicht an der technik sofern gut umgesetzt sondern an den Menschen die schlechte Passwörter wählen, sie vergessen oder verraten.
Nur Passwörter haben einen riesigen Vorteil: Sie funktionierten ohne technische Hilfsmittel. Ich brauche keinen Mailaccount, kein Smartphone, keine App, ggf. nicht mal eine Internetverbindung. Das ist für mich (der Passwörter so erstellt und nutzt dass man es als sicher ansehen kann) weitaus wichtiger als die per passkey eliminierte Chance, dass ein indischer Scammer mein 20+ stelliges Passwort erraten könnte.

Passkeys sind auch technisch sicherer wie Passwörter. Bei Passwörtern müssen beide Seiten dein Passwort kennen. Heißt wird dein Dienst gehackt oder leakt auf sonstige Weise seine Daten ist dein Account ziemlich einfach kompromitierbar. Bei den Passkeys haben die dann den PublicKey, mit dem sich kein Code erstellen lässt.

Na ganz toll. Derjenige der es schafft an meine Passwörter zu kommen (was physischen Zugang zu einem analogen Zettel erfordert der weder legal für Fremde erreichbar noch besonders leicht zu finden ist) kann wahlweise auch den Backup-Stick klauen.

Bei der vielzahl an Hacks bei den OnlineServices denen PW geklaut werden, ist das vermutlich weniger eine Frage ob man an die PW kommt sondern eher wann man dran kommt.
Zusammen mit den meist unsicheren Passwörtern hast du damit zwei große Angriffsvektoren geschlossen.

 

[empy]

Der PIN, wie auch Fingerabdruck/Gesichtserkennung sind QoL-Aufsätze, heißt, bei mehereren Fehleingaben wird das Passwort verlangt, unumgehbar. Da funktioniert Brute Force nicht, daher recht sicher.

Klingt nach einer großartigen Möglichkeit, sein Passwort so schnell wie möglich zu vergessen, um im Zweifelsfall dann blöd dazustehen.

Das ging bei mir so: "Fragen Wie beim Administrator ihres Unternehmens nach".
Ja, der bin halt ich...

Ich hoffe mal, dass du wenigstens gut bezahlt wirst, wenn du dich mit so was rumärgern musst.

Bei Passwörtern müssen beide Seiten dein Passwort kennen.

Das stimmt nicht. Passwörter können und werden in aller Regel auch gehasht gespeichert.

Edit: Naja, stimmt zumindest nicht uneingeschränkt. Das Passwort muss übertragen werden und ist dann kurzzeitig beiden Seiten bekannt. Dafür müsste der Dienst aber über eine längere Zeit schon stark kompromittiert sein, um die Passwörter auf diese Weise abzugreifen. Ein Leak der Nutzerdaten reicht da aber nicht.

 

[Incredible Alk]

Bei der vielzahl an Hacks bei den OnlineServices denen PW geklaut werden, ist das vermutlich weniger eine Frage ob man an die PW kommt sondern eher wann man dran kommt.

Da haste leider nicht ganz Unrecht (wobei nur wirklich schlechte Seiten dein PW im Klartext speichern, das sind nbei jeder halbwegs funktionierenden Sicherheit Hashwerte).
Ich versuche ja, möglichst wenige Accounts zu haben generell, und die Grundregeln wie lange, starke Passwörter, keins 2x verwenden usw. zu beachten. Das hat zur Folge, dass ich in 20+ Jahren nur von zwei Fällen betroffen war wo die entsprechenden Läden gehackt wurden, zumindest bei denen ich es weiß. Einer hat sich den emotet oder wie der hieß gefangen damals (klar erkennbar am resultierenden Spam) und ein anderer hat offenbar all seine Logindaten verloren weil meine da genutzte mailadresse+Passwort (Klartext!! Danke für nix!) dieses Ladens im Darknet bzw. entsprechenden Listen aufgetaucht ist.

War in keinem Falle gefährlich für mich, nur nervig da eine Spamrate auf der Adresse seitdem natürlich massiv gestiegen ist (von 5 Spams pro Jahr auf 50-100 pro Woche ), glücklicherweise zu 100% bisher vom Spamfilter gefressen weils wirklich bodenlos schlechte phishingshice ist.