Sicherheitsschlüssel: Warum viele ab Werk keine PIN verlangen

Ein Sicherheitsschlüssel am Schlüsselbund sieht nach maximaler Sicherheit aus. Ein Stück Hardware, das niemand aus der Ferne stehlen kann. Die US-Cybersicherheitsbehörde CISA nennt phishingresistente Anmeldung in ihrem Merkblatt vom Oktober 2022 den "gold standard" und FIDO und WebAuthn "the only widely available phishing-resistant authentication".

Was die wenigsten wissen: Bei vielen dieser Schlüssel genügt im Auslieferungszustand ein Antippen. Keine PIN, kein Fingerabdruck, nichts. Wer das Ding in der Hand hält, ist für den Dienst dahinter der rechtmäßige Besitzer.

Das ist kein Versehen und kein Billigprodukt-Problem, es steht in den Handbüchern. Yubico formuliert es im Technical Manual als Randnotiz: "By default, no PIN is set." Und einen Absatz weiter: Die gespeicherten Zugangsdaten "can be left unlocked and used for strong single-factor authentication".

Ein einziger Faktor also. Genau das, was Passkeys eigentlich ablösen sollten.

Antippen oder Ausweisen, das ist der Unterschied

FIDO2 kennt zwei Stufen, und beide laufen unter demselben Zertifizierungssiegel. User Presence heißt nur, dass ein Mensch anwesend war und den Schlüssel berührt hat. Wer da berührt hat, prüft der Schlüssel nicht. User Verification heißt, dass dieser Mensch sich ausgewiesen hat, per PIN oder Fingerabdruck.

Wie dünn die erste Stufe ist, dokumentiert ausgerechnet Nitrokey. In der Anleitung zum Nitrokey FIDO2 steht: "The first FIDO operation is automatically accepted within two seconds after connecting Nitrokey FIDO2." Das Einstecken zählt also als Anwesenheitsnachweis. Dieselbe Doku schränkt ein, dass Konfigurations- und Reset-Befehle so nicht angenommen werden. Beim Nitrokey Passkey fehlt diese Einschränkung, für den Nitrokey 3 dokumentiert der Hersteller das Verhalten gar nicht.

Bei Feitians BioPass-Modellen K26, K27 und K45 verrät es die LED: langsames grünes Blinken heißt antippen, schnelles heißt Fingerabdruck auflegen. Ein Gerät, zwei Sicherheitsniveaus, unterschieden durch eine Blinkfrequenz.

Über Ihre PIN entscheidet meist die Website

Der zweite unangenehme Punkt: Selbst eine gesetzte PIN heißt nicht, dass sie abgefragt wird.

Token2 erklärt das so deutlich wie kein anderer Hersteller: "The decision whether to authenticate with a security key with or without a PIN rests with each website or authentication service." Der Dienst setzt beim Anmelden einen Parameter namens userVerification mit drei möglichen Werten. Bei discouraged verlangt er keine PIN. Bei preferred, dem Standardfall, wird nur gefragt, wenn eine gesetzt ist. Nur bei required ist sie Pflicht, und der Dienst erzwingt beim Einrichten, dass eine gesetzt wird.

Für Sie heißt das: Ohne gesetzte PIN fragt auch preferred nicht. Und selbst mit PIN bleiben Sie ungefragt, wenn der Dienst discouraged sendet. Es gibt einen Weg, das umzudrehen, dazu gleich mehr.

Auffällig ist, wie klein die Gruppe ist, die ab Werk überhaupt eine PIN verlangt: Yubicos Enhanced-PIN-Linie und Token2s PIN+ mit Firmware R3.3. Alle anderen liefern ohne aus. Die zweite Hälfte der Übersicht zeigt, was passiert, wenn die PIN dann doch einmal nicht sitzt.

Woran Sie beim Kauf die Qualität erkennen

Die Zahlen in der Tabelle sagen nichts darüber, wie gut ein Schlüssel gebaut ist. Dafür gibt es die Zertifizierungsstufen der FIDO Alliance, die bei jedem Hersteller im Datenblatt stehen. Es sind fünf: L1, L1+, L2, L3 und L3+.

L1 ist der Grundschutz gegen Phishing und Einbrüche beim Diensteanbieter, er kann rein in Software umgesetzt sein und wird per Fragebogen geprüft. L2 verlangt eine abgeschottete Ausführungsumgebung in der Hardware, damit ein kompromittiertes Betriebssystem nicht an die Schlüssel kommt. Ab L3 muss das Gerät auch physischer Manipulation standhalten, L3+ setzt das auf Chipebene fort. Ab L2 prüft ein akkreditiertes Labor, teils mit Quellcode-Einsicht und Penetrationstests.

Für die meisten Privatnutzer ist L2 die sinnvolle Untergrenze. Token2 wirbt für die PIN+ Serie damit, beim biometrischen Bio3 gilt die Zertifizierung allerdings nur für die Firmware. Die des Fingerabdruckteils läuft laut Hersteller noch.

Der Schalter, der die Website überstimmt

Es gibt einen Ausweg, und er heißt alwaysUV, kurz für "always require user verification". Ist er aktiv, verlangt der Schlüssel eine PIN, egal was der Dienst anfordert. Token2 beschreibt die Wirkung so: "This setting enforces PIN request in all cases, irrespective of whether the RP requests it or not." Die Einstellung greift also auch bei discouraged.

Nur: An den Schalter zu kommen, ist unterschiedlich schwer. Token2 liefert ihn ab Firmware R3.3 werkseitig aktiviert. Der PIN+ Bio3 läuft Stand 5. August 2026 noch auf R3.2 und bekommt R3.3 laut Hersteller nie, er springt direkt auf R3.4, wo alwaysUV ebenfalls ab Werk aktiv ist. Yubico aktiviert ihn bei der Enhanced-PIN-Linie und der Bio Series, beim normalen YubiKey 5 muss man selbst ran, dokumentiert nur für das Kommandozeilenwerkzeug ykman. Bei OnlyKey, Feitian und Google taucht alwaysUV in der geprüften Dokumentation gar nicht auf, bei Nitrokey nur in einem Release Candidate vom Juni 2026, nicht in der Anwenderdokumentation.

Ein Haken bleibt. Token2 hat dokumentiert, dass alwaysUV zusammen mit discouraged unter älteren Windows-Versionen hängen blieb, der Bildschirm wechselte endlos zwischen "Touch your security key" und "Enter PIN". Betroffen waren laut Testtabelle Windows 10 22H2 und frühe Windows-11-Stände, ab Windows 11 23H3 meldet Token2 das Problem als behoben.

Ein Sonderfall zeigt, wie leicht man das Falsche erwartet. OnlyKey wirbt mit PIN-Eingabe am Gerät statt am Rechner. Für die Geräte-PIN stimmt das, für die FIDO2-PIN nicht: Sie werde "entered via keyboard", schreibt OnlyKey in der eigenen Befehlsdokumentation. Immerhin liegen beide PINs hintereinander, ein gesperrter OnlyKey führt gar keine FIDO2-Operation aus. Bemerkenswerter ist ohnehin, dass OnlyKeys letzte Firmware vom Dezember 2022 stammt, während Yubico im Juli 2026 Firmware 5.8 auslieferte.

Acht Fehleingaben in Folge, dann sind alle Zugänge weg

Die PIN hat einen Preis, und über den redet kaum jemand. Wie leicht der Passwort-Nachfolger sonst unter Druck gerät, zeigen die Pass-the-Passkey-Angriffe. Yubico, Token2 und Nitrokey nennen übereinstimmend acht Fehlversuche. Der FIDO-Standard CTAP sieht acht als Obergrenze vor, seit CTAP 2.1 dürfen Hersteller auch weniger zulassen. Yubico ergänzt, dass der Schlüssel nach drei Fehleingaben neu eingesteckt werden muss. Wichtig: Es sind acht Fehleingaben in Folge, eine korrekte setzt den Zähler zurück. Wer die PIN wirklich vergessen hat, hat genau diese acht Versuche.

Danach heißt "Schluss" mehr, als die meisten erwarten. Yubico schreibt: "Resetting the key will remove the PIN, but it will also destroy all the U2F and FIDO2 credentials on the YubiKey, whether they are discoverable or not." Jeder Dienst, bei dem der Schlüssel hinterlegt war, muss neu eingerichtet werden. Nitrokey und Token2 beschreiben dasselbe.

Eine gute PIN, die Sie sich merken können, ist deshalb wichtiger als eine maximal komplizierte. Token2 erzwingt dafür Regeln, die der Standard nicht vorsieht: mindestens sechs Ziffern bei den PIN+ Modellen, acht bei der Octo-Firmware, alternativ zehn Zeichen alphanumerisch. Dazu keine auf- oder absteigenden Folgen, keine Palindrome, höchstens drei gleiche Ziffern.

Bei den Fingerabdrucksensoren gehen die Hersteller weit auseinander. Yubico und Token2 schalten nach drei Fehlversuchen auf die PIN zurück. Feitian nennt für K26, K27 und K45 fünfzehn Fehlversuche, danach ist der Schlüssel gesperrt und laut Handbuch hilft nur ein Werksreset mit Datenverlust. Für die neueren K49 und K50, bei Feitian als BioPass FIDO2 Plus geführt, fehlt die Angabe. Besonders tückisch ist die YubiKey Bio: Bei reiner U2F-Anmeldung gibt es keine PIN, auf die zurückgefallen werden könnte, der Schlüssel geht nach drei Fehlversuchen direkt in den Zustand "biometrics blocked". Yubico selbst hält die Bio-Serie für solche Login-Werkzeuge in einem Entwicklerhinweis für keine gute Wahl.

Was Sie jetzt tun sollten

PIN setzen. Der eine Schritt, der aus einem Faktor zwei macht. Bei Yubico im Yubico Authenticator, beim Nitrokey 3 über die Nitrokey App 2 oder nitropy, beim älteren Nitrokey FIDO2 direkt im Browser bei der ersten Registrierung, weil die App dieses Modell nicht unterstützt. Bei Token2 über das hauseigene Werkzeug.

Prüfen, ob alwaysUV verfügbar ist. Bei Yubico über ykman fido info und ykman fido config toggle-always-uv, bei Token2 ab R3.3 bereits aktiv. Bei den übrigen Herstellern lohnt die Nachfrage beim Support, weil die Dokumentation schweigt.

Einen zweiten Schlüssel registrieren. Acht Fehleingaben in Folge, und jede Registrierung ist weg. Ein zweiter Schlüssel im Schrank ist die einzige Rückversicherung. Passende Schlüssel sind hier bei Amazon erhältlich.

Nicht auf eine einzelne Herstellerangabe verlassen. Yubicos Technical Manual nennt für die 5er-Serie an einer Stelle 25 Passkeys, in der Kapabilitätsmatrix 100. Token2 listet die Chip-Zertifizierung auf derselben Seite einmal als EAL5+ und einmal als EAL6+. Prüfen Sie am eigenen Gerät nach.

Auf Firmware und Zertifizierung achten. Bei Token2 und Yubico ist die Firmware der zertifizierten Modelle nicht aktualisierbar, das ist so gewollt. Was das Gerät beim Kauf kann, kann es dauerhaft. Yubicos Firmware 5.8 vom Juli 2026 kann den Reset härter absichern, etwa über NFC sperren oder auf fünf Sekunden Tastendruck legen. Das sind allerdings Werksoptionen, die nur bei der Programmierung gesetzt werden. Im normal gekauften Schlüssel sind sie aus.