Hardware-Schlüssel: Der Schlüssel, den man nicht abtippen kann

Ziel

Nach diesem Artikel verstehen Sie, warum Phishing gegen einen Hardware-Schlüssel nicht nur unwahrscheinlich, sondern strukturell unmöglich ist. Sie wissen, was ein solcher Schlüssel kostet, wer ihn im Betrieb zuerst bekommen sollte und wie Passkeys damit zusammenhängen.

Teil 3 der Serie „Digitale Grundsicherung".

Voraussetzungen

Teil 1 (Passwort-Manager) und Teil 2 (Zwei-Faktor-Authentifizierung). Dieser Artikel schließt genau die Lücke, die am Ende von Teil 2 offen geblieben ist.

Die offene Lücke aus Teil 2

Sie haben jetzt einen Passwort-Manager und eine Authenticator-App. Ein Angreifer kann Ihr Passwort haben — er kommt trotzdem nicht hinein. Eine Angriffsart überlebt das aber: Echtzeit-Phishing.

So läuft es ab:

Sie erhalten eine E-Mail: „Ihr Konto wird gesperrt, bitte hier bestätigen."
Der Link führt auf mircosoft-login.com — eine Seite, die exakt aussieht wie das Original.
Sie geben Ihr Passwort ein. Die falsche Seite leitet es in derselben Sekunde an die echte Seite weiter.
Die echte Seite fragt nach dem 2FA-Code. Die falsche Seite fragt Sie danach.
Sie tippen den Code aus Ihrer App ein. Die falsche Seite reicht auch ihn weiter.
Der Angreifer ist angemeldet. Ihr sechsstelliger Code hat ihm die Tür geöffnet.

Der Code war korrekt. Er war frisch. Er kam aus Ihrer App. Und er war völlig wertlos — weil er nicht wusste, wohin er ging.

Genau das ist der Punkt, an dem der Hardware-Schlüssel ansetzt.

Der entscheidende Unterschied: Der Schlüssel prüft die Adresse

Ein Hardware-Schlüssel ist ein kleiner Stick, meist in USB-Größe. Sie stecken ihn ein oder halten ihn ans Handy und berühren einen Sensor. Es gibt nichts abzutippen, nichts abzulesen, nichts weiterzuleiten.

Und das ist kein Bequemlichkeits-Detail — es ist der ganze Sicherheitsgewinn.

Wenn Sie sich anmelden, tut der Schlüssel intern zwei Dinge:

Er sieht sich die Adresse der Website an, von der die Anfrage kommt.
Er antwortet nur, wenn diese Adresse exakt die ist, für die er ursprünglich eingerichtet wurde.

Steht in der Adressleiste mircosoft-login.com statt microsoft.com, dann antwortet der Schlüssel schlicht nicht. Nicht, weil er misstrauisch wäre — sondern weil die Antwort für diese Adresse nicht existiert. Es gibt nichts, was der Angreifer weiterleiten könnte.

Der Mensch übersieht den Tippfehler in der Adresszeile. Der Schlüssel kann ihn gar nicht übersehen.

Fachlich heißt dieser Mechanismus Origin-Bindung: Die Antwort des Schlüssels ist an den Ursprung — die Domain — gebunden. Der Standard dahinter heißt FIDO2 und wird von allen großen Anbietern unterstützt.

Was so ein Schlüssel ist — ganz praktisch

Ein Stick, etwa so groß wie ein Fahrzeugschlüssel-Anhänger. Bekannte Hersteller sind YubiKey, Nitrokey oder Google Titan.

Anschluss: USB-A oder USB-C, viele zusätzlich per NFC ans Handy anhaltbar.
Preis: ungefähr 30 bis 70 Euro pro Stück. Einmalig, keine laufenden Kosten.
Bedienung: einstecken, Sensor berühren, fertig. Sie tippen nichts ab.
Haltbarkeit: kein Akku, keine Software, die veraltet. Er funktioniert in fünf Jahren noch.
Bei Verlust: unbrauchbar für den Finder. Ohne Ihr Passwort ist der Stick allein wertlos — es sind ja zwei Faktoren.

Hinweis: Kaufen Sie immer zwei Schlüssel pro Person. Einen für den Schlüsselbund, einen als Reserve in den Safe. Beide werden bei jedem Konto hinterlegt. Geht der erste verloren, melden Sie sich mit dem zweiten an und entfernen den verlorenen. Ohne Zweitschlüssel hängt alles an den Recovery-Codes aus Teil 2 — das funktioniert, ist aber deutlich unangenehmer.

Passkeys: dasselbe Prinzip, ohne Stick

Vielleicht ist Ihnen der Begriff Passkey schon begegnet — bei Google, Apple, PayPal oder Amazon. Passkeys nutzen exakt dieselbe Technik wie der Hardware-Schlüssel, mit demselben Adress-Check. Nur liegt der Schlüssel nicht auf einem Stick, sondern im Sicherheitschip Ihres Smartphones oder Laptops. Sie bestätigen mit Fingerabdruck oder Gesicht.

