Glossarbegriff
Passkeys
Auch: WebAuthn Passkeys, Discoverable Credentials
Phishing-resistente Authentifizierungs-Credentials nach WebAuthn/FIDO2, die private Schlüssel auf dem Gerät halten und biometrisch oder per PIN entsperrt werden. Lösen klassische Passwörter und SMS-OTP ab.
Passkeys nutzen Public-Key-Kryptografie: der private Schlüssel verlaesst nie das Gerät (Secure Enclave/TPM), nur eine Signatur wird an den Dienst gesendet. Damit strukturell immun gegen Phishing, Server-Datenbank-Diebstahl und Replay.
Synchronisations-Varianten: Plattform-Passkeys (iCloud Keychain, Google Password Manager, Microsoft Authenticator) syncen über den Anbieter, was Komfort bringt aber Vendor-Lock entsteht. Hardware-Passkeys (FIDO2-Sticks) sind nicht synced und bleiben strikt im Hardware-Token.
In der Praxis
Implementierung 2026: Apple, Google, Microsoft, GitHub, Cloudflare, Shopify, Amazon und viele andere unterstützen Passkeys nativ. Für regulierte Workloads sind Hardware-Passkeys mit Attestation-Prüfung (Level 1/2) Stand der Technik.
Verwandte Begriffe
MFA
Authentifizierung, die mindestens zwei Faktoren aus den Kategorien Wissen (Passwort), Besitz (Hardware-Token, Smartphone) und Sein (Biometrie) kombiniert. Pflicht nach NIS2 Art. 21 Buchstabe j und DORA Art. 9.
FIDO2
Offener Authentifizierungs-Standard der FIDO Alliance plus W3C, bestehend aus WebAuthn (Browser-/Plattform-Schnittstelle) und CTAP2 (Geräte-Protokoll). Grundlage für phishing-resistente MFA und Passkeys.
IAM (Identity and Access Management)
The stack of systems that governs who has access to which systems under which conditions. IAM covers authentication, single sign-on, lifecycle management, access governance (IGA) and privileged access management (PAM), and is the most commonly breached control in enterprise environments.
PAM
Software-Kategorie zur Steuerung privilegierter Zugriffe: Vault, Session-Management, Just-in-Time-Berechtigungen, Session-Recording, Zero Standing Privilege. Pflicht-Stack unter NIS2 und DORA für Admin-Zugriffe.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.