Der Schlüssel, den es nicht gibt

Versuchsaufbau: der Passkey

1. 01
   Zwei Hälften. Beim Anlegen erzeugt das Handy ein Schlüsselpaar. Die geheime Hälfte bleibt im Handy, gut verschlossen im Sicherheitschip. Die öffentliche Hälfte bekommt Pocket ID. Wie ein Schloss, das man jedem zeigen darf, und ein Schlüssel, den nur Sie haben.
2. 02
   Die Prüfung. Beim Anmelden schickt Pocket ID eine Zufallszahl, die es nur dieses eine Mal gibt. Das Handy unterschreibt sie mit der geheimen Hälfte, aber erst nachdem Face ID, Fingerabdruck oder PIN bestätigt haben, dass Sie es sind. Pocket ID prüft die Unterschrift mit der öffentlichen Hälfte. Der Schlüssel selbst verlässt das Handy nie.
3. 03
   An die Adresse gebunden. Ein Passkey gehört zu genau einer Adresse. Eine nachgemachte Seite mit ähnlichem Namen bekommt vom Handy schlicht keine Unterschrift. Abfischen läuft ins Leere, auch wenn die Fälschung perfekt aussieht.
4. 04
   Nichts zu stehlen. Auf dem Server liegt nur die öffentliche Hälfte. Wer dort einbricht, findet nichts, womit er sich anmelden könnte. Und weil jeder Passkey nur zu einer Adresse passt, gibt es auch kein Passwort, das man woanders noch einmal ausprobieren könnte.
5. 05
   Kein Geheimnis im Kopf. Gesicht und Finger verlassen das Handy ebenfalls nie. Sie schalten nur den Schlüssel frei, Pocket ID bekommt davon nichts zu sehen.

Versuchsaufbau: der Empfang

1. 01
   Ein Ort für alle Schlüssel. Pocket ID ist der Einzige im Labor, der Passkeys kennt. Fotos, Chat, Dokumente und Tür sehen nie einen Passkey. Sie fragen nur den Empfang.
2. 02
   Der Ausweis. Wer in die Fotos will, wird zu Pocket ID geschickt. Dort Finger drauf, und Pocket ID stellt einen kurzen, unterschriebenen Ausweis aus: wer Sie sind und zu welchen Gruppen Sie gehören. Der Dienst prüft die Unterschrift und lässt Sie herein. Das Verfahren heißt OpenID Connect, derselbe Standard wie „Mit Google anmelden“. Nur steht der Empfang hier im Keller.
3. 03
   Der Türsteher. Manche Programme können kein OpenID Connect. Vor ihnen steht tinyauth, ein kleiner Türsteher, der bei Pocket ID nachfragt, bevor er aufmacht. So bekommt auch der Kontrollraum seinen Login.
4. 04
   Gruppen statt Listen. Der Ausweis sagt auch, zu welcher Gruppe jemand gehört. Freunde sehen im Kontrollraum etwas anderes als die Familie, und die Tür öffnet nur, wer in der Gruppe der Tür steht. Wer gehen muss, wird an einer einzigen Stelle ausgetragen.
5. 05
   Einmal anmelden. Wer sich beim Empfang gemeldet hat, kommt eine Weile lang in die anderen Dienste, ohne noch einmal den Finger aufzulegen.
6. 06
   Wache. Meldet sich ein Konto von einem neuen Gerät an, kommt eine E-Mail. Neue Konten legt nur die Laborleitung an, eine Registrierung gibt es nicht. Ist ein Handy weg, wird sein Passkey gelöscht, und ein einmaliger Link bringt das neue Gerät herein.

Warum?

Weil Passwörter das schwächste Teil jeder Anlage sind. Sie werden wiederverwendet, auf gefälschten Seiten eingetippt und auf Zettel geschrieben. Ein Passkey kann nichts davon. Und mit einem Empfang für alles gibt es ein Konto pro Person statt eines pro Dienst.

Pocket ID ist offen, klein und kann nur Passkeys. Genau das, was es hier braucht.

Testergebnis

In Betrieb seit November 2026. Vierzehn Dienste, ein Login, und kein einziges Passwort zum Vergessen. Die Testpersonen haben nach ihren Passwörtern bisher nicht gefragt. Eine sucht noch den Zettel.

So melden Sie sich an Code von Pocket ID Code von tinyauth