(Symbolbild)
Überwachungsfusion und Passkey-Lücken: Zwei Fronten im Kampf um digitale Identität
Die Sicherheit digitaler Identitäten gerät gleichzeitig von zwei Seiten unter Druck: Eine neue Generation von Überwachungstechnik verknüpft bislang getrennte Datenströme wie Mobilfunksignale und Kennzeichenerfassung, während eine jüngst publik gewordene Attacke auf Passkeys Schwachstellen in der als besonders sicher geltenden Authentifizierungstechnologie offenlegt. Für Unternehmen bedeutet dies, dass etablierte Sicherheitsarchitekturen an zwei entscheidenden Punkten neu bewertet werden müssen.
Wenn das Smartphone zum Tracking-Beacon wird
Die Verschmelzung verschiedener Überwachungssysteme erreicht eine neue Qualität. Moderne ALPR-Systeme (Automatic License Plate Recognition) werden nun mit zusätzlichen Sensoren kombiniert, die Bluetooth- und Wi-Fi-Signale von Smartphones erfassen. Die Technologie ermöglicht es, ein Fahrzeug nicht nur über sein Kennzeichen zu identifizieren, sondern gleichzeitig die mitfahrenden Personen über deren Mobilgeräte zu verorten. Diese Korrelation von Datenströmen, die bisher in getrennten Silos existierten, schafft ein Bewegungsprofil, das weit über die Möglichkeiten klassischer Verkehrsüberwachung hinausgeht.
Für Unternehmen mit Flotten oder Außendienstmitarbeitern stellt sich die Frage, wie gut die eigenen Mobilitätsdaten geschützt sind. Dienstfahrzeuge und dienstliche Smartphones werden zu korrelierbaren Datenpunkten in einer Infrastruktur, deren Betreiber zunehmend privatwirtschaftlich agieren. Die rechtliche Einordnung solcher Datenfusion bleibt in der EU zwar durch die DSGVO eingefasst, die technische Realität der Datenerhebung entwickelt sich jedoch schneller als die regulatorische Kontrolle.
Passkeys unter der Lupe: Die Pass-ta-key-Attacke
Parallel dazu rückt eine Sicherheitslücke in Passkeys, der vielgepriesenen Nachfolgetechnologie für Passwörter, in den Fokus. Die als Pass-ta-key bezeichnete Attacke zielt auf die Synchronisierungsmechanismen ab, die Passkeys über verschiedene Geräte und Plattformen verteilen. Besonders betroffen sind dabei die Implementierungen großer Anbieter wie Google Password Manager und Microsofts Windows-Authentifizierungsstack.
Die Attacke offenbart, dass die komplexe Infrastruktur hinter Passkeys – Cloud-Synchronisation, Gerätebindung, plattformübergreifende Kompatibilität – Angriffsflächen schafft, die bei der Nutzerkommunikation zumeist ausgeblendet werden. “Die neue Attacke zeigt all die Dinge, die wir über Passkeys nicht wussten”, konstatiert Ars Technica in der Analyse des Vorfalls (Ars Technica). Die Schwachstelle liegt weniger im kryptografischen Kern der FIDO2-Standards als vielmehr in deren Integration in bestehende Ökosysteme, wo Bequemlichkeit und Sicherheit in einem spannungsreichen Verhältnis stehen.
Das gemeinsame Muster: Vertrauen in verteilte Systeme
Beide Entwicklungen teilen eine strukturelle Gemeinsamkeit: Sie untergraben das Vertrauen in Technologien, die als Fortschritte gegenüber früheren Lösungen positioniert wurden. Passkeys sollten Passwort-Diebstahl und Phishing eliminieren; stattdessen entstehen neue, opakere Risiken in der Synchronisierungsinfrastruktur. Die erweiterte Überwachungstechnik nutzt die allgegenwärtige Verbreitung von Smartphones aus, die selbst bei deaktiviertem GPS durch ihre Funk signatures identifizierbar bleiben.
Für die IT-Sicherheitsstrategie deutscher Unternehmen ergeben sich daraus konkrete Implikationen. Bei der Passkey-Einführung sollten Synchronisierungsmechanismen explizit auditiert und gegebenenfalls deaktiviert werden, zugunsten von hardwaregebundenen Credentials ohne Cloud-Replikation. Gleichzeitig gewinnt das Thema Mobilitätsprivatsphäre an Relevanz: Unternehmen müssen evaluieren, ob Dienstgeräte in Fahrzeugen Signale aussenden, die von externen Erfassungssystemen korreliert werden können.
Die DSGVO bietet hier zwar einen rechtlichen Rahmen, die technische Durchsetzung von Datenschutzansprüchen gegenüber kommerziellen Überwachungsinfrastrukturen bleibt jedoch anspruchsvoll. Unternehmen, die frühzeitig Privacy-by-Design in ihre Mobilitäts- und Authentifizierungskonzepte integrieren, können sich einen nachhaltigen Wettbewerbsvorteil sichern – nicht zuletzt gegenüber Geschäftspartnern und Kunden, die zunehmend die Datenhoheit ihrer Partner hinterfragen.