Der Vergleich in aller Kürze:

	Hardware-Stick	Passkey (Handy/Laptop)
Phishing-Schutz	ja, durch Adress-Check	ja, identisch
Kosten	30–70 € pro Stück	keine
Gerätebindung	vom Gerät unabhängig	an Ihr Gerät gebunden
Bei Gerätewechsel	einfach mitnehmen	Übertragung nötig
Für wen	kritische Zugänge, Firmenkonten	Alltagskonten, breiter Rollout

Ein Passkey ist ein enormer Gewinn gegenüber Passwort plus Code — und er kostet nichts. Für die kritischsten Zugänge bleibt der physische Stick trotzdem die robustere Wahl: Er hängt nicht am Handy, nicht am Cloud-Konto des Herstellers und nicht an einem Gerät, das gestohlen werden kann.

Praktische Empfehlung: Passkeys überall dort einschalten, wo sie angeboten werden. Hardware-Sticks zusätzlich für die Konten, deren Verlust den Betrieb lahmlegen würde.

Wer im Betrieb zuerst einen Schlüssel bekommt

Sie müssen nicht die ganze Belegschaft ausstatten. Die Regel ist einfach: Wer die meiste Macht über Geld, Daten oder Zugänge hat, bekommt den Schlüssel zuerst.

Angreifer wählen ihre Ziele nicht zufällig. Sie recherchieren, wer in einem Betrieb Überweisungen freigeben kann.

Schritt für Schritt: Einrichtung

1. Zwei Schlüssel besorgen

Pro Person, die einen bekommt. Achten Sie auf den passenden Anschluss (USB-C bei neueren Geräten) und auf NFC, wenn Sie sich auch am Handy anmelden.

2. Beide Schlüssel beim wichtigsten Konto hinterlegen

Wieder die Geschäfts-E-Mail zuerst. In den Sicherheitseinstellungen finden Sie den Punkt „Sicherheitsschlüssel" oder „Passkey hinzufügen". Sie stecken den Stick ein, berühren ihn, vergeben einen Namen („Schlüsselbund Chef", „Safe-Reserve"). Dann dasselbe mit dem zweiten Stick.

Beide Schlüssel, bei jedem Konto, jedes Mal. Wer den Zweitschlüssel nur beim ersten Dienst hinterlegt und danach vergisst, hat keine Reserve.

3. Testen — bevor Sie sich darauf verlassen

Melden Sie sich einmal ab und mit dem Zweitschlüssel wieder an. Erst wenn das funktioniert hat, wandert er in den Safe.

4. Die Authenticator-App als Rückfallebene behalten

Nicht sofort abschalten. Lassen Sie die 2FA-App aus Teil 2 parallel eingerichtet, bis die Schlüssel im Alltag zuverlässig laufen. Erst danach — und nur bei den kritischsten Konten — können Sie die schwächeren Verfahren entfernen.

Hinweis: Bei einigen Diensten lässt sich einstellen, dass ausschließlich Hardware-Schlüssel erlaubt sind. Das ist der stärkste Schutz, den es gibt — aber erst sinnvoll, wenn Sie zwei funktionierende Schlüssel haben und die Recovery-Codes sicher verwahrt sind. Sonst sperren Sie sich selbst aus.

5. Die restlichen Konten nachziehen

Banking, Buchhaltung, Cloud. Nicht jeder Dienst unterstützt FIDO2 bereits — wo er es nicht tut, bleibt es bei der Authenticator-App aus Teil 2. Das ist kein Problem, sondern der Normalzustand.

Zusammenfassung

Echtzeit-Phishing überlebt die Authenticator-App, weil ein Code nur eine Zahl ist — er trägt keine Information darüber, für welche Website er gilt.
Der Hardware-Schlüssel prüft die Adresse selbst. Auf der gefälschten Seite gibt es schlicht keine Antwort, die weitergereicht werden könnte. Das ist kein Wahrscheinlichkeits-, sondern ein Strukturargument.
Passkeys nutzen dieselbe Technik, ohne Stick und ohne Kosten. Überall einschalten, wo sie angeboten werden.
Immer zwei Sticks pro Person — einer am Schlüsselbund, einer im Safe, beide bei jedem Konto hinterlegt.
Priorität nach Schadenspotenzial: Geschäftsführung, Buchhaltung, Systemverwaltung. Der Rest bekommt Passkeys.

Und weiter?

Sie kennen jetzt alle drei Bausteine: den Tresor, das zweite Schloss und den fälschungssicheren Schlüssel. Bleibt die Frage, die nach jedem Sicherheitsartikel kommt: Wo fange ich Montagmorgen an?

Darum geht es in Teil 4: Der 90-Minuten-Plan — die drei Bausteine in der richtigen Reihenfolge, mit einer Checkliste, die in einen Vormittag passt.