Warum bedeutet der Verlust meines Telefons die Wahl zwischen Kontosperrung und SMS-Fallback?
Möglichkeit
Passkeys eliminieren Passwörter, führen jedoch eine Fragilität ein, die die FIDO2-Spezifikation nicht löst: die Kontowiederherstellung. Verliert man das einzige registrierte Gerät und hat keine anbieterspezifische Synchronisierung vorkonfiguriert, ist man ausgesperrt oder gezwungen, auf SMS-OTP zurückzugreifen, was die SIM-Swap-Angriffe wieder öffnet, die Passkeys eigentlich schließen sollten. Apple, Google und Microsoft haben jeweils inkompatible Sync-Silos aufgebaut, sodass ein Wechsel von iOS zu Android bedeutet, sich bei jedem Dienst manuell neu anzumelden. Die WebAuthn-Spezifikation definiert, wie Credentials erstellt und verwendet werden, übergibt die Wiederherstellung jedoch ausdrücklich an jede Plattform. Kein anbieterneutrales, kryptografisch fundiertes Wiederherstellungsprimitiv existiert, das das ursprüngliche Bedrohungsmodell bewahrt.
Warum es wichtig ist
Die Wiederherstellung ist das schwächste Glied im passwortlosen Stack, und ihre Lösung ist die letzte Meile, die Passkeys zu einem praktikablen Passwort-Ersatz in großem Maßstab macht.
Wie ich die Chance bewerte
Der Opportunity Score ist meine persönliche Einschätzung, keine Messung: wie stark es schmerzt, wie oft es auftritt und wie wenig heute existiert, um es zu lösen. Ein höherer Wert bedeutet, dass ich es für lohnender halte, es umzusetzen.
Wie viel Schmerz es verursacht, wenn es auftritt.
Wie oft Menschen tatsächlich darauf stoßen.
Wie wenig gute Werkzeuge dafür heute existieren.
Weitere lösungswürdige Probleme
Warum ist die Software, auf die wir am meisten angewiesen sind, am schlechtesten zu bedienen?
TechWarum gehören mir die Daten, die ich erzeuge, immer noch nicht?
TechWarum erhalte ich keinen Beleg, der beweist, dass meine Daten tatsächlich gelöscht wurden?
TechWarum kann ich nicht wissen, ob das, was gerade ausgeführt wird, dem entspricht, was meine SBOM deklariert hat?
TechWarum bricht jede C2PA-Herkunftskette in dem Moment, in dem Inhalte auf soziale Medien treffen?
TechWarum kann ich einen Produktionsfehler nicht nachverfolgen, der eine Message Queue überschritten hat?