Großbritannien lässt 23 Millionen GOV.UK-One-Login-Nutzer sich per Passkey statt mit Passwort und SMS-Code anmelden

Großbritannien hat Passkeys für alle Inhaber eines GOV.UK One Login freigeschaltet, der zentralen Anmeldung für Steuern, die staatliche Rente, die Verlängerung des Führerscheins und Kinderbetreuungszuschüsse. Seit dem 14. September können die mehr als 23 Millionen Nutzer des Systems Passwort und SMS-Code durch den Gesichtsscan, den Fingerabdruck oder die PIN ersetzen, mit denen sie ohnehin ihr Telefon entsperren. Nach Angaben der Regierung lief der Testlauf mit 300.000 Nutzern so gut, dass schon fast jede zehnte tägliche Anmeldung über einen Passkey läuft, und jede davon spart eine SMS: rund 600 Pfund am Tag. Das Passwort bleibt als Option, und anders als die Ankündigung vermuten lässt, beschreibt die Anleitung genau, was beim Verlust des Telefons passiert.

Was sich am 14. September geändert hat

Passkeys liefen seit dem Sommer in einem begrenzten Test; der Government Digital Service veröffentlichte die Nutzeranleitung am 28. Juli. Die Ankündigung des Ministeriums für Digitales, Kultur, Medien und Sport, zu dem GDS inzwischen gehört, weitet sie auf alle Nutzer aus. Die Anmeldung per Passkey sei "bis zu 8-mal schneller" als mit E-Mail, Passwort und Zwei-Schritt-Code, sagt das Ministerium, und die Prüfung von Biometrie oder PIN passiere auf dem Gerät: "Die biometrischen oder PIN-Daten, mit denen ein Passkey entsperrt wird, bleiben auf dem Gerät des Nutzers und werden von GOV.UK One Login weder gesehen noch gespeichert." Die Ministerin für digitale Verwaltung, Stephanie Peacock, stellte den Komfort vor den Betrugsschutz: "Niemand sucht gern nach einem vergessenen Passwort oder wartet auf einen SMS-Code, nur um seine Steuererklärung zu prüfen oder ein Dokument zu verlängern." Jonathon Ellison vom NCSC lieferte das Sicherheitsargument: "Cyberkriminelle suchen oft den einfachsten Weg zu wichtigen Konten, deshalb bleiben Anmeldedaten ein häufiges Ziel."

So funktioniert es bei One Login, Schritt für Schritt

Technisch steckt der FIDO2-Standard dahinter, den Apple, Google und Microsoft 2022 in ihre Betriebssysteme eingebaut haben. Bei der Einrichtung erzeugt das Gerät ein Schlüsselpaar speziell für account.gov.uk. Der öffentliche Schlüssel geht an One Login; der private bleibt im Anmeldedaten-Manager und wird erst freigegeben, wenn das Gerät auf dem gewohnten Weg bestätigt hat, dass Sie es sind. Eine Phishing-Seite auf einer ähnlich aussehenden Domain bekommt nichts, weil der Schlüssel an die echte gebunden ist. Die GDS-Anleitung ist bei den praktischen Details präzise.

1. Anmelden, "Manage your sign in details" öffnen, "Set up a passkey" wählen, Passwort eingeben und der Aufforderung des Geräts folgen: Gesicht, Fingerabdruck oder PIN. Eine E-Mail teilt mit, wo der Passkey gespeichert wurde.
2. Beim nächsten Mal E-Mail-Adresse eingeben und mit dem Gerät entsperren. Jedes Gerät mit demselben Anmeldedaten-Manager kann ihn nutzen: Ein iPhone-Passkey funktioniert auch auf dem iPad.
3. An einem Laptop ohne Passkey die Option für ein anderes Gerät wählen, den QR-Code mit dem Telefon scannen, auf dem der Passkey liegt, Bluetooth an beiden Geräten an, und die Anmeldung am Laptop abschließen.
4. Schlägt es fehl, "Sign in another way" wählen und Passwort plus Sicherheitscode nutzen. Bei Verlust des Telefons mit dem Passkey auf einem anderen Gerät oder mit dem Passwort anmelden, dann den verlorenen Passkey unter "Passkeys" entfernen und einen neuen anlegen.

Zwei Zeilen der Anleitung verdienen einen zweiten Blick. "Richten Sie keinen Passkey auf einem Gerät ein, das Sie mit anderen teilen", weil jeder, der es entsperren kann, ihn auch nutzen kann: Das Familien-iPad zählt. Und der Passkey "wird in Ihrem Passwortmanager gespeichert", was für die meisten die Cloud von Apple oder Google bedeutet. Genau das macht die Wiederherstellung nach einem verlorenen Telefon schmerzlos, und genau das legt eine staatliche Anmeldung in dasselbe Apple- oder Google-Konto, in dem alles andere liegt. Signals geplante Anmeldung ohne Telefonnummer geht den umgekehrten Weg, mit Schlüsseln, die der Nutzer selbst verwahren muss; One Login hat die Variante gewählt, mit der die meisten Menschen tatsächlich zurechtkommen.

Das Konto, an das dieses Schloss kommt

One Login wurde 2020 angekündigt, um 190 getrennte staatliche Kontosysteme und 44 verschiedene Anmeldeverfahren zu ersetzen, und es kommt an: Die Steuerbehörde HMRC ist nach drei Jahren Arbeit umgezogen, und es ist die Anmeldung hinter dem digitalen Ausweis in der GOV.UK Wallet, den Geschäfte jetzt akzeptieren. Die Bilanz des Systems ist nicht makellos. PublicTechnology berichtete, dass leitende GDS-Beamte vor einem "hohen Risikoniveau" warnten, dass das formale Gütesiegel für digitale Identität neun Monate lang fehlte und erst im Februar zurückkam und dass GDS eine Sicherheitsberatung für ein Cyber-Resilienz-Audit engagierte; der geplante Abschluss des gesamten Programms wurde um drei Jahre verschoben, mit zusätzlichen Investitionen von Hunderten Millionen Pfund. Nichts davon spricht gegen Passkeys, die für ein System dieser Größe die günstigste verfügbare Sicherheitsverbesserung sind. Es spricht dafür, das Konto als das zu behandeln, was es wird: der eine Schlüssel zu allen Angelegenheiten eines Bürgers mit dem Staat, die zwei Minuten der Einrichtung wert und einen Blick darauf, welches Gerät und welche Cloud ihn nun verwahren.