Warum fepli Passkeys empfiehlt
Im Admin-Panel stehen Namen, Geburtsdaten und Einwilligungen von Teilnehmer:innen und ihren Familien. fepli empfiehlt deshalb, sich mit einem Passkey anzumelden. Bis Sie einen eingerichtet haben, genügt der Anmeldelink per E-Mail; ein Passwort brauchen Sie nicht.
Was Passwörter angreifbar macht
Ein Passwort ist ein Geheimnis, das Sie kennen und bei jeder Anmeldung eintippen. Genau darauf zielen Angriffe. Eine gefälschte Anmeldeseite fragt es ab, oder ein Datenleck bei einem anderen Dienst verrät es, wenn Sie es dort ebenfalls verwenden.
Dazu kommt, was Menschen mit Passwörtern tun. Sie wählen kurze oder naheliegende Passwörter, schreiben sie auf oder vergessen sie. Jedes Zurücksetzen kostet Zeit, bei Ihnen und beim Team.
Wie ein Passkey funktioniert
Ein Passkey ist ein Schlüsselpaar. Der geheime Schlüssel bleibt auf Ihrem Gerät, fepli speichert nur den öffentlichen. Bei der Anmeldung prüfen Gerät und fepli die beiden Schlüssel gegeneinander. Freigeben können das nur Sie, per Fingerabdruck, Gesicht oder Geräte-PIN.
Weil der geheime Schlüssel Ihr Gerät nie verlässt, kann ihn keine gefälschte Seite abfragen. Ein Datenleck bei fepli verriete nur öffentliche Schlüssel, mit denen sich niemand anmelden kann. Jeder Passkey gilt für genau ein Konto. Er kann weder zu kurz sein noch vergessen werden.
Was das BSI empfiehlt
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Passkeys als sichere und zugleich bequeme Anmeldung. Bei vertrauenswürdigen Diensten ersetzen sie nach Einschätzung des BSI das Passwort. Die Gründe stehen auf der Seite Passkeys – anmelden ohne Passwort und in der Pressemitteilung Login-Verfahren: BSI empfiehlt die Nutzung von Passkeys vom 01.10.2024.
Wozu der Anmeldelink per E-Mail dient
Der Anmeldelink ist die Zwischenlösung für alle, die noch keinen Passkey haben. fepli schickt ihn an Ihre E-Mail-Adresse; er gilt 10 Minuten und nur einmal. Ein Passwort, das jemand abfangen oder erraten könnte, gibt es dabei nicht.
Der Link ist allerdings nur so sicher wie Ihr E-Mail-Postfach. Außerdem kostet jede Anmeldung den Umweg über die E-Mail. Ein Passkey spart beides.
Warum Admins keinen Anmeldelink bekommen
Admins haben weitreichende Rechte, oft auch auf die Daten aller Familien einer Instanz. Deshalb lässt fepli sie ab Werk nicht per Anmeldelink hinein. Wer als Admin einen Link anfordert, erhält die E-Mail „Anmeldelink nicht verfügbar“ mit den Wegen, die bleiben: Passkey oder Passwort. Wer beides nicht hat, wird an einen Super-Admin verwiesen. Ob Admins den Link doch nutzen dürfen, entscheidet der Betrieb der Installation.
Die Anmeldeseite nennt diese Regel nach dem Anfordern jeder Person, gleich welche Adresse sie eingegeben hat. Admins wissen dann, warum kein Link kommt. Ob eine Adresse einem Admin gehört, verrät die Seite nicht.
Neue Admins kommen einmal mit dem Link aus ihrer Einladung hinein. Er gilt mehrere Tage, weil niemand eine Einladung in den ersten Minuten öffnet, aber nur einmal. Wie viele Tage, legt die Einstellung Einladungen gültig für fest. Danach melden sich neue Admins mit Passkey an.
Wie Einladungen ohne Passwort auskommen
Wer sich über eine Einladung als Veranstalter:in registriert oder einer Einladung ins Team eines Vereins folgt, wählt unter So melden Sie sich an zwischen Passkey und Passwort. Der Passkey ist vorausgewählt. Das Konto bekommt dann kein Passwort, und die Person richtet den Passkey gleich im nächsten Schritt ein. Weil der Link aus der Einladung die E-Mail-Adresse schon bestätigt hat, ist sie sofort angemeldet.
Das Passwort mit mindestens 8 Zeichen bleibt für Geräte, die keine Passkeys unterstützen. Wer sich ohne Einladung registriert, legt gar kein Passwort fest und erhält nach der Freischaltung einen Anmeldelink.
Wenn das Gerät mit dem Passkey fehlt
Ein Passkey liegt auf einem Gerät oder in dem Konto, mit dem Ihre Geräte Passkeys abgleichen, z. B. bei Apple oder Google. Wer zwei Passkeys einrichtet, etwa auf Laptop und Smartphone, kommt auch ohne eines der Geräte hinein.
Veranstalter:innen melden sich sonst per Anmeldelink an und richten einen neuen Passkey ein. Admins ohne Anmeldelink bleibt nur das Passwort, sofern ihr Konto eins hat. Deshalb lohnt sich für sie ein zweiter Passkey.
Ein neues Passwort legt niemand im Team fest. Das Team sendet mit Passwort-Link senden einen Link an die Adresse des Kontos, und die Person legt das Passwort selbst fest. So kennt niemand im Team das Passwort, und wer sich am Telefon als jemand anderes ausgibt, erhält den Link nicht.