Passwortlose Anmeldung · Pilotphase
Pilotkunden gesucht – Plätze begrenztAnmelden per Face ID. Phishing läuft ins Leere.
Codeflix Passkey ersetzt Passwörter und SMS-Codes durch eine Freigabe auf dem Firmen-iPhone. Anders als klassische Push-Apps ist jede Anfrage kryptografisch an den Browser gebunden, an dem Ihr Mitarbeiter tatsächlich sitzt. Eine gefälschte Login-Seite kann das iPhone gar nicht erst erreichen.
$ login m.muster @ sso-ihre-firma.cobrowser ✓ gepaarter Schlüssel signiert die echte Adresseserver prüfe Browser-Signatur und Herkunft …server ⚠ Herkunft sso-ihre-firma.co ≠ sso.ihre-firma.deserver ✗ kein Push gesendet · Versuch protokolliertiphone ✓ bleibt still – nichts zum Wegtippen
- 0 Passwörter
- keine Passwörter, keine SMS-Codes, nichts zum Abfangen
- Face ID
- jede Freigabe biometrisch, Schlüssel im Secure Enclave
- Gekoppelt
- Push nur für den gekoppelten Browser auf der echten Domain
- Keycloak
- für alle Anwendungen hinter Ihrem Single Sign-on
Das Problem
Push-Freigaben sind bequem – und ein Einfallstor
Push-basierte Zwei-Faktor-Anmeldung hat sich durchgesetzt, weil sie einfach ist: Benutzername eingeben, auf dem Handy „Ja“ tippen, fertig. Genau diese Einfachheit nutzen Angreifer aus.
Wer einen Benutzernamen kennt, kann echte Push-Anfragen auslösen – so lange, bis jemand aus Gewohnheit oder Genervtheit zustimmt. Und moderne Phishing-Kits schalten sich unsichtbar zwischen Mitarbeiter und echte Login-Seite: Der Mitarbeiter meldet sich ganz normal an, der Push ist echt, die Freigabe auch – nur die Sitzung landet beim Angreifer.
Der Grund ist bei fast allen Push-Verfahren derselbe: Das Telefon erfährt nie, wo der Mitarbeiter wirklich gerade ist. Es bestätigt, was der Server ihm erzählt.
- Push-BombingAngreifer fluten das Handy mit Anfragen, bis jemand zustimmt. Ein Benutzername reicht.
- Phishing-ProxysEine täuschend echte Domain leitet die echte Anmeldung durch. Codes, Pushes und viele MFA-Verfahren helfen hier nicht.
- Gestohlene SitzungenAm Ende zählt nicht das Passwort, sondern die angemeldete Sitzung – und genau die wird übernommen.
Was Codeflix Passkey anders macht
Der Push ist nur noch die Türklingel
Bei Codeflix Passkey trägt die Push-Nachricht keine Sicherheitsverantwortung mehr. Entscheidend ist eine kryptografische Kette vom Browser über den Server bis zum iPhone – und die lässt sich weder fälschen noch umleiten.
Browser-BindungKern
Jeder Arbeitsplatz-Browser wird einmalig mit dem iPhone gekoppelt und erhält einen eigenen, nicht auslesbaren Schlüssel. Bei jeder Anmeldung signiert der Browser selbst, welche Adresse er wirklich geöffnet hat. Erst wenn diese Signatur stimmt, wird überhaupt ein Push verschickt – und die Freigabe auf dem iPhone gilt nur für genau diesen Browser.
Kein Push-Bombing
Ein fremder oder nicht gekoppelter Browser kann keinen Push auslösen. Das Handy Ihrer Mitarbeiter klingelt nur, wenn sie sich selbst anmelden. Blockierte Versuche werden zu einem Sicherheitssignal statt zu einem Risiko.
Phishing-resistent – auch gegen Proxys
Auf einer gefälschten Domain signiert der Browser die gefälschte Adresse. Der Server erkennt das, bevor das iPhone etwas davon erfährt. Es gibt kein Passwort und keinen Code, den ein Angreifer abgreifen und weitergeben könnte.
Schlüssel, die das Gerät nie verlassen
Der Anmeldeschlüssel entsteht im Secure Enclave des iPhones und kann nicht exportiert werden. Jede Freigabe verlangt Face ID. Auf dem Server liegen nur öffentliche Schlüssel – ein Datenleck dort verrät nichts, womit man sich anmelden könnte.
Nur echte, verwaltete Geräte
Geräte werden zentral über Ihr MDM (z. B. Jamf) eingerichtet. Apple bestätigt bei der Registrierung, dass die echte App auf einem echten iPhone läuft. Selbst-Registrierung durch Angreifer oder manipulierte Geräte ist ausgeschlossen.
Klare Freigabe statt blindem Tippen
Die Freigabe auf dem iPhone zeigt, welcher gekoppelte Browser und welche Anwendung die Anmeldung angefordert haben. Mitarbeiter bestätigen eine konkrete Anmeldung – nicht irgendeine.
Ablauf
So läuft eine Anmeldung
- 01
Einmal einrichten
Ihre IT verteilt die App per MDM, das iPhone registriert sich mit Face ID. Anschließend wird der Arbeitsplatz-Browser einmalig per QR-Code mit dem iPhone gekoppelt.
- 02
Benutzername eingeben
Der Mitarbeiter öffnet die Login-Seite wie gewohnt. Der Browser signiert die Anmeldung im Hintergrund, der Server prüft Browser und Domain – erst dann geht der Push raus.
- 03
Face ID bestätigen
Auf dem iPhone erscheint die Anfrage mit Browser und Anwendung. Ein Blick genügt, die Anmeldung ist abgeschlossen. Ohne Passwort, ohne Code, in wenigen Sekunden.
Einsatz
Passt zu Ihrem Unternehmen?
Codeflix Passkey lohnt sich, wenn …
- Ihre Mitarbeiter mit Firmen-iPhones arbeiten
- Sie Passwörter und SMS-Codes loswerden wollen
- Phishing für Sie ein reales Risiko ist – oder Ihre Cyberversicherung danach fragt
- Sie phishing-resistente MFA nachweisen müssen, etwa im Rahmen von NIS2
- Sie Ihre Identitäten selbst kontrollieren wollen statt sie einem US-Anbieter anzuvertrauen
Was Sie dafür brauchen
- Keycloak als Single Sign-on – vorhanden oder von uns betrieben
- iPhones, die über ein MDM verwaltet werden (z. B. Jamf)
- Verwaltete Chrome- oder Edge-Browser an den Arbeitsplätzen
- Anwendungen, die per OpenID Connect oder SAML an Keycloak hängen
Sicherheit & Souveränität
Starke Anmeldung, die Ihnen gehört
Codeflix Passkey baut auf offenen Standards auf: Signaturen nach WebAuthn, wie sie auch bei Passkeys von Apple, Google und Microsoft zum Einsatz kommen. Der Unterschied: Die Schlüssel sind an verwaltete Firmengeräte gebunden und nicht in einer privaten Cloud synchronisiert – Ihre IT behält die volle Kontrolle.
Die Anmeldung läuft auf Ihrem eigenen Keycloak – bei Ihnen im Haus oder in der Codeflix Private Cloud in Deutschland. Kein externer Identitätsanbieter sieht, wer sich wann wo anmeldet.
- Keine geteilten GeheimnisseWeder auf dem Server noch auf dem iPhone liegt etwas, womit sich ein Angreifer anmelden könnte.
- Volle NachvollziehbarkeitFreigaben und blockierte Versuche landen im Ereignisprotokoll Ihres Keycloak – auswertbar für SIEM und Audit.
- Zentral widerrufbarGerät verloren oder Mitarbeiter ausgeschieden? Die IT entfernt den Zugang zentral, ohne Passwörter zurückzusetzen.
FAQ
Häufige Fragen
Was ist der Unterschied zu normalen Passkeys?
Normale Passkeys werden meist über die private iCloud oder ein Google-Konto synchronisiert und funktionieren nur auf Geräten, die dem Nutzer gehören. Codeflix Passkey bindet den Schlüssel an das verwaltete Firmen-iPhone und erlaubt die Anmeldung an jedem gekoppelten Arbeitsplatz-Browser – zentral gesteuert von Ihrer IT.
Wir nutzen bereits eine Authenticator-App mit Zahlenabgleich. Reicht das nicht?
Zahlenabgleich stoppt Push-Bombing, weil ein Opfer ohne Login-Seite keine Zahl sieht. Gegen Phishing-Proxys hilft er nicht: Dort sieht das Opfer die Zahl auf der gefälschten Seite und tippt sie korrekt ein. Codeflix Passkey prüft, auf welcher Domain der Browser wirklich ist – das schließt beide Lücken.
Was passiert, wenn ein iPhone verloren geht?
Ohne Face ID lässt sich der Schlüssel nicht verwenden, und ohne gekoppelten Browser wird gar kein Push ausgelöst. Ihre IT widerruft das Gerät zentral in Keycloak und richtet das Ersatzgerät per MDM ein.
Müssen wir Keycloak einsetzen?
Ja, Codeflix Passkey ist eine Erweiterung für Keycloak. Wenn Sie noch keinen haben, richten wir ihn für Sie ein und betreiben ihn auf Wunsch in der Codeflix Private Cloud. Bestehende Verzeichnisse wie Active Directory lassen sich anbinden.
Gibt es Codeflix Passkey auch für Android?
Aktuell unterstützen wir iPhones. Wenn Sie Android-Geräte im Einsatz haben, sprechen Sie uns an – wir planen den Funktionsumfang gemeinsam mit unseren Pilotkunden.
Pilotprogramm
Werden Sie Pilotkunde
Wir suchen eine kleine Zahl von Unternehmen, die Codeflix Passkey gemeinsam mit uns in den Produktivbetrieb bringen. Sie erhalten eine begleitete Einführung, direkten Draht zu den Entwicklern und Sonderkonditionen für die reguläre Nutzung.
E-Mail an info@codeflix.com, Betreff „Codeflix Passkey Pilot“