Wie gestaltet man die Kontowiederherstellung in einer mobilen App mit Passkeys?
Passkey-Anmeldung macht die Gestaltung der Kontowiederherstellung nicht überflüssig. Geräteverlust, Gerätewechsel, eine zugängliche Ersatzmethode und Unterstützung durch den Support müssen…
Was enthält dieser Artikel?
Kurzantwort
Passkey-Anmeldung macht die Gestaltung der Kontowiederherstellung nicht überflüssig. Geräteverlust, Gerätewechsel, eine zugängliche Ersatzmethode und Unterstützung durch den Support müssen gesondert definiert werden. Der schwächste Wiederherstellungsschritt kann eine starke Anmeldung aushebeln; deshalb braucht auch dieser Ablauf Sicherheits- und Gebrauchstauglichkeitstests.
Anmeldung und Wiederherstellung sind unterschiedliche Nutzeraufgaben
Bei Passkeys müssen Nutzer verstehen, mit welchen Geräten und Kontosystemen sie sich anmelden können. Fehlt auf einem Gerät ein nutzbares Authentifizierungsmittel, bedeutet das nicht, dass im Unternehmenssystem kein Konto existiert. Die Oberfläche muss diese Fälle unterscheiden und geeignete Alternativen anbieten, statt eine erneute Registrierung zu erzwingen. Das Szenario eines neuen Geräts gehört von Anfang an in den Produktumfang.
Der FIDO-Passkey-Ansatz bietet eine Authentifizierung mit öffentlichen Schlüsseln statt Passwörtern. Die Wiederherstellungsrichtlinie richtet sich jedoch nach dem Konto- und Risikomodell des Produkts. Setzen Sie nicht bei allen Plattformen dieselbe Synchronisierung oder dasselbe Geräteverhalten voraus. Unterstützte Geräte, Browser und Kontotypen gehören in die Tests auf realen Geräten.
Grenzen des Supportteams
Legen Sie fest, auf welche Informationen Supportmitarbeiter bei einer Wiederherstellung zugreifen und welche Entscheidungen sie treffen dürfen. Fordern Sie keine Authentifizierungsgeheimnisse oder sensiblen Schlüsselinformationen an. Bei privilegierten Konten sind Rollenänderungen und aktive Sitzungen nach der Wiederherstellung gesondert zu behandeln. Kontozugriff allein anhand leicht herauszufindender Profilangaben schwächt die sichere Anmeldung.
Wiederherstellungsereignisse müssen durch Benachrichtigungen, Aktionsprotokolle und gegebenenfalls zusätzliche Freigaben nachvollziehbar sein. Statt eine universelle Dauer oder Prüfmethode vorzugeben, ist eine Richtlinie passend zu Risiko und Supportkapazität des Unternehmens festzulegen. Erklären Sie den aktuellen Bearbeitungsschritt und vermeiden Sie unklare Meldungen, die zu wiederholten Anfragen führen.
Abnahmetests auf realen Geräten
Testen Sie ein Gerät mit Passkey, ein neues Gerät ohne Passkey und ein verlorenes Gerät. Prüfen Sie nach einer alternativen Anmeldung die Zuordnung zum selben Nutzerkonto. Verifizieren Sie das erwartete Verhalten alter Sitzungen, Benachrichtigungen und Administratorrechte während der Wiederherstellung. Bildschirmleser- und Tastaturtests gehören ebenfalls zum Ablauf; eine sichere, aber nicht abschließbare Wiederherstellung ist kein funktionales Produkt.
Checkliste für die Umsetzung
- Sind die unterstützten Geräte definiert?
- Unterscheidet sich die Meldung für neue Geräte von „Konto nicht gefunden“?
- Sind die Prüfberechtigungen des Supports begrenzt?
- Gibt es eine Sitzungsrichtlinie nach der Wiederherstellung?
- Sind Tests auf realen Geräten und zur Barrierefreiheit abgeschlossen?
Häufige Fragen
Kann nach Einführung von Passkeys der Ersatzablauf entfallen?
Nicht ohne Bewertung der Zugangsszenarien. Wiederherstellung ist eine eigenständige Produkt- und Sicherheitsentscheidung.
Reicht eine Support-E-Mail zur Wiederherstellung?
Eine E-Mail-Anfrage allein verifiziert keine Identität; ein definierter Prüf- und Berechtigungsprozess ist erforderlich.
Umfang und Grenzen
Identitätsanbieter und Plattformverhalten sind für die jeweilige Anwendung zu prüfen. Dieser Artikel behauptet nicht, dass ein bestimmter Anbieter sämtliche Wiederherstellungsfunktionen unterstützt.
Quellen und Aktualität
Quellenprüfung: 7. Oktober 2026. Versionen verlinkter Dokumente und Anbieterbedingungen können sich ändern. Prüfen Sie vor der Umsetzung die aktuelle Fassung der jeweiligen Quelle.