Seminar Passkeys und WebAuthn – passwortlose Anmeldung sicher einführen

Seminarbeschreibung

Passkeys verändern nicht nur den Anmeldebildschirm, sondern auch Registrierung, Gerätewechsel und Support. Das Seminar verbindet die technischen Grundlagen von WebAuthn mit einer praktisch durchgeführten Einführung an einem Identity Provider. Es erläutert, wie Challenge, Relying-Party-ID, Origin und Benutzerverifikation zusammenwirken und warum eine reine Kennwortabschaltung noch kein belastbarer Einführungsplan ist.

Gerätegebundene Anmeldemittel und synchronisierte Passkeys werden hinsichtlich Geräteverwaltung, Verfügbarkeit und Wiederherstellung gegenübergestellt. Die Übungen berücksichtigen mehrere Browser- und Gerätesituationen im Rahmen der vorbereiteten Ausstattung. Ein Schwerpunkt liegt auf dem Schutz des Registrierungs- und Wiederherstellungsweges: Wenn diese Wege schwächer sind als die reguläre Anmeldung, bleibt die tatsächliche Sicherheit der Konten begrenzt. Die Konfiguration wird deshalb auch mit falscher RP-ID, fehlendem Faktor und verlorenem Gerät getestet.

Seminarinhalte

Inhaltsübersicht:

1. Passkey- und WebAuthn-Grundlagen
2. Anforderungen und Richtlinien
3. Registrierung in Keycloak
4. Anmeldung und Fehlerszenarien
5. Gerätewechsel und Recovery
6. Pilot und betriebliche Abnahme

1. Passkey- und WebAuthn-Grundlagen

• Credential, Authenticator, Relying Party und Browser in Registrierung sowie Anmeldung zuordnen.
• Öffentlichen Schlüssel, Challenge, Signatur und Benutzerverifikation ohne eigene Kryptografieimplementierung nachvollziehen.
• Gerätegebundene und synchronisierte Anmeldemittel sowie Security Keys nach dem betrieblichen Einsatzfall unterscheiden.

2. Anforderungen und Richtlinien

• Schutzbedarf, Benutzergruppen, verwaltete Geräte und Notfallzugänge für den geplanten Rollout erfassen.
• Benutzerpräsenz, Benutzerverifikation, Discoverable Credentials und mögliche Attestation-Anforderungen einordnen.
• Zulässige Anmeldemittel und Ersatzregistrierung mit Anforderungen an Geräte- sowie Kontowiederherstellung abstimmen.

3. Registrierung in Keycloak

• Einen geeigneten WebAuthn- beziehungsweise Passkey-Ablauf in einem getrennten Test-Realm konfigurieren.
• HTTPS, RP-ID, Origins und Benutzerzuordnung vor der Registrierung prüfen.
• Zwei Anmeldemittel registrieren und sicherstellen, dass die Ersteinrichtung durch eine angemessene bestehende Anmeldung geschützt ist.

4. Anmeldung und Fehlerszenarien

• Passwortlose Anmeldung mit der vorbereiteten Ausstattung durchführen und erforderliche Benutzerverifikation beobachten.
• Abweichende Domain, falsche RP-ID und fehlende Anmeldemittel als unterschiedliche Fehlerfälle untersuchen.
• Sitzungs- und Wiederanmeldeanforderungen der angebundenen Anwendung unabhängig vom verwendeten Faktor prüfen.

5. Gerätewechsel und Recovery

• Verlust, Defekt und Austausch eines Geräts mit kontrollierter Identitätsprüfung bearbeiten.
• Anmeldemittel entfernen, einen Ersatz registrieren und die verbleibenden Kontozugänge prüfen.
• Supportrechte, befristete Ersatzwege und Schutz vor unberechtigter Neuregistrierung festlegen.

6. Pilot und betriebliche Abnahme

• Einen Pilot mit abgestimmter Geräte- und Browserauswahl sowie messbaren Funktionskriterien planen.
• Registrierung, Anmeldung, Gerätewechsel und Wiederherstellung in einer wiederholbaren Testmatrix dokumentieren.
• Rollout-Schritte und Betriebszuständigkeiten einschließlich fortbestehender Kennwort- oder MFA-Ausnahmen festlegen.

Praxisübungen

1. Den Test-Realm und dessen HTTPS-Domain prüfen und geeignete Benutzergruppen für den Pilot definieren.
2. Die Registrierungsrichtlinie konfigurieren und zwei unterschiedliche Anmeldemittel einem Testkonto zuordnen.
3. Die passwortlose Anmeldung durchführen und den Unterschied zwischen Benutzerpräsenz und Benutzerverifikation beobachten.
4. Eine Anmeldung mit ungeeignetem Domainbezug gezielt zurückweisen lassen und den Fehler erklären.
5. Den Verlust des primären Anmeldemittels bearbeiten und über den festgelegten Ersatzweg kontrolliert weiterarbeiten.
6. Ein altes Anmeldemittel entfernen und die Gültigkeit der verbleibenden Zugänge vor Abschluss des Supportfalls prüfen.

Einordnung und Vertiefung

Die Übungen erfolgen auf einer vorbereiteten Identitätsplattform. Eine selbst entwickelte WebAuthn-Serverbibliothek und die vollständige Einführung einer organisationsweiten Geräteverwaltung sind nicht Bestandteil des Seminars.

Seminarangebot und Lernpfade