Seminar Passkeys, starke Authentisierung und Wallet-Zugriffsschutz

Seminarprofil

Der Wallet-Zugriff wird von Passwort- und OTP-Abhängigkeiten auf kryptografische Credentials umgestellt. Besonderes Gewicht liegt auf Assurance, Mehrgerätefähigkeit und Recovery ohne Rückfall auf schwache Kanäle.

Die Veranstaltung verbindet WebAuthn-Technik mit dem Lebenszyklus einer Wallet und zeigt, wann synchronisierte Passkeys genügen und wann gerätegebundene Credentials oder zusätzliche Attestation erforderlich sind.

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Lernziele
• Fachliche Schwerpunkte
• Passkeys und WebAuthn-Grundlagen
• Synchronisierte und gerätegebundene Passkeys
• Nutzerverifikation und lokale Freigabe
• Authenticator-Attestation und Gerätevertrauen
• Authentisierungs-Recovery ohne Sicherheitsrückfall
• Einführung, Migration und Betrieb von Passkeys
• Praxisaufgaben
• Einordnung in das Seminarprogramm

Zielgruppe

• Identity- und Access-Management-Teams
• Mobile- und Backend-Entwickler
• Security-Architekten
• Fraud- und Recovery-Verantwortliche

Voraussetzungen

Grundkenntnisse in Web-Authentisierung, Public-Key-Kryptografie und API-Sicherheit.

Lernziele

• Passkey-Registrierung und -Authentisierung serverseitig korrekt validieren.
• Synchronisierte und gerätegebundene Credentials risikobasiert auswählen.
• Nutzerverifikation und Authenticator-Attestation korrekt auswerten.
• Mehrgerätebetrieb und Recovery ohne schwache Fallbacks gestalten.

Fachliche Schwerpunkte

Passkeys und WebAuthn-Grundlagen

Passkeys ersetzen geteilte Geheimnisse durch asymmetrische Schlüssel und phishingresistente Protokolle. Der Baustein ordnet Relying Party, Authenticator, Client und Nutzerfreigabe ein.

1. Registrierungs- und Authentisierungszeremonie als Nachrichtenfluss modellieren.
2. Challenge, Origin, Relying-Party-ID und Signaturzähler korrekt prüfen.
3. User Presence und User Verification nach Schutzbedarf unterscheiden.
4. Serverseitige Credential-Verwaltung und Mehrgeräteunterstützung planen.

Synchronisierte und gerätegebundene Passkeys

Synchronisierte Passkeys verbessern Komfort und Recovery, während gerätegebundene Passkeys höhere Kontrolle ermöglichen. Die Auswahl richtet sich nach Assurance und Betriebsmodell.

1. Sicherheits- und Recovery-Anforderungen des Wallet-Zugriffs bestimmen.
2. Synchronisierte und gerätegebundene Credentials anhand von Exportierbarkeit und Kontrolle vergleichen.
3. Mehrgeräte-, Ersatzgeräte- und Offline-Szenarien bewerten.
4. Eine kombinierte Strategie mit klaren Step-up-Regeln festlegen.

Nutzerverifikation und lokale Freigabe

Biometrie und Geräte-PIN liefern lokale Nutzerverifikation, deren Aussagekraft vom Authenticator und der Geräteplattform abhängt. Sie wird korrekt in das Wallet-Assurance-Modell eingeordnet.

1. Aktionen nach erforderlicher Nutzerverifikation klassifizieren.
2. Authenticator-Eigenschaften und UV-Flags serverseitig auswerten.
3. Biometrieänderungen, PIN-Fallback und Gerätesperrstatus berücksichtigen.
4. Step-up-Mechanismen für besonders kritische Vorgänge definieren.

Authenticator-Attestation und Gerätevertrauen

Authenticator-Attestation kann Aussagen über den eingesetzten Authenticator liefern, erzeugt aber Datenschutz- und Betriebsfolgen. Der Baustein entwickelt eine risikobasierte Nutzung.

1. Benötigte Authenticator-Eigenschaften und Assurance-Ziele festlegen.
2. Attestation-Formate und Vertrauensmetadaten serverseitig prüfen.
3. Datenschutz, Anonymisierung und Akzeptanzregeln berücksichtigen.
4. Unbekannte oder nicht attestierte Authenticatoren gestuft behandeln.

Authentisierungs-Recovery ohne Sicherheitsrückfall

Ein phishingresistenter Login ist wirkungslos, wenn Recovery über leicht angreifbare Kanäle möglich bleibt. Recovery wird daher als gleichwertiger Authentisierungsprozess behandelt.

1. Mehrere Authenticatoren und sichere Ersatzpfade vorab registrieren.
2. Recovery-Risiken und erforderliche Re-Identifizierung bestimmen.
3. Alte Credentials, Sitzungen und Gerätebindungen kontrolliert widerrufen.
4. Wartezeiten, Benachrichtigungen und Fraud-Prüfungen in den Prozess integrieren.

Einführung, Migration und Betrieb von Passkeys

Die Einführung umfasst Enrollment, Parallelbetrieb, Support, Telemetrie und schrittweise Härtung der Recovery. Ein Big-Bang ohne Betriebsmodell wird vermieden.

1. Zielgruppen, Plattformabdeckung und Migrationspfad definieren.
2. Enrollment und zusätzliche Authenticatoren nutzerfreundlich gestalten.
3. Fallbacks schrittweise reduzieren und Recovery an das neue Assurance-Niveau anpassen.
4. Erfolg anhand von Phishing-Resistenz, Supportaufwand und Missbrauch messen.

Praxisaufgaben

• Modellierung einer vollständigen Passkey-Zeremonie für Wallet-Zugriff.
• Entscheidungsmatrix für synchronisierte und gerätegebundene Credentials.
• Entwurf eines Multi-Authenticator- und Recovery-Prozesses.
• Negativtests für Origin, Challenge, Replay und schwache Fallbacks.

Einordnung in das Seminarprogramm

Das Einzelseminar kann eigenständig besucht oder in einen Rollenpfad für Architektur, Entwicklung, Betrieb, Recovery, Testing oder Zertifizierung eingeordnet werden. Die Herstellerseite ordnet alle Angebote nach Einstieg, technischer Vertiefung und Assurance.