Passkeys sind eine neue Technologie in einer Welt, die den Umgang mit Passwörtern gewohnt ist. Wenn Sie sich auf eine positive Nutzererfahrung konzentrieren, können Sie mit Passkeys als Authentifizierungsoption das digitale Leben Ihrer Nutzer einfacher und sicherer machen. Best Practices für Passkeys werden weiterentwickelt. Wenn Sie die Hinweise für häufige Nutzerpfade befolgen, können Sie Ihren Entwicklungsprozess beschleunigen und dafür sorgen, dass Ihre Nutzer Passkeys erfolgreich verwenden können.
In diesem Artikel finden Sie Empfehlungen für die folgenden User Journeys:
- Passkeys erstellen
- Neue Konten mit Passkeys erstellen
- Mit Passkeys anmelden
- Passkeys verwalten
Diese Empfehlungen basieren auf UX-Studien und -Leitlinien der FIDO Alliance und Erkenntnissen des User Experience-Teams bei Google.
Alle Empfehlungen werden am Beispiel von „Wegbereiter“ dargestellt, einer fiktiven Fitnesswebsite.
Wenn du dich an die Best Practices hältst, solltest du deine Nutzererfahrung frühzeitig und häufig testen. So sorgen Sie dafür, dass die Implementierung des Passkey-Systems intuitiv ist und den Anforderungen der Nutzer entspricht.
Passkeys erstellen
Um sicherzustellen, dass Ihre Nutzer die richtige Einstellung haben, um einen Passkey zu erstellen, fordern Sie neben kontobezogenen Aufgaben auch die Erstellung von Passkeys auf. Es gibt vier wichtige Nutzerpfade, bei denen die Option zum Erstellen von Passkeys empfohlen wird:
- Bei der Anmeldung
- Im Bereich „Sicherheit“ in den Kontoeinstellungen
- Nach der Kontowiederherstellung.
- Nach nochmaliger Autorisierung.
Anmeldung
Der Anmeldevorgang ist eine gute Gelegenheit, Passkeys einzuführen, da sich die Nutzer an diesem Punkt bereits auf Sicherheit und Authentifizierung konzentrieren.
Wenn Sie Passkeys in der Anmeldephase einführen, können Sie Nutzer proaktiv darauf vorbereiten, dass sie Ihren Dienst auch zukünftig nutzen können. Dieses Timing entspricht auch dem hohen Maß an Sicherheit, dass der Nutzer tatsächlich der ist, der er vorgibt zu sein, was die Sicherheit und Nutzererfahrung Ihrer Plattform insgesamt verbessert.
Eine gute User Journey kann darin bestehen, den Nutzer wie gewohnt zu authentifizieren, ihn darüber zu informieren, dass er einen Passkey erstellen kann, das Dialogfeld des Betriebssystems zum Erstellen eines Passkeys auslösen und ihn dann darüber informieren, dass der Passkey erstellt wurde. Lassen Sie die Nutzenden dann in ihrer eigenen Zeit weitermachen.
Bereich „Sicherheit“ in den Kontoeinstellungen
Die Integration von Passkey-Optionen in die Sicherheitseinstellungen des Nutzerkontos erfolgt logisch und kontextabhängig. So können Nutzer ihre Passkeys im Rahmen ihrer allgemeinen Sicherheitskonfiguration einfach verwalten und aktualisieren. Sie kann auch ein guter Zeitpunkt sein, einen Nutzer nach Informationen zur Kontowiederherstellung wie einer Telefonnummer oder E-Mail-Adresse zu fragen.
Recovery
Die Kontowiederherstellung ist eine weitere großartige Möglichkeit, Nutzer zur Erstellung eines Passkeys zu bewegen.
Die Wiederherstellung ist nie einfach und in diesen Momenten steht die Sicherheit von Konten wahrscheinlich an erster Stelle. Sobald sie wieder angemeldet sind, können Sie Nutzern helfen, erfolgreich zu sein, indem Sie einen Passkey für zukünftige Anmeldungen erstellen.
Dies schafft die Voraussetzungen für verbesserte Sicherheit und sorgt für eine erfolgreiche und optimierte Nutzung bei zukünftigen Interaktionen.
Erneute Autorisierung
Manchmal muss ein Nutzer aufgefordert werden, sich noch einmal anzumelden oder eine Identitätsbestätigung zu bestehen, bevor er vertrauliche Aktionen wie das Senden von Geld oder das Bearbeiten personenbezogener Daten ausführen kann. Sobald ein Nutzer seine Identität erfolgreich bestätigt hat, kann dies eine ideale Gelegenheit sein, ihn dazu zu bewegen, einen Passkey zu erstellen.
Diese Möglichkeit nutzt das stärkere Bewusstsein der Nutzer für Sicherheit, verspricht aber auch eine bequemere Neu-Authentifizierung bei zukünftigen Interaktionen. Durch diesen proaktiven Ansatz wird die allgemeine Kontosicherheit erhöht und gleichzeitig die Nutzerfreundlichkeit gefördert.
Erstellen des Passkeys wird abgebrochen
Informieren Sie den Nutzer klar, wenn der Passkey nicht erstellt werden konnte, und erwägen Sie die Implementierung einer Funktion, mit der Nutzer Feedback zu potenziellen Problemen erhalten können. Dies kann im Produkt, per E-Mail oder auf andere Weise geschehen.
Bieten Sie dem Nutzer außerdem eine einfache Möglichkeit, den Erstellungsvorgang noch einmal zu starten oder um zu einem späteren Zeitpunkt einen Passkey zu erstellen, z. B. über die Sicherheitseinstellungen. Dieser Ansatz stellt sicher, dass ein neuer Versuch möglich ist, auch wenn ein Nutzer die Passkey-Erstellung absichtlich oder unabsichtlich abgebrochen hat.
Neue Konten mit Passkeys erstellen
Beim Erstellen eines neuen Kontos mit einem Passkey kann es hilfreich sein, den Nutzer auf eine bestimmte Seite weiterzuleiten, auf der er sowohl einen Anzeigenamen als auch einen eindeutigen Nutzernamen eingeben kann. Eine spezielle Seite kann störende Elemente entfernen und den Fokus auf das Hauptziel lenken. Erstellen Sie dann den Passkey.
Wenn ein Nutzer ein Konto mit einem Passkey erstellt, ist es wichtig, eine Wiederherstellungsmethode für sein Konto festzulegen. Das kann über eine Telefonnummer, eine E-Mail-Adresse, ein Log-in in sozialen Netzwerken wie „Über Google anmelden“ oder eine andere Option erfolgen, die für Sie geeignet ist. Welche Option am besten geeignet ist, hängt von den spezifischen demografischen Merkmalen und den Vorlieben Ihrer Nutzer ab. Je nach den für Ihre Anwendung erforderlichen Sicherheitsanforderungen können Sie im Rahmen der Erstellung eines neuen Kontos auch einen Identitätsnachweis durchführen.
Mit dieser Sicherungsmethode kann er sein Konto wiederherstellen, wenn er keinen Zugriff mehr auf seinen Passkey hat oder sich auf einem Gerät anmeldet, auf dem Passkeys noch nicht verfügbar sind. So können Nutzer jederzeit auf ihre Konten zugreifen.
Mit Passkeys anmelden
Passkeys bieten flexible Anmeldeoptionen: Geben Sie Ihren Nutzernamen ein oder wählen Sie einen Passkeys für Ihre Domain aus einer Liste aus. Wenn Sie einen schnellen und fehlerfreien Zugriff wünschen, können Sie die WebAuthn-Funktion zum Präsentieren einer Liste von Passkeys für eine bestimmte Domain verwenden. Passkeys werden direkt angezeigt, wodurch der Zeitaufwand und der Eingabeaufwand reduziert werden.
Anmeldeseite entwerfen
Bei der Entwicklung einer effektiven Anmeldeseite sollte der Schwerpunkt auf Geschwindigkeit, Nutzerfreundlichkeit und Verständlichkeit liegen.
Es kann hilfreich sein, die Autofill-Funktion in modernen Webbrowsern zu nutzen, um Passkeys für Nutzer bereitzustellen, oder tief in die Credential Manager API zu integrieren, damit der Passkey so früh wie möglich in der Migration bereitgestellt wird.
Wenn Sie mehrere Anmeldeoptionen wie Felder für Nutzername und Passwort sowie verschiedene Anmeldeoptionen für soziale Netzwerke anbieten, sind die Nutzer zwar vielseitig, aber das kann auch überwältigend sein. Priorisieren Sie die Optionen und präsentieren Sie die nützlichsten für Ihre Nutzerbasis. Beachten Sie, dass Passkeys zwar aktuell weniger genutzt werden, aber die Sicherheit und Nutzerfreundlichkeit verbessern, und dass sie jeden Tag von immer mehr Nutzern verwendet werden. Mit der Implementierung von Passkeys sind Sie auf dem richtigen Weg für zukünftigen Erfolg.
Wenn Sie eine separate Schaltfläche für Passkeys integrieren, achten Sie darauf, dass sie zu Ihrer Ästhetik und Identität passt.
Passkeys verwalten
Das Wort „Erstellen“
Die Verwendung des Wortes „Erstellen“ beschreibt besser den Prozess zum Generieren eines neuen, eindeutigen Passkeys. Anders als ein Passwort kann ein Konto mehrere Passkeys für die Anmeldung haben. Ein Passkey wird also in der Regel nicht wie ein Passwort geändert, sondern erstellt und der Liste der verfügbaren Passkeys hinzugefügt. Nutzer können sie nach Bedarf löschen.
Ein Passkey ist eine eindeutige Berechtigung, mit der sich Nutzer einfach und sicher anmelden können. Das ist nicht so, als würden Sie einer App oder einem Dienst eine Kopie Ihres Passworts zum Speichern und Abgleichen geben.
Machen Sie es Nutzern leicht, Passkeys in Ihrem Dienst zu finden
Die Quelle jedes Passkeys (in diesem Kontext auch als „Herkunft“ bezeichnet) muss deutlich sichtbar sein, z. B. der Google Passwortmanager, der iCloud-Schlüsselbund, Windows Hello oder der Passwortmanager eines Drittanbieters, der Passkeys unterstützt. Wenn Sie diese Informationen an Ihre Nutzer weitergeben, können sie leichter feststellen, welche Passkeys auf der Benutzeroberfläche aufgeführt sind.
Weiteren Passkeys in derselben Umgebung eine Nummer hinzufügen
Wenn ein Nutzer mehr als einen Passkey auf Geräten aus demselben System erstellt, fügen Sie den zusätzlichen Passkeys Nummern hinzu, damit der Nutzer sie unterscheiden kann.
Beim Entfernen eines Passkeys den Begriff „Löschen“ verwenden
Wenn ein Nutzer einen Passkey entfernen möchte, den er auf Ihrer Website verwendet hat, können Sie den öffentlichen Schlüssel von Ihrem Server entfernen. Der private Schlüssel wird jedoch nicht aus dem Anmeldedaten-Manager des Nutzers oder von seinem Gerät gelöscht. Obwohl es sich bei diesem Vorgang eigentlich um einen „Widerruf“ handelt, wird aus Gründen der Einfachheit und der einfacheren Lokalisierung empfohlen, in der Benutzeroberfläche der Passkey-Verwaltung den Begriff „Löschen“ zu verwenden.
Wenn Sie Supportseiten für die Kontoverwaltung haben, fügen Sie Informationen zur Verwaltung von Passkeys hinzu und fügen Sie Links zu Seiten zur Passkey-Verwaltung auf verschiedenen Plattformen wie Chrome und iOS hinzu.
E-Mail- oder Telefon-Fallback nutzen
Wenn Sie ein E-Mail- oder Smartphone-Fallback verwenden, kann der Nutzer sein Konto wiederherstellen, wenn er alle Passkeys löscht. Sie können ihnen einen Anmeldelink oder einen Code senden, um wieder Zugriff auf ihr Konto zu erhalten. Sie können Nutzern auch anbieten, ein Social-Media-Login einzurichten, z. B. „Über Google anmelden“.
Mehrere Passkeys verwalten
Im Gegensatz zu herkömmlichen Passwörtern kann ein Nutzer mehrere Passkeys auf verschiedenen Geräten für ein einzelnes Konto erstellen. Wenn Sie den Passkey eines Nutzers auf einem bestimmten Gerät nicht finden können und sich der Nutzer mit einer Fallback-Anmeldemethode anmeldet, obwohl er in der Vergangenheit einen Passkey erstellt hat, können Sie ihn auffordern, einen neuen zu erstellen. Dadurch werden entweder die Informationen im Anmeldedaten-Manager aktualisiert oder ein neuer Passkey auf dem aktuellen Gerät erstellt.
FIDO-Diagramme zur User Journey
Weitere Beispiele und detaillierte User Journey-Diagramme finden Sie in den FIDO-UX-Architekturdiagrammen.