Veröffentlicht: 15. Mai 2025
Passkeys entwickeln sich schnell zu einer sichereren, einfacheren und schnelleren Alternative zu Passwörtern, die mehr Sicherheit und Benutzerfreundlichkeit bietet. Damit Passkeys ihr volles Potenzial entfalten können, muss die Nutzerfreundlichkeit bei der Verwaltung sorgfältig berücksichtigt werden. In diesem Dokument werden Richtlinien und optionale Funktionen für die Entwicklung eines intuitiven, sicheren und robusten Passkey-Verwaltungssystems beschrieben.
Mehrere Passkeys verwalten
Nutzer können mehrere Passkeys hinzufügen und mehr als einen Anbieter verwenden. Lassen Sie sie jedoch nicht mehr als einen Passkey für dasselbe Konto beim selben Anbieter hinzufügen. Wenn ein Nutzer den Zugriff auf einen Anbieter verliert, z. B. weil die Plattform ihn nicht unterstützt oder der Nutzer den Zugriff darauf verliert, kann er sich weiterhin mit einem anderen Passkey eines anderen Anbieters anmelden. Diese Einrichtung verringert das Risiko von Konto-Sperrungen. Achten Sie darauf, dass Ihre Datenbank das Speichern mehrerer Passkeys pro Nutzer unterstützt.
Liste der registrierten Passkeys anzeigen
Auf Ihrer Website oder in Ihrer App sollten registrierte Passkeys in einer Liste mit wichtigen Details angezeigt werden, damit Nutzer sie effektiv verwalten können. Dieser Screenshot zeigt, wie eine solche Seite zur Passkey-Verwaltung aussehen könnte. Es wird gezeigt, wie ein Nutzer Passkeys auf mehreren Plattformen erstellen und zentral verwalten kann.
Hier sind einige der häufigsten Details und Funktionen, die Websites und Apps zu einem Passkey anzeigen können:
- Passkey-Name: Hier wird der Passkey-Name angezeigt, der bei der Registrierung angegeben wurde. Im Idealfall stimmt dieser Name mit dem Passkey-Anbieter überein, bei dem er basierend auf der AAGUID erstellt wurde. Wenn kein passender Passkey-Anbieter gefunden wird, sollte es in Ordnung sein, ihn nach den Geräteinformationen basierend auf dem User-Agent-String zu benennen.
- Logo des Passkey-Anbieters: Das Logo des Passkey-Anbieters wird angezeigt. So kann der Nutzer den Passkey leichter identifizieren, den er verwalten möchte.
- Zeitstempel für die Erstellung des Passkeys und die letzte Verwendung: Wenn der Zeitstempel für die Erstellung des Passkeys und die letzte Verwendung aufgezeichnet und angezeigt werden, kann der Nutzer leichter den Passkey identifizieren, den er verwalten möchte.
- Anzeige für nicht synchrone Daten: Passkeys werden standardmäßig synchronisiert. Die Synchronisierungsfunktion der Passkey-Anbieter wird jedoch noch weiterentwickelt. Es kommt häufig vor, dass Nutzer verwirrt sind, wenn ein Passkey nicht synchronisiert wird, obwohl sie das erwarten. Wenn Sie Nutzern zeigen, dass Passwörter nicht synchronisiert werden können, können Sie diese Verwirrung ausräumen.
- Schaltfläche „Löschen“: Nutzer können den Passkey löschen. Weitere Informationen finden Sie unter Löschen eines Passkeys zulassen.
- Schaltfläche „Bearbeiten“: Viele Nutzer schätzen es, wenn sie einen Passkey umbenennen können. Das kann beispielsweise der Fall sein, wenn mehrere Passkeys vom selben Passkey-Anbieter, aber mit unterschiedlichen Anbieterkonten vorhanden sind. Stellen Sie sich vor, Sie speichern mehrere Passkeys in verschiedenen Google-Konten. Wenn Sie dem Nutzer erlauben, den Passkey umzubenennen, kann er ihn in einen Namen ändern, der ihm gefällt.
- Browser, Betriebssystem oder IP-Adresse der letzten Anmeldung: Wenn Sie optional Details zur letzten Anmeldung angeben, können Nutzer verdächtige Anmeldungen leichter erkennen. Der Browser, das Betriebssystem oder die IP-Adresse (oder der Standort), die für die Anmeldung verwendet wurden, können sehr hilfreich sein.
Löschen eines Passkeys zulassen
Nutzern erlauben, einen Passkey zu löschen. So können sie die Liste bereinigen, z. B. wenn ein Nutzer zu einem neuen Gerät wechselt, der zugehörige Passkey aber an das alte Gerät gebunden ist. Das ist auch hilfreich, wenn ein Angreifer ein Nutzerkonto übernimmt und einen Passkey für die zukünftige Verwendung erstellt.
Aktualisierte Liste der Passkeys signalisieren
Wenn Sie einen Passkey löschen, werden der zugehörige Anmeldedateneintrag und der öffentliche Schlüssel aus der Serverdatenbank entfernt. Auf diese Weise verschwindet der Passkey aus der Liste der registrierten Passkeys und es wird dem Nutzer angezeigt, dass der Passkey gelöscht wurde. In Wirklichkeit wird er jedoch nur vom Server entfernt. Der beim Passkey-Anbieter gespeicherte Passkey bleibt erhalten, was zu Verwirrung führen kann. Wenn sich der Nutzer das nächste Mal anmeldet, wird der entfernte Passkey weiterhin als Anmeldeoption angezeigt. Die Authentifizierung damit schlägt jedoch fehl, da der entsprechende öffentliche Schlüssel bereits vom Server gelöscht wurde.
Um Verwirrung zu vermeiden, ist es wichtig, dass der Passkey bei einem Passkey-Anbieter und der öffentliche Schlüssel auf dem Server übereinstimmen. Dazu müssen Sie dem Passkey-Anbieter die aktualisierte Liste der Passkeys mitteilen. Wenn der Browser und der Passkey-Anbieter die Signal API unterstützen, können sie die Liste der Passkeys aktualisieren und unnötige Passkeys löschen. Wenn sie die API nicht unterstützen, bitten Sie den Nutzer, den Passkey manuell zu löschen.
Letzten Passkey löschen
Wenn ein Nutzer versucht, seinen letzten verbleibenden Passkey für ein bestimmtes Konto zu löschen, müssen Sie ihm mitteilen, dass er sich dann mit einer anderen Option anmelden muss, die mit mehr Aufwand verbunden ist und möglicherweise weniger Schutz bietet. Wenn dies die einzige Anmeldemethode für Ihre Website ist, kann sich der Nutzer nicht mehr anmelden. Informieren Sie Nutzer darüber, wie sie sich das nächste Mal anmelden können, z. B. mit einer verfügbaren Back-up-Methode. Fordern Sie sie gegebenenfalls auf, einen weiteren Passkey zu registrieren, bevor sie fortfahren. So können Sie Feedback dazu sammeln, warum sie sich gegen die Verwendung eines Passkeys entschieden haben.
Erstellung neuer Passkeys zulassen
Es gibt zwar Möglichkeiten, Passkeys während des gesamten Nutzerprozesses zu erstellen (z. B. direkt nach der Anmeldung), es ist jedoch wichtig, dass Nutzer immer einen zentralen Ort haben, an dem sie neue Passkeys erstellen, Passkeys löschen und Passkeys verwalten können. Ein Bildschirm zur Verwaltung von Passkeys ist dafür am besten geeignet.
Wenn Sie einen Passkey-Nutzerfluss erstellen möchten, folgen Sie der Anleitung im Entwicklerleitfaden unter Passkey für die passwortlose Anmeldung erstellen. Für eine höhere Sicherheit können Sie Nutzern erlauben, einen Passkey auf einem Hardware-Sicherheitstoken zu erstellen. Nutzer, die Passkeys verwalten möchten, sind in der Regel erfahrener. Wenn sie einen Passkey auf ihrem Sicherheitsschlüssel erstellen können, bietet das mehr Flexibilität.
Wenn Sie das Speichern von Passkeys auf einem Hardware-Sicherheitstoken zulassen möchten, lassen Sie authenticatorSelection.authenticatorAttachment in einer Anfrage zum Erstellen eines Passkeys nicht festgelegt, anstatt es auf "platform" zu setzen. Auf diese Weise akzeptiert der Browser sowohl Plattform- (Gerät) als auch Roaming-Authentifikatoren (Sicherheitsschlüssel), ohne dass sich die Nutzererfahrung wesentlich von der unterscheidet, bei der nur ein Plattform-Authentifikator zugelassen ist. Die Option zum Erstellen eines Passkeys auf einem Sicherheitsschlüssel wird als sekundäre Option angezeigt.
Checkliste
- Nutzern erlauben, Passkeys auf einer Seite zur Passkey-Verwaltung zu verwalten
- Unterstützung der Registrierung mehrerer Passkeys.
- Nutzern erlauben, auf der Verwaltungsseite neue und flexible Arten von Passkeys hinzuzufügen
- Den Namen des Passkeys anzeigen
- Geben Sie an, ob ein Passkey synchronisiert werden kann oder nicht.
- Nutzer dürfen einen öffentlichen Schlüssel vom Server entfernen.
- Die Liste der Passkeys signalisieren, wenn ein zugehöriger öffentlicher Schlüssel vom Server entfernt wird.
Weitere UX-Anleitungen
- Allgemeine UX-Leitfäden für Passkeys
- Android-Anleitungen